С тех пор как началось тестирование наступательной безопасности, мы ожидали, что тест или симуляция что-нибудь обнаружат . Даже если специалист по тестированию на проникновение не выявит проблему, лучшие из них всегда могут добиться успеха, используя фишинг или социальную инженерию против сотрудников вашей организации. Точно так же учения «красной команды» и «синей команды» демонстрируют практически полную невозможность сорвать планы мотивированного злоумышленника — шансы на успех значительно выше у злоумышленника, что делает задачу для защитника крайне сложной.
Сейчас, когда организации осознают ценность тестирования по принципу «красная команда — синяя команда» , важно понимать, что такое тестирование в большей степени направлено на общее влияние на команду кибербезопасности , чем на индивидуальные результаты. Конечно, выявление недостатков в вашей системе безопасности или защищенной поверхности атаки важно, но ваша команда не обнаружит их все: наибольшую пользу приносит повышение эффективности вашей команды.
Это потому, что кибербезопасность — это не только техническая проблема: речь идет не только о решениях по защите периметра, политиках, правилах, системах обнаружения, обновлениях и других вопросах. Кибербезопасность — это также операционная проблема. Особенно в случае масштабных атак, кибербезопасность в конечном итоге сводится к людям. Атаки в основном совершаются людьми, которые ищут путь наименьшего сопротивления. Аналогично, киберзащита включает в себя экспертов по безопасности. Хотя некоторые автоматизированные системы могут предотвратить или минимизировать простые атаки, тщательно спланированная атака должна быть проверена и пресечена командой безопасности.
Почему это проблема? Потому что команды по кибербезопасности перегружены и испытывают нехватку персонала. У команд нет времени или ресурсов, чтобы реагировать на все оповещения, расследовать все события или пересматривать и совершенствовать все политики; и даже организациям, имеющим открытые вакансии для дополнительных специалистов по безопасности, трудно заполнить эти места из-за острой глобальной нехватки специалистов по кибербезопасности . Эти условия вряд ли изменятся в ближайшее время. Командам по кибербезопасности необходимо стать более эффективными и результативными, чтобы сосредоточиться на действительно важных событиях. Именно здесь может помочь наступательное тестирование.
Тестирование Red Team-Blue Team в первую очередь должно помочь выявить уровень эффективности и результативности вашей команды.
Проведение таких учений позволяет командам по кибербезопасности лучше понять, какие из их систем лучше всего подходят для выявления серьезных активных угроз и насколько хорошо их можно обнаружить. Системы с низкой точностью обнаружения и большим количеством ложных срабатываний вряд ли окажутся полезными в этом деле. Более того, некоторые системы могут даже оказаться контрпродуктивными с точки зрения эффективности и результативности, а также способности обеспечить безопасность организации. Безусловно, оценка текущей работы таких инструментов и систем безопасности — помимо запланированных учений — покажет их полезность. Однако проверка «красной команды» и «синей команды» позволит оценить их эффективность в контексте реальных атак и может стать решающим тестом.
Некоторые организации модифицировали тестирование «Красная команда — Синяя команда» , включив в него компонент «Фиолетовая команда», но это не меняет общей цели. Независимо от того, является ли «Фиолетовая команда» формализованной функцией, одной из главных целей должно быть понимание того, «обладаем ли мы всем необходимым, чтобы выявить активную атаку и предотвратить или минимизировать ущерб от нее?». Можно запутаться в терминологии и разногласиях по поводу того, как лучше всего структурировать наступательное тестирование и оценку, но одним из наиболее важных результатов должно быть понимание операционной стороны безопасности и того, насколько хорошо команда, используя инструменты и системы, может обнаружить и остановить атаку.
Таким образом, тестирование «красной команды» и «синей команды» ценно не только для прогнозирования реакции вашей организации на атаку, но и для определения общей способности вашей команды кибербезопасности реагировать. И при проведении такого тестирования крайне важно иметь такие инструменты, как платформа Stellar Cyber , которая обеспечивает высокоточные оповещения и минимизирует ложные срабатывания, помогая вашей команде сосредоточиться на реальных проблемах.
