Modri proti rdečim

Pomen modre in rdeče ekipe

Rdeče ekipa in modra ekipa sta dve temeljni skupini na področju kibernetske varnosti. Rdeča ekipa je odgovorna za izvajanje penetracijskega testiranja in simulacijo realističnih kibernetskih napadov za prepoznavanje ranljivosti in slabosti znotraj varnostne infrastrukture organizacije.

Nasprotno pa je modra ekipa odgovorna za obrambo pred napadi rdeče ekipe, analizo varnostnih dnevnikov in omrežnega prometa ter prepoznavanje potencialnih groženj. Njihov primarni cilj je ohraniti zaupnost, celovitost in razpoložljivost kritičnih sredstev organizacije. Za dosego svojih ciljev uporabljajo različne tehnike, kot so zaznavanje vdorov, varnostni nadzor in odziv na incidente.

Potek simulacije


Simulacija je neke vrste mnogouporabniška igra. Simulacija predvideva izvajanje v predavalnici, v kateri projiciramo na platno sceno pisarne, ki se mora varovati pred napadi.  Simulacijo začne predavatelj (vodja igre), ki odpre sceno. 
Sceno sestavljajo osebe in naprave (računalniki, tiskalniki,..). Na sliki vidimo tudi povezavo računalnikov na strežnike.

V danem primeru ena oseba dela izven varovanjega območja in uporablja nevarovano povezavo (ki je zato rdeče barve).

Vsaka scena dobi svojo ševilko, ki bo omogočila udeležencem vstop vanjo.
.

Na istem zaslonu (projiciranem na platno oziroma veliki zaslon) lahko spremljamo še karakteristike oseb in naprav v varovanem objektu in jih tudi lahko spreminjamo.

Nastavljanje teh lastnosti kot tudi varnostne politike v taki pisarni vplivajo  na njeno ranljivost in stopnjo zaščite, po nastopu kakšnega varnostnega incidenta pa se primerno spreminja stopnja zaupnosti, celovitosti in razpoložljivosti.

S klikom na osebe ali naprave lahko te po zaslonu tudi premikamo. Če osebo (in njen računalnik) premaknemo izven varovanega območja, pomeni to delo na daljavo.

Udeleženci pa vstopajo v aplikacijo kot člani modre ali rdeče ekipe, vsak s svojim računalnikom, tablico ali pametnim telefonom. Vsak od udeležencev vpiše kodo (številko) prikazane scene in izbere svojo vlogo: ali bo član modre ali rdeče ekipe.


Na projicirani sceni dobi vsak udeleženec svojega avatarja, ki ga lahko tudi premika po sceni. Spodnja slika kaže primer scene  s tremi člani rdeče in dvema članoma modre ekipe:


Pred simulacijo napadov morajo člani rdeče ekipe "raziskati" napadani objekt, njegovo opremo, osebje in prostore. Glede na cilj  oziroma namen napada nato izbirajo metode napada.Vendar morajo upoštevati, da izsledki poizvedbe sčasoma izgubljajo vrednost, saj medtem modra ekipa ne miruje. Zato  morajo poizvedbo  občasno ponavljati.
Vsak član modre ekipe pozna branjeno organizacijo, njeno opremo in osebje. Nato lahko nastavlja varnostne mehanizme, s katerimi želi preprečiti "napade". Po morebitnem uspešnem napadu pa skuša reagirati na incident oziroma odpraviti posledice.

Ena prvih aktivnosti modrih po zaznanem incidentu je zbiranje forenzičnih poodatkov, torej analiza prometa po internetu in drugih dogodkov (na primer vdor napadalca v varovani objekt).  Aplikacija pomni podatke o poslanih sporočilih (pošiljatelj, prejemnik, vsebina obvestila). Ob sumu zlorabe lahko člani modre ekipe aktivirajo požarni zid in IP sumljivega pošiljatelja vpišejo v njegov črni seznam.


Rezultate akcij modre in rdeče ekipe lahko vidimo na projicirani sceni. Nekaterih akcij tako ne moremo videti, so pa razvidne iz dnevnikov dogodkov modre in rdeče ekipe, ki jih lahko ekipi posredujeta pri svojem poročanju.

Tako člani rdeče kot člani modre ekipe lahko preklopijo na prikaz dnevnika svojih aktivnosti oziroma dogodkov. Slika na primer kaže v takem dnevniku, da je član rdeče ekipe najprej opravil  poizvedovanje ranljivosti, nato pa poslal  pošto, okuženo z virusom, in  pošto z lažnim sporočilom. Končno mu je uspel tudi fizični vdor v objekt s ciljem kraje podatkov ali opreme.

Član modre ekipe  pa je najprej opravil forenzično raziskavo in rezultate pogledal v svojem dnevniku dogodkov, kot to kaže  slika.

Iz dnevnika lahko ugotovi, kateri IP je pošiljal komu sporočila z virusom ali lažna sporočila in kdaj je bil zaznan foskus fizičnega vdora. Slednje lahko ugotovi le, če je bil kot varnostni ukrep nameščen varnostnik ali pa video nadzor objekta. Forenzična raziskava tudi omogoči vpis napadalca v črni seznam v požarne zidove  varovanega objekta.

V simulacijo lahko vpletemo tudi koncept zavzema zastavic (Capture the flag), kakršno srečujemo  tudi v tekmovanjih iz kibernetske varnosti. Tako bi lahko  simulirali krajo podatkov  ali opreme. Vidnost zastavic vklaplja in izklaplja predavatelj na svojem zaslonu desno spodaj.

Rdečo zastavico lahko na primer član rdeče ekipe ukrade tako, da vstopi v varovani prostor in se dovolj približa neki napravi.

Komentar slike: Modra ekipa je vzpostavila video nadzor, nastavila varnostnika, segmentirala interno omrežje  in namestila požarne zidove na strežnike  in tako izboljšala zaščito varovanega objekta.

Vendar je kljub temu prišlo do kraje zastavice, ki jo je z enega obiskanega računalnika vzel nepridiprav (član rdeče ekipe) in tako simuliral krajo podatkov ali (dela) opreme. Morda sta bila video nadzor ali namestitev varnostnika prepozna. Seveda lahko do kraje pride tudi ob prisotnosti video nadzora in varnostnika, a bi v tem primeru modra ekipa imela na voljo vsaj forenzične podatke.