تمرینات تیم بنفش

تیم قرمز به صورت مخفیانه بدون آگاهی تیم آبی عمل می‌کند و مهاجمان واقعی را برای تست اینکه آیا حملات شناسایی می‌شوند شبیه‌سازی می‌کند. تیم بنفش همکارانه است—تیم قرمز و آبی با هم کار می‌کنند و تیم قرمز تکنیک‌ها را توضیح می‌دهد در حالی که تیم آبی سعی در شناسایی آن‌ها به صورت بلادرنگ دارد. تیم قرمز اعتبارسنجی می‌کند "آیا می‌توانیم حملات را شناسایی کنیم"، تیم بنفش روی "چگونه می‌توانیم تشخیص را بهبود دهیم" تمرکز می‌کند.

تیم بنفش می‌تواند به سازمان‌ها در سطوح مختلف بلوغ کمک کند. برای سازمان‌های کمتر بالغ، روی تکنیک‌های پایه و قابلیت‌های تشخیص اساسی تمرکز می‌کنیم. برای سازمان‌های بالغ، تکنیک‌های پیشرفته و فرار پیچیده را تست می‌کنیم. نیاز اصلی داشتن قابلیت تشخیص (SIEM، EDR) و اعضای اختصاصی تیم آبی برای مشارکت است.

ما از ATT&CK به عنوان زبان مشترک و چارچوب تست استفاده می‌کنیم. به طور سیستماتیک تاکتیک‌ها و تکنیک‌های مرتبط را بررسی می‌کنیم، آن‌ها را اجرا می‌کنیم در حالی که تشخیص را تست می‌کنیم. نتایج به ATT&CK نگاشت می‌شوند تا پوشش را نشان دهند: کدام تکنیک‌ها شناسایی شدند، تا حدی شناسایی شدند یا از دست رفتند. این یک خط پایه قابل اندازه‌گیری و پیگیری بهبود در طول زمان ایجاد می‌کند.

یک کارگاه تیم بنفش متمرکز که ۱۰-۲۰ تکنیک را پوشش می‌دهد معمولاً ۲-۵ روز طول می‌کشد. تمرینات جامع که یک تاکتیک کامل یا چندین تاکتیک را پوشش می‌دهند می‌توانند ۱-۲ هفته طول بکشند. بسیاری از سازمان‌ها برنامه‌های تیم بنفش مداوم با جلسات تکراری در طول سال برای بهبود سیستماتیک پوشش تشخیص انتخاب می‌کنند.

ما ترکیبی از: Atomic Red Team برای اجرای استاندارد تکنیک، Caldera برای شبیه‌سازی خودکار مهاجم، فریم‌ورک‌های C2 تجاری (Cobalt Strike و غیره) برای تکنیک‌های پیشرفته، SIEM/EDR موجود شما برای تشخیص و Sigma برای ایجاد قوانین تشخیص قابل حمل استفاده می‌کنیم. همچنین از ابزارهای سفارشی در صورت نیاز برای سناریوهای خاص استفاده می‌کنیم.

ما قوانین را در فرمت‌های مختلف ایجاد می‌کنیم: قوانین Sigma (مستقل از فروشنده، قابل حمل)، قوانین بومی SIEM برای پلتفرم شما (Splunk SPL، Elastic KQL، Microsoft KQL)، تشخیص‌های سفارشی EDR و قوانین YARA برای اسکن فایل/حافظه. همه قوانین در طول تمرین تست می‌شوند تا اعتبارسنجی شود که بدون false positive بیش از حد کار می‌کنند.

تجربه قبلی تیم بنفش لازم نیست. بخشی از ارزش ما آموزش تیم شما از طریق تمرین است. ما تکنیک‌ها را توضیح می‌دهیم، حملات را نمایش می‌دهیم، تحلیل تشخیص را راهنمایی می‌کنیم و مهندسی تشخیص را آموزش می‌دهیم. تیم شما تجربه عملی قابل توجهی از طریق مشارکت کسب خواهد کرد.

بله، تمرینات تیم بنفش می‌توانند با اشتراک‌گذاری صفحه برای همکاری بلادرنگ از راه دور انجام شوند. با این حال، جلسات حضوری اغلب تجربه یادگیری بهتر و تکرار سریع‌تر فراهم می‌کنند. ما هر دو گزینه را ارائه می‌دهیم و می‌توانیم رویکردهای ترکیبی با جلسات کلیدی حضوری داشته باشیم.

ما بر اساس این موارد اولویت‌بندی می‌کنیم: تهدید اطلاعاتی مرتبط با صنعت شما (کدام APT ها شما را هدف قرار می‌دهند، TTP های رایج آن‌ها)، شکاف‌های تشخیص فعلی شما (اگر مشخص باشد)، تکنیک‌های مورد نیاز برای kill chain در محیط شما و الزامات نظارتی/انطباق. ما با شما برای ایجاد یک برنامه تست که مشخصات ریسک خاص شما را آدرس‌دهی کند کار می‌کنیم.

تیم بنفش ROI قابل اندازه‌گیری از طریق این موارد فراهم می‌کند: کاهش میانگین زمان تشخیص (MTTD) برای حملات، سرمایه‌گذاری‌های اعتبارسنجی‌شده ابزار امنیتی (اثبات اینکه SIEM/EDR شما واقعاً کار می‌کند)، کاهش تأثیر نقض از طریق تشخیص سریع‌تر، شواهد انطباق تست امنیتی و تیم آبی آموزش‌دیده با مهارت‌های بهبودیافته. سازمان‌ها معمولاً ۳۰-۵۰٪ بهبود در پوشش تشخیص پس از برنامه‌های جامع تیم بنفش می‌بینند.