Составление отчётов красной команды

Отчёт красной команды доводит до руководства сведения о бизнес-рисках выявленных уязвимостей (резюме для руководства), позволяет защитникам воспроизвести результаты и улучшить обнаружение (технические сведения), а также содержит план устранения проблем (рекомендации).

Стандартная структура отчёта красной команды:

1. Титульная страница и определение области работ
2. Резюме для руководства
3. Обзор методологии
4. Описание атаки / цепочка атаки
5. Список результатов с оценкой критичности
6. Технические сведения по каждому результату
7. Рекомендации и план действий
8. Приложения: доказательства, индикаторы компрометации, список инструментов

Пишите резюме для руководства в последнюю очередь. В нём следует указать:

• Цели и область работ
• Основные результаты в терминах бизнеса («мы получили доступ администратора домена за 4 часа»)
• Общую оценку уровня риска
• Три главных приоритета устранения проблем

Не используйте жаргон. Представьте, что читатель — руководитель без технической подготовки.

Описание атаки последовательно рассказывает о ходе проверки:

1. Вектор первоначального доступа (как была получена первая точка опоры)
2. Закрепление и сбор сведений
3. Этапы повышения привилегий
4. Путь латерального перемещения
5. Достигнутые цели (полученные данные, скомпрометированный домен)

Сопоставьте каждый шаг с идентификаторами техник MITRE ATT&CK.

Каждый результат должен содержать:

• Название: ясное и конкретное наименование
• Критичность: критическая/высокая/средняя/низкая/информационная (с оценкой CVSS, если применимо)
• Описание: что было обнаружено
• Влияние: бизнес-риск в случае эксплуатации
• Шаги воспроизведения: подробное техническое подтверждение
• Доказательства: снимки экрана, журналы
• Рекомендация: конкретное исправление

CVSS (общая система оценки уязвимостей) предоставляет стандартизированную оценку критичности от 0 до 10. Компоненты: вектор атаки, сложность, необходимые привилегии, взаимодействие с пользователем, область, влияние на конфиденциальность/целостность/доступность. Используйте CVSS 3.1 для единообразной и обоснованной оценки критичности.

Сопоставляйте каждый использованный метод с ATT&CK, чтобы предоставить защитникам практические сведения:

• T1566.001 — вложение целевого фишинга (первоначальный доступ)
• T1059.001 — PowerShell (выполнение)
• T1003.001 — память LSASS (доступ к учётным данным)

Сопоставление с ATT&CK помогает синим командам создавать правила обнаружения для наблюдаемых тактик, техник и процедур.

На снимках экрана должны быть видны:

• Дата и время в терминале
• Имя узла скомпрометированной системы
• Команда и полный вывод
• Отсутствие обрезки, удаляющей контекст

Добавляйте к снимкам экрана пояснения, чтобы выделить критически важный элемент. Доказательства подтверждают достоверность результатов.

Хорошие рекомендации должны быть:

• Конкретными: «Включите PowerShell AMSI и режим ограниченного языка», а не «улучшите безопасность»
• Приоритетными: указывающими, что исправлять в первую очередь с учётом риска
• Практичными: читателю должно быть точно понятно, что делать
• Реалистичными: учитывающими операционные ограничения

Презентация итогов с демонстрацией в реальном времени дополняет письменный отчёт. Проведите клиента по описанию атаки, используя снимки экрана в реальном времени, покажите, как он мог обнаружить каждый шаг, и ответьте на вопросы. Для внедрения изменений такой формат часто эффективнее письменного отчёта.

Отчёты красной команды содержат конфиденциальную информацию об уязвимостях. Обращайтесь с ними соответствующим образом:

• Зашифруйте отчёт (PGP или защищённый паролем PDF)
• Передавайте его по защищённому каналу
• Ограничьте распространение кругом лиц, которым он необходим
• Определите правила хранения и уничтожения отчётов
• Никогда не отправляйте отчёты по электронной почте без шифрования

Какой раздел отчёта красной команды содержит сопоставленные с MITRE ATT&CK шаги, точно показывающие, как красная команда продвигалась от первоначального доступа к целям?

Отчёты красной команды предназначены для бизнес-аудитории (резюме для руководства), технической аудитории (сценарий атаки и выявленные проблемы) и специалистов по защите (сопоставление с ATT&CK). Каждая выявленная проблема включает оценку критичности, влияние, шаги воспроизведения, доказательства и конкретные рекомендации. Сопоставление с MITRE ATT&CK превращает результаты атакующего анализа в возможности для защитного обнаружения. Шифруйте отчёты и обращайтесь с ними как с конфиденциальными документами.