تمارين الفريق البنفسجي

يعمل الفريق الأحمر خِفيةً دون علم الفريق الأزرق، محاكياً خصوماً حقيقيين لاختبار ما إذا كانت الهجمات ستُكتشف. أمّا الفريق البنفسجي فتعاوني — يعمل الفريقان الأحمر والأزرق معاً، إذ يشرح الفريق الأحمر التقنيات بينما يحاول الفريق الأزرق اكتشافها في الزمن الحقيقي. يتحقّق الفريق الأحمر من «هل نستطيع اكتشاف الهجمات»، فيما يركّز الفريق البنفسجي على «كيف نحسّن الاكتشاف».

يمكن للفريق البنفسجي أن يفيد المؤسسات على مستويات نضج مختلفة. للمؤسسات الأقلّ نضجاً، نركّز على التقنيات الأساسية وقدرات الاكتشاف الأوّلية. وللمؤسسات الناضجة، نختبر التقنيات المتقدّمة والتهرّب المعقّد. والمتطلّب الأساسي هو امتلاك قدرة اكتشاف ما (SIEM، EDR) وأعضاء فريق أزرق مخصّصين للمشاركة.

نستخدم ATT&CK لغةً مشتركة وإطار اختبار. نعمل بشكل منهجي عبر التكتيكات والتقنيات ذات الصلة، فننفّذها بينما نختبر الاكتشاف. تُربط النتائج بـ ATT&CK لإظهار التغطية: أيّ التقنيات تمّ اكتشافها أو اكتُشفت جزئياً أو فاتت. وهذا يُنشئ خطّ أساس قابلاً للقياس وتتبّعاً للتحسّن عبر الزمن.

تستغرق ورشة عمل مركّزة للفريق البنفسجي تغطّي ١٠-٢٠ تقنية عادةً ٢-٥ أيام. أمّا التمارين الشاملة التي تغطّي تكتيكاً كاملاً أو عدّة تكتيكات فقد تستغرق ١-٢ أسبوع. وتختار مؤسسات كثيرة برامج فريق بنفسجي مستمرّة بجلسات متكرّرة على مدار العام لتحسين تغطية الاكتشاف بشكل منهجي.

نستخدم مزيجاً من: Atomic Red Team للتنفيذ المعياري للتقنيات، وCaldera لمحاكاة الخصم الآلية، وأطر C2 التجارية (Cobalt Strike وغيرها) للتقنيات المتقدّمة، وأنظمة SIEM/EDR الموجودة لديكم للاكتشاف، وSigma لإنشاء قواعد اكتشاف قابلة للنقل. ونستخدم أيضاً أدوات مخصّصة عند الحاجة لسيناريوهات محدّدة.

ننشئ القواعد بصيغ متعدّدة: قواعد Sigma (مستقلّة عن المورّد وقابلة للنقل)، وقواعد SIEM أصلية لمنصّتكم (Splunk SPL، Elastic KQL، Microsoft KQL)، واكتشافات EDR مخصّصة، وقواعد YARA لفحص الملفات/الذاكرة. وتُختبَر جميع القواعد خلال التمرين للتحقّق من عملها دون إنذارات كاذبة مفرطة.

لا تُشترَط خبرة سابقة بالفريق البنفسجي. فجزء من قيمتنا هو تدريب فريقكم من خلال التمرين. نشرح التقنيات، ونعرض الهجمات، ونوجّه تحليل الاكتشاف، ونعلّم هندسة الاكتشاف. وسيكتسب فريقكم خبرة عملية كبيرة عبر المشاركة.

نعم، يمكن تنفيذ تمارين الفريق البنفسجي عن بُعد عبر مشاركة الشاشة للتعاون في الزمن الحقيقي. غير أنّ الجلسات الحضورية كثيراً ما توفّر تجربة تعلّم أفضل وتكراراً أسرع. نوفّر كلا الخيارين، ويمكننا اعتماد نهج هجين بجعل الجلسات الرئيسية حضورية.

نحدّد الأولوية بناءً على: استخبارات التهديد المتعلّقة بقطاعكم (أيّ مجموعات APT تستهدفكم، وTTPs الشائعة لديها)، وفجوات الاكتشاف الحالية لديكم (إن كانت معروفة)، والتقنيات اللازمة لسلاسل القتل (kill chains) في بيئتكم، والمتطلّبات التنظيمية/الامتثال. ونعمل معكم لوضع خطة اختبار تعالج مِلفّ المخاطر الخاص بكم.

يقدّم الفريق البنفسجي عائداً قابلاً للقياس من خلال: خفض متوسّط زمن الاكتشاف (MTTD) للهجمات، والتحقّق من استثمارات أدوات الأمن (إثبات أنّ SIEM/EDR لديكم يعمل فعلاً)، وتقليل أثر الاختراق عبر اكتشاف أسرع، وأدلّة امتثال على الاختبار الأمني، وفريق أزرق مدرَّب بمهارات مُحسَّنة. وتشهد المؤسسات عادةً تحسّناً بنسبة ٣٠-٥٠٪ في تغطية الاكتشاف بعد برامج الفريق البنفسجي الشاملة.