الشركة تقترح تمرين purple team بدل اختبار الاختراق، ما هذا وهل نحتاجه؟

من الناحية التقنية، الفريق الأحمر يهاجم والفريق الأزرق يحاول الكشف. أما purple team فهو حكم أو بروتوكول عمل مشترك. يجرّب المهاجم تقنية معينة، ويُنظر هل وصل سجل للفريق الأزرق، وإن لم يصل تُكتب قاعدة. إذا لم يكن هناك من يدير السجلات المركزية وEDR بشكل فعّال داخليًا، فلن تستطيعوا إدماج المخرج التقني لهذا التمرين في بنيتكم.

السنة الماضية دخلنا تمرينًا مشابهًا بنفس الحماس مع فريقنا المكوّن من 45 شخصًا ودفعنا 14,500 دولار. لم يستطع مهندس الأنظمة لدينا رفع رأسه من الاجتماعات لمدة 10 أيام وتعطلت تحديثات السيرفرات الروتينية. وفي نهاية اليوم لم يبقَ في يدنا سوى عشرات التوصيات بالإعدادات لكن لم يكن لدينا وقت لتطبيقها. وارتحنا عندما عدنا للاختبار الكلاسيكي.

شركات استشارات الأمن تضخّم الفواتير مؤخرًا بمفاهيم من هذا النوع لأن هوامش الاختبارات الروتينية انخفضت. محاولة بيع تمرين مشترك بـ 16,000 دولار لجهة لديها طاقم بنية تحتية من شخصين ليست مقاربة استشارية حسنة النية. لقد غلّفوا لكم خدمة لا تناسبكم.

تعديل: كتبت من الهاتف، أرجو المعذرة عن الأخطاء الإملائية.

لكي يكون عمل الفريق البنفسجي فعالاً يجب توفر هذه الشروط الثلاثة: 1) وجود نظام مركزي لجمع السجلات ونظام كشف على نقاط النهاية، 2) وجود موظف واحد على الأقل بدوام كامل في الفريق الأزرق يدير هذه الأنظمة يومياً، 3) أن تكون ثغرات اختبار الاختراق الأساسية قد أُغلقت بالكامل في الماضي. إذا لم تتوفر هذه، فستذهب أموالكم هدراً.

ملاحظة: سُئل هذا أدناه، وكتبت الإجابة في الرسالة الثانية.

فريق البنية التحتية عندنا المكوّن من شخصين يضيع في تلك الاجتماعات. ربط مديري الأنظمة لمدة أسبوعين سيعطّل الشركة تشغيلياً أيضاً... أنصحكم ألا تحيدوا عن اختبار الاختراق الكلاسيكي.

اكتبوا للشركة بوضوح ما يلي: لا يوجد لدينا فريق دفاع سيبراني خاص داخل هيكلنا، لذلك نرجو إخراج نطاق الفريق البنفسجي وتعديل العرض ليكون فقط اختبار اختراق خارجي وداخلي. إذا لم يقبلوا، تابعوا مع شركة اختبار مستقلة أخرى أو التي تعاملتم معها سابقاً.

موضوع لا أعرفه، ألا يمكن أن تكون شركة الدعم التي نأخذها كخدمة من الخارج هي ما نسميه الفريق الأزرق؟ ألا يمكن إدخالهم أيضاً في هذا الاختبار؟

في نماذج النضج المؤسسي يُعد الفريق البنفسجي عملية متقدمة. وعندما تطلب منكم الجهات التنظيمية أو العملاء المؤسسيون الكبار تقرير تدقيق مستقل، سيريدون أيضاً رؤية تقرير اختبار اختراق رسمي بدلاً من محضر تمرين الفريق البنفسجي. من هذه الناحية أيضاً يبقى الاختبار الكلاسيكي أولوية.

هل تعتقد أن هذا يعمل لجميع الأحجام؟ تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

بالتأكيد. وإذا أردت إضافة شيء: عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

هل يمكنك توضيح هذا أكثر؟ كل من يستعجل في purple team الأمن السيبراني يتعثر في نفس النقطة.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

سأكتب ما حدث لي، ربما يفيدكم. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

دعني أتركها كملاحظة، قد تكون مفيدة.

دعني أشارك تجربتي... إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

دعوني ألخص ما قيل حتى الآن. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

بالتوفيق.

موضوع في الوقت المناسب تمامًا.

أتابع الموضوع. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

شكرًا جزيلاً، سأجربها اليوم.