Red Team: סימולציית התקפות
פעולות Red Team הן תרגילי סימולציית יריבים שבהם אנשי אבטחה מיומנים מאמלצים תוקפים אמיתיים כדי לבחון את מנגנוני ההגנה הארגוניים באופן מציאותי וללא הודעה מוקדמת - בניגוד ל-penetration testing מסורתי, שהוא תחום בהיקף מוגדר, מוגבל בזמן ומתמקד במציאת מספר מרבי של חולשות, התקשרויות Red Team הן מוכוונות מטרה (השגת יעד ספציפי כגון exfiltration של נתונים רגישים או השגת domain admin), משתמשות במלוא ה-tradecraft של היריב (הנדסה חברתית, חדירה פיזית, malware מותאם אישית, טכניקות living-off-the-land), פועלות בחשאיות תוך הימנעות מזיהוי על ידי ה-Blue Team לאורך הזמן הרב ביותר האפשרי, ומספקות הערכה הוליסטית של אפקטיביות תוכנית האבטחה הכוללת אנשים, תהליכים וטכנולוגיה. בעוד ש-pentest שואל "אילו חולשות קיימות?", Red Team שואל "האם יריב מיומן יכול להשיג השפעה קריטית לעסק חרף מנגנוני ההגנה הקיימים?" הצעת הערך של Red Team: סימולציית איומים מציאותית תוך שימוש ב-TTPs (Tactics, Techniques and Procedures) שנצפו בקבוצות APT אמיתיות וממופים במסגרת MITRE ATT&CK (אם מודיעין איומים מצביע על כך ש-APT29 מכוונת לתעשייה שלכם, ה-Red Team מאמלץ את הטכניקות של APT29), אימות בקרות אבטחה תוך בחינה האם ההשקעות בכלי אבטחה, תהליכים והדרכות אכן עובדות בתרחישי התקפה מציאותיים (האם ה-EDR מזהה malware מותאם אישית? האם אנליסטים ב-SOC מסוגלים לזהות lateral movement? האם נהלי תגובה לאירועים מתפקדים תחת לחץ?), זיהוי פערים תוך חשיפת נקודות עיוורון שסריקה אוטומטית והערכות תיאורטיות מפספסות (משטחי תקיפה לא מנוטרים, טכניקות התחמקות מזיהוי, כשלי תהליך במהלך תגובה לאירועים), אימון ותרגול של ה-Blue Team בסביבה בטוחה לפני שיריב אמיתי תוקף, שיפור מיומנויות ובניית זיכרון שרירי ארגוני, ומודעות בדרג הניהול תוך הדגמת סיכונים עסקיים מוחשיים בשפה שההנהלה מבינה (phishing מזויף בשם המנכ"ל המוביל להונאת העברה כספית מדומה הופך את ההשפעה למציאותית יותר מדוח חולשות תיאורטי). התקשרויות Red Team נמשכות בדרך כלל 4-12 שבועות בהתאם להיקף, עם שלבים הכוללים reconnaissance (איסוף OSINT, מיפוי רשת, פרופיילינג ברשתות חברתיות), initial access (phishing, התקפות watering hole, חדירה פיזית), privilege escalation (ניצול תצורות שגויות, גניבת credentials), lateral movement (ניווט ברשת, פגיעה במערכות נוספות), persistence (שמירה על גישה באמצעות backdoors, משימות מתוזמנות), והשלמת היעד (exfiltration של נתונים, פריסת ransomware מדומה, גישה לנכסי הליבה).
Red Team מול Penetration Testing
אף שלעיתים קרובות מבלבלים ביניהם, ל-Red Teaming ול-Penetration Testing יש יעדים, מתודולוגיות ותוצרים נבדלים המשרתים צרכים ארגוניים שונים. Penetration Testing הוא הערכה ממוקדת חולשות עם היקף מפורש (אפליקציות, טווחי רשת או מערכות ספציפיות), מסגרת זמן מוכרזת (בדרך כלל 1-3 שבועות), מטרה למצוא מספר מרבי של חולשות בתוך ההיקף, דיווח מקיף של כל הממצאים עם דירוגי חומרה והנחיות לתיקון, וחשיפה מלאה של הפעילויות כדי למנוע שיבוש תפעולי - אידיאלי לדרישות ציות (PCI-DSS מחייב pentests שנתיים), אימות מערכות חדשות לפני production וגילוי חולשות רחב. Red Team הוא סימולציה מוכוונת מטרה עם היקף מוגדר באופן רחב (כל הארגון יכול להיות בהיקף), משך מורחב (שבועות עד חודשים), מטרה להשיג השפעה עסקית ספציפית (לגנוב נתונים רגישים, לשבש שירות קריטי, לגשת לדוא"ל של המנכ"ל), פעולות חשאיות הנמנעות מזיהוי לאורך הזמן הרב ביותר האפשרי כדי לבחון את יכולות ה-Blue Team, ניצול סלקטיבי (פגיעה רק במה שנחוץ להשגת היעד, לא בכל חולשה שנמצאה), ובחינת מערכת האבטחה האקולוגית כולה לרבות זיהוי, תגובה, אבטחה פיזית והגורם האנושי - אידיאלי לארגונים בשלים הרוצים הערכה מציאותית של יכולות ההגנה, אימות נהלי תגובה לאירועים ותרגול ה-Blue Team. הבדלים מרכזיים: pentest הוא רועש (ה-Blue Team בדרך כלל יודע שזה מתרחש), מקיף (מדווח על כל ממצא), בעל מיקוד טכני (בוחן בעיקר בקרות טכנולוגיות) וידידותי לציות (מפיק דוחות מתאימים לרשימות תיוג). Red Team הוא חשאי (בוחן את יכולות הזיהוי), סלקטיבי (מנצל רק את הנתיב אל היעד), הוליסטי (בוחן אנשים, תהליכים ואבטחה פיזית מעבר לטכנולוגיה), ומונחה איומים (משתמש ב-TTPs של יריבים אמיתיים). על ארגונים למנף את שניהם: pentests סדירים לניהול חולשות רחב ולציות, ותרגילי Red Team תקופתיים (שנתיים או דו-שנתיים) לאימות ברמה גבוהה ולאימון ה-Blue Team.
מסגרת MITRE ATT&CK ו-TTPs
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) היא בסיס ידע נגיש גלובלית על טקטיקות וטכניקות של יריבים המבוסס על תצפיות מהעולם האמיתי - היא מספקת שפה ומסגרת משותפות לתיאור התנהגות יריבים, ומאפשרת ל-Red Teams לאמלץ גורמי איום ספציפיים באופן מציאותי ול-Blue Teams לתעדף את מאמצי ה-detection engineering. המסגרת מארגנת את התנהגות היריב במטריצה של 14 טקטיקות (היעדים הטקטיים של היריב במהלך התקפה) ויותר מ-100 טכניקות (כיצד היריב משיג את יעדיו הטקטיים), כל אחת עם תת-טכניקות המפרטות וריאציות. הטקטיקות (העמודות של המטריצה) מייצגות את ה"מדוע" של פעולה יריבה: Reconnaissance (איסוף מידע על המטרה), Resource Development (הקמת משאבים לתמיכה בפעולות), Initial Access (חדירה לרשת), Execution (הרצת קוד זדוני), Persistence (שמירה על דריסת רגל), Privilege Escalation (השגת הרשאות ברמה גבוהה יותר), Defense Evasion (הימנעות מזיהוי), Credential Access (גניבת שמות חשבון וסיסמאות), Discovery (הבנת הסביבה), Lateral Movement (תנועה בתוך הסביבה), Collection (איסוף נתונים בעלי עניין), Command and Control (תקשורת עם מערכות שנפגעו), Exfiltration (גניבת נתונים), Impact (מניפולציה, שיבוש או הרס של מערכות ונתונים). הטכניקות בתוך כל טקטיקה מתארות את ה"כיצד": לדוגמה, טקטיקת Initial Access כוללת טכניקות כגון Phishing (T1566), Exploit Public-Facing Application (T1190), Valid Accounts (T1078). Red Teams משתמשים ב-ATT&CK כדי לתכנן התקשרויות: בעת אמלוץ APT28, הם ממפים טכניקות ידועות של APT28 (Spear Phishing עבור Initial Access, PowerShell עבור Execution, Pass-the-Hash עבור Lateral Movement) ומיישמים TTPs דומים במהלך ההערכה. Blue Teams משתמשים ב-ATT&CK כדי לתעדף את פיתוח הזיהוי: מיפוי כיסוי הזיהוי הקיים מול המטריצה חושף פערים (אנו מזהים 80 אחוז מטכניקות Execution אך רק 20 אחוז מטכניקות Defense Evasion), פיתוח אנליטיקת זיהוי המבוססת על טכניקות, ואימות הכיסוי באמצעות תרגילי Purple Team הבוחנים טכניקות ATT&CK ספציפיות.
התקשרות, כללי התקשרות ואתיקה
התקשרות Red Team מוצלחת מחייבת תכנון קפדני, הגדרת היקף ברורה וקווים מנחים אתיים המגנים הן על הארגון והן על ה-Red Team. כללי התקשרות (ROE) מתעדים פרמטרים שהוסכמו באופן רשמי: יעדים (מה ה-Red Team צריך לנסות להשיג - גישה למאגר נתונים ספציפי, סימולציית פריסת ransomware, פגיעה בחשבונות בכירים), היקף (מטרות בתוך ההיקף ומערכות מחוץ להיקף באופן מפורש, תאריכים/שעות שבהם הבדיקה מותרת, הגבלות גיאוגרפיות), אילוצים (פעולות אסורות כגון התקפות denial-of-service, פעולות הרסניות, הנדסה חברתית כלפי אנשים מסוימים, גישה לסוגי נתונים מסוימים), אנשי קשר לחירום ונהלי הסלמה (אם ה-Red Team מגלה פריצה אמיתית במהלך ההתקשרות, את מי ליידע מיד), וקריטריוני הצלחה (ההתקשרות נחשבת מוצלחת אם היעד הושג ללא זיהוי בתוך מסגרת הזמן). השגת מחויבות הנהלה תוך הבטחה שנותני החסות בדרג C מבינים את יעדי ההתקשרות, את הסיכונים התפעוליים הפוטנציאליים, ומתחייבים לתמוך בתיקון הממצאים - ללא תמיכת הנהלה, ממצאי Red Team עלולים להידחות כ"תיאורטיים" במקום להוביל לשיפורים משמעותיים. הגבלת ידע פנימי - רק מעטים (מנכ"ל, CISO, יועץ משפטי) צריכים לדעת שההתקשרות מתרחשת, כדי להבטיח בחינה מציאותית של יכולות הזיהוי והתגובה מבלי להזהיר את ה-Blue Team או את בעלי המערכות, שעלולים לסייע בשוגג או לנקוט אמצעי זהירות מיוחדים. הגנות משפטיות - להחזיק באישור בכתב מהנהלת הארגון, להביא בחשבון את ההשלכות של ביטוח סייבר (חלק מהפוליסות מחריגות הפסדים במהלך בדיקות מורשות), ולתעד את כל הפעילויות בקפדנות כדי להוכיח את אופיין המורשה אם תועלה שאלה. גבולות אתיים - אפילו עם אישור, Red Teams חייבים לפעול באתיקה: להימנע מגרימת שיבוש עסקי אמיתי מעבר להיקף המוסכם, להגן על סודיות הנתונים שאליהם ניגשו במהלך ההתקשרות (לא לקרוא דוא"ל אישי או מידע פיננסי אלא אם נדרש באופן ספציפי ליעד), למזער נזק נלווה (אם ניצול חולשה משפיע על מערכת production, לתאם תיקון), ולהתייחס לעובדים בכבוד במהלך הנדסה חברתית (ללא הטרדה, איומים או מניפולציה פסיכולוגית מעבר לאמתלות מקצועיות). לאחר ההתקשרות, לקיים debrief יסודי המסביר מה נעשה, כיצד תפקדו מנגנוני ההגנה, הלקחים שנלמדו ועדיפויות התיקון - שקיפות בונה אמון ומבטיחה למידה ארגונית. להשמיד את כל הנתונים שנאספו במהלך ההתקשרות בהתאם להסכם, ולספק דוח מקיף המתעד את נתיב ההתקפה, החולשות שנוצלו, הצלחות וכשלי הזיהוי של ה-Blue Team והמלצות מתועדפות.
שילוב Purple Team ושיפור מתמיד
אף שתרגילי Red Team מסורתיים הם בעלי ערך, שילוב שיתוף פעולה בין Red ל-Blue Team באמצעות גישת Purple Team ממקסם את הלמידה ואת שיפורי ההגנה. תרגילי Purple Team הם שיתופי פעולה מובנים שבהם ה-Red Team מדגים טכניקות התקפה בשקיפות בעוד ה-Blue Team מנסה לזהותן, עם לולאות משוב מיידיות - הם נבדלים מ-Red Team טהור (חשאי, תחרותי) בכך שהם מתמקדים בהעברת ידע ובבניית יכולות ולא רק בבחינה. זרימת עבודה של Purple Team: תכנון משותף - צוותי Red ו-Blue בוחרים טכניקות ATT&CK לבחינה בהתבסס על מודיעין איומים, פערי הגנה שזוהו קודם לכן, או פריסות חדשות של כלי אבטחה הדורשות אימות, מסכימים על יעדי התרגיל (בחינת כלל זיהוי ספציפי, אימות נהלי תגובה של SOC, מדידת כיסוי הזיהוי), ומתזמנים מפגשים תוך מזעור ההשפעה התפעולית. ביצוע בשקיפות - ה-Red Team מבצע טכניקה תוך הסבר ההיגיון והממצאים שנוצרו ("אני משתמש ב-WMI עבור lateral movement, אתם אמורים לראות אירועי logon מסוג EventID 4648 ו-WMI provider hosts נוצרים על המטרה"), ה-Blue Team מנטר באופן פעיל תוך ניסיון לזהות ולהגיב, שני הצוותים מתעדים תצפיות בזמן אמת (הזיהוי הופעל בתוך 2 דקות, פעולת ההכלה הצליחה, או שההתקפה נותרה ללא זיהוי כליל). debrief מיידי - בניגוד להתקשרויות Red Team הדורשות שבועות לדוח סופי, debriefs של Purple Team מתרחשים באותו יום תוך ניתוח מה עבד, מה נכשל, איתור שורש הפערים (מקור לוג חסר, לוגיקת זיהוי צרה מדי, התראה שנדחתה כ-false positive), והסכמה על פעולות תיקון. איטרציה מהירה - יישום תיקונים (התאמת כללי זיהוי, שיפור ה-logging, עדכון playbooks), בחינה מחדש של אותה טכניקה תוך אימות השיפור, ולאחר מכן התקדמות לטכניקה הבאה תוך בניית יכולות הגנה באופן הדרגתי. מדידת כיסוי תוך שימוש במטריצת ATT&CK למעקב אחר אילו טכניקות הארגון מסוגל לזהות (ירוק), לזהות חלקית (צהוב), או אינו מסוגל לזהות (אדום), והדמיית פערי הכיסוי וההתקדמות לאורך זמן. גישת Purple Team מאיצה את הבשלת ההגנה: מפגשי Purple Team חודשיים הבונים כיסוי זיהוי טכניקה אחר טכניקה אפקטיביים יותר מ-Red Team שנתי החושף 50 פערים בבת אחת ומציף את יכולת התיקון. שלבו את הגישות באופן אסטרטגי: מפגשי Purple Team רבעוניים לשיפור מתמיד, והתקשרות Red Team שנתית בהיקף מלא לאימות הוליסטי ולדיווח להנהלה.