Зачем нужна работа фиолетовой команды

Фиолетовая командная работа — это совместная практика обеспечения безопасности, в рамках которой наступательное (красное) и защитное (синее) направления работают вместе в одном цикле, а не изолированно друг от друга.

Цель состоит не в том, чтобы «победить» друг друга, а в совместном улучшении обнаружения и реагирования. Красная команда воспроизводит поведение реального противника; синяя команда проверяет, может ли она обнаружить и остановить его; обе команды вместе совершенствуют средства контроля.

• Красная команда привносит знания и методы атакующего, а также навыки моделирования его действий
• Синяя команда привносит телеметрию, средства обнаружения и реагирования
• Фиолетовая команда обеспечивает цикл обратной связи между ними

Традиционные проверки красной командой часто заканчиваются отчетом, который приходит спустя несколько месяцев. Синяя команда узнает, что было упущено, лишь постфактум и почти не получает контекста о точной технике или задействованной телеметрии.

Это создает медленную и дорогостоящую обратную связь. Результат вроде Domain admin compromised in 3 days говорит о том, что Вы проиграли, но не объясняет, какое средство обнаружения должно было сработать.

• Результаты красной команды приходят поздно и не содержат подробностей об обнаружении
• Синяя команда не может воспроизвести атаку, чтобы настроить правила
• Те же пробелы снова появляются при следующей проверке

Фиолетовая командная работа сокращает цикл с месяцев до нескольких часов. Красная команда выполняет прием, синяя команда сразу проверяет SIEM/EDR, и команда на месте решает, существует ли покрытие.

Типичный небольшой цикл выглядит так:

• Красная команда выполняет одну технику ATT&CK в контролируемое время
• Синяя команда запрашивает телеметрию в поисках ожидаемого артефакта
• Если ничего не срабатывает, пробел в обнаружении сразу заносится в журнал
• Новое правило создается и повторно проверяется в том же сеансе

Этот ритм «выполнить — наблюдать — улучшить» лежит в основе фиолетовой командной работы.

Фиолетовая командная работа четко различает предотвращение (атака блокируется) и обнаружение (атака разрешена, но видна и вызывает оповещение).

Для каждого проверяемого приема классифицируйте результат:

• Заблокировано — средство контроля остановило действие (например, AppLocker, AV)
• Обнаружено (создано оповещение) — телеметрия вызвала оповещение
• Занесено в журнал (без оповещения) — свидетельства существуют, но ничего не сработало
• Нет телеметрии — полная слепая зона

Худший результат — «нет телеметрии», поскольку невозможно создать средство обнаружения на основе данных, которые Вы никогда не собираете.

Эффективная фиолетовая командная работа опирается на разведданные об угрозах. Вместо проверки произвольных инструментов Вы моделируете приемы, используемые противниками, которые действительно нацелены на Вашу отрасль.

Например, финансовая организация может моделировать тактики, техники и процедуры, связанные с FIN7 или известным партнером группировки-вымогателя, сопоставляя каждый шаг с ATT&CK.

• Выберите актуального для Вашей отрасли субъекта угрозы
• Составьте план моделирования на основе документированных тактик, техник и процедур
• Проверьте приемы, с которыми Вы, скорее всего, столкнетесь

Это делает проверки реалистичными и помогает расставить приоритеты для наиболее важных средств обнаружения.

Для продуктивного сеанса фиолетовой командной работы необходимы четко определенные роли:

• Оператор красной команды — выполняет приемы и комментирует каждое действие
• Аналитик синей команды — работает с SIEM/EDR и подтверждает видимость
• Инженер по обнаружению — в реальном времени создает или настраивает правила
• Ведущий/секретарь — придерживается плана и записывает результаты

Прозрачность имеет решающее значение: в отличие от скрытой проверки красной командой, здесь красная команда объявляет, что именно она делает, чтобы синяя команда могла точно сопоставить действия с телеметрией.

Несколько бесплатных платформ делают фиолетовую командную работу повторяемой. Они позволяют красной команде выполнять единообразные, документированные приемы, которые может проверить синяя команда.

• Atomic Red Team — небольшие варианты проверок, сопоставленные с ATT&CK
• MITRE Caldera — автоматизированное моделирование действий противника
• VECTR — отслеживание результатов оценки и покрытия с течением времени

Отдельная проверка Atomic Red Team запускается с указанием ее идентификатора техники, например:

Хотя обе стороны сотрудничают, работа пурпурной команды затрагивает рабочие системы и должна выполняться ответственно и этично.

• Получите письменное разрешение и точно определите область применения
• Сначала отдавайте предпочтение репрезентативной лабораторной или тестовой среде
• Подготовьте план отката и очистки для каждой техники
• Согласуйте время, чтобы дежурные команды не оказались застигнутыми врасплох

Разрушительные техники, такие как шифрование данных программой-вымогателем и извлечение реальных данных, следует имитировать с помощью безвредных заменителей и никогда не применять по-настоящему к рабочим данным.

Работа пурпурной команды превращает расплывчатую уверенность в измеримый охват. После каждой проверки Вы можете представить результаты как процент обнаруженных техник.

Простое представление охвата по каждой тактике может выглядеть так:

• Первоначальный доступ: обнаружены 4 из 6 техник
• Выполнение: обнаружены 5 из 5 техник
• Перемещение внутри сети: обнаружена 1 из 4 техник (пробел)

Отображение этих данных в матрице ATT&CK в виде тепловой карты делает слепые зоны видимыми для руководства и помогает определить, куда направить следующие инвестиции.

Наибольшую ценность работа пурпурной команды приносит, когда проводится непрерывно. Эффективность обнаружений снижается по мере изменения сред, сбоев журналирования и развития методов противников.

• Повторно проверяйте ранее устранённые пробелы, чтобы выявлять повторные сбои
• Добавляйте новые техники по мере поступления новых разведданных об угрозах
• Отслеживайте динамику охвата от квартала к кварталу

Некоторые команды автоматизируют этот процесс как непрерывную проверку: эмуляция запускается по расписанию и уведомляет команду, когда известное обнаружение перестаёт срабатывать.

Помимо технических показателей, работа пурпурной команды улучшает взаимоотношения между наступающей и защищающейся сторонами. Аналитики изучают приёмы атакующих, а специалисты по эксплуатации узнают, какую телеметрию создают их действия.

• Синяя команда получает практическое понимание реальных тактик, техник и процедур
• Красная команда узнаёт, какие действия заметны, а какие остаются скрытыми
• Обе команды формируют общий язык для работы с ATT&CK

Это общее понимание часто становится самым устойчивым результатом: оно сохраняется ещё долго после того, как отчёт об отдельной проверке помещён в архив.

Проверьте, насколько Вы поняли основную цель работы пурпурной команды.

Теперь Вы понимаете, зачем нужна работа пурпурной команды и что она даёт:

• Она объединяет красную и синюю команды в единый цикл выполнения — наблюдения — улучшения
• Она классифицирует результаты как заблокированные, обнаруженные, зарегистрированные или слепые зоны
• В её основе лежит эмуляция действий противника с учётом угроз, сопоставленная с ATT&CK
• Такие инструменты, как Атомная красная команда, Кальдера и VECTR, делают этот процесс повторяемым
• Она должна проводиться этично, с разрешением, определённой областью применения и планами очистки
• Её ценность накапливается при непрерывном проведении, позволяя выявлять снижение эффективности обнаружений

Далее Вы узнаете, как сопоставлять конкретные атаки с обнаружениями с помощью подхода MITRE ATT&CK.