जब साइबर सुरक्षा की बात आती है, तो आमतौर पर कोई भी संगठन 100% सुरक्षित नहीं होता है। उन्नत सुरक्षा प्रौद्योगिकियों वाले संगठनों में भी, प्रमुख तत्वों में समस्या बिंदु हो सकते हैं - जैसे कि लोग, व्यावसायिक प्रक्रियाएं, प्रौद्योगिकियां और संबंधित चौराहे बिंदु।

सुरक्षा के स्तर की जांच के लिए कई सेवाएं हैं: सिस्टम और अनुप्रयोगों की सुरक्षा का विश्लेषण, पैठ परीक्षण, सूचना मुद्दों के बारे में कर्मियों की जागरूकता का आकलन, आदि। हालांकि, साइबर खतरों के परिदृश्य में लगातार बदलाव के कारण, नए उपकरण और आपराधिक समूहों का उदय, नए प्रकार के जोखिम उत्पन्न होते हैं जो सुरक्षा विश्लेषण के पारंपरिक तरीकों का उपयोग करके पहचानना मुश्किल है।

इस पृष्ठभूमि के खिलाफ, सुरक्षा परीक्षण के लिए सबसे यथार्थवादी और उन्नत दृष्टिकोण,
हमारी राय में, रेड टीमिंग प्रारूप में साइबर ऑर्डर सूचना प्रणालियों की सुरक्षा, घटना प्रतिक्रिया विशेषज्ञों की तैयारियों और नए प्रकार के हमलों के लिए बुनियादी ढांचे के प्रतिरोध, एपीटी (उन्नत निरंतर खतरा, जटिल लगातार खतरा, लक्षित साइबर हमला) सहित का एक निरंतर मूल्यांकन है। रेड टीमिंग का आयोजन करके और नियंत्रित हमलों की प्रतिक्रिया का अभ्यास करके, आंतरिक सुरक्षा टीम हमले के शुरुआती चरणों में वास्तविक हमलावरों को रोकने और व्यापार के लिए सामग्री और प्रतिष्ठा क्षति को रोकने के लिए पहले से अनिर्धारित खतरों का पता लगाने में अपने कौशल को बढ़ा सकती है।

रेड टीमिंग प्रारूप में साइबर ऑर्डर कैसे चलते हैं, इसके बारे में ग्रुप-आईबी के ऑडिट एंड कंसल्टिंग डिपार्टमेंट के एक प्रमुख विश्लेषक व्यचेस्लाव वासिन ( vas-v ) कहते हैं।

रेड टीमिंग। यह क्या है

हैकर समूहों के शस्त्रागार से उन्नत तरीकों और उपकरणों का उपयोग करके जटिल साइबर हमलों को पीछे हटाने के लिए संगठन की क्षमता का परीक्षण करने के लिए रेड टीमिंग एक व्यापक और सबसे यथार्थवादी तरीका है।

इस अभ्यास का मुख्य विचार न केवल संभावित कमजोरियों की पहचान करना है, जो मानक परीक्षण विधियों का उपयोग करके पता नहीं लगाया गया था, बल्कि साइबर हमलों को रोकने, पता लगाने और प्रतिक्रिया करने के लिए संगठन की क्षमता का आकलन करने के लिए भी है।

रेड टीमिंग एक संगठन को समझने में मदद करता है:

कैसे महत्वपूर्ण संपत्ति की सुरक्षा करता है
क्या चेतावनी और निगरानी प्रणाली सही ढंग से कॉन्फ़िगर की गई है
किसी हमलावर को आंतरिक अवसंरचना में कौन से अवसर उपलब्ध हैं यदि उसके उपयोगकर्ता के संसाधनों से समझौता किया जाता है

इसलिए, सब कुछ सही और अधिकतम रूप से यथार्थवादी होना चाहिए: ग्राहक की सुरक्षा सेवा (ब्लू टीम) को काम की शुरुआत के बारे में सूचित नहीं किया जाता है ताकि रेड टीम एक विशेष खतरे के विश्लेषण के आधार पर वास्तविक हमलावरों के कार्यों को मॉडल कर सके और "बुनियादी ढांचे को तोड़ने" की संभावना का मूल्यांकन कर सके।

रेड टीमिंग प्रारूप में साइबर-ऑर्डर सूचना सुरक्षा के परिपक्व स्तर वाली कंपनियों के लिए सबसे प्रभावी हैं। वे किसी भी तरह से जोखिम के समय में सीमित नहीं हैं और लक्ष्यों को प्राप्त करने पर ध्यान केंद्रित कर रहे हैं, चाहे वह किसी भी उपलब्ध साधनों द्वारा नेटवर्क नोड्स या संवेदनशील जानकारी तक पहुंच प्राप्त कर रहा हो।

रेड टीमिंग के मुख्य परिदृश्य, जो प्रत्येक ग्राहक के लिए विशिष्ट हैं, निर्धारित लक्ष्यों पर निर्भर करते हैं।

आमतौर पर इस्तेमाल किए जाने वाले परिदृश्यों में शामिल हैं:

सक्रिय निर्देशिका वन कैप्चर
शीर्ष प्रबंधन उपकरणों तक पहुंच
संवेदनशील ग्राहक डेटा या बौद्धिक संपदा की चोरी की नकल

पढ़ें टीमिंग बनाम प्रवेश परीक्षण

इस तथ्य के बावजूद कि रेड टीमिंग और पैठ परीक्षण समान साइबर हमले के उपकरणों का उपयोग करते हैं, दोनों अध्ययनों के लक्ष्य और परिणाम बहुत अलग हैं।

रेड टीमिंग

रेड टीमिंग प्रक्रिया एक पूरे संगठन पर वास्तविक और लक्षित हमलों का अनुकरण करती है। इस दृष्टिकोण का लाभ लक्ष्यों को प्राप्त करने के लिए सूचना प्रणाली का निरंतर अनुसंधान है। इस तरह की एक गहरी जांच बुनियादी ढांचे को कितना सुरक्षित है, इसकी व्यापक समझ प्रदान करती है, कर्मचारी जागरूक होते हैं और संगठन की आंतरिक प्रक्रियाएं तब प्रभावी होती हैं जब यह एक वास्तविक हमले के सामने आता है।

प्रवेश परीक्षण

इस अध्ययन के दौरान, प्रवेश परीक्षण विशेषज्ञ इन प्रभावों से संभावित जोखिम का आकलन करने के लिए कमजोरियों का पता लगाने और उनके विशेषाधिकारों का फायदा उठाने का प्रयास करते हैं। यह परीक्षण सूचना सुरक्षा घटनाओं का पता लगाने और प्रतिक्रिया के लिए तत्परता का परीक्षण नहीं करता है।

रेड टीमिंग और पेनेट्रेशन टेस्टिंग के बीच कुछ अंतर निम्नलिखित हैं:

	रेड टीमिंग	प्रवेश परीक्षण
हमले के तरीके	सभी स्वीकृत विधियां, जिनमें विध्वंसक शामिल हैं, यदि अनुमोदित हैं, तो ग्राहक द्वारा अनुमोदित हैं। इसका उद्देश्य संगठन पर महत्वपूर्ण प्रभावों की संभावना का प्रदर्शन करने और लोगों, प्रक्रियाओं और प्रौद्योगिकियों के परीक्षण पर एक सहमत लक्ष्य प्राप्त करना है।	विनाशकारी लोगों के अपवाद के साथ वस्तुओं की एक सहमति सूची पर हमला करने के तकनीकी तरीके। सोशल इंजीनियरिंग, यदि इसका उपयोग ग्राहक द्वारा अधिकृत किया गया है। सीमित कवरेज, संगठन की विशिष्ट संपत्ति के तकनीकी सत्यापन के उद्देश्य से।
डिटेक्शन बाईपास	घुसपैठ का पता लगाने वाली प्रणालियों को बायपास करना महत्वपूर्ण है, क्योंकि उनका उपयोग करते समय खेल के नियम बदल जाते हैं।	सिस्टम की तकनीकी कमजोरियों की पहचान करना महत्वपूर्ण है, और घुसपैठ का पता लगाने वाले सिस्टम से बचना नहीं है।
संचालन के बाद की गतिविधि	आवश्यक डेटा पर कब्जा करने और हमले को विकसित करने के लिए कमजोरियों को उजागर करना।	यदि डेटा तक पहुंच प्राप्त की जाती है, तो परीक्षण पूरा हो गया है।
परिणाम	सभी कार्रवाइयों और लक्ष्यों को प्राप्त करने के तरीके का वर्णन करने वाली एक विस्तृत रिपोर्ट। सभी समझौता परिसंपत्तियों के बारे में विस्तृत जानकारी और समय में साइबर हमले का पता लगाने और सही ढंग से जवाब देने के लिए ग्राहक की क्षमता का आकलन।	सभी विस्तृत भेद्यताओं और उनके जोखिम स्तरों का वर्णन करने वाली एक विस्तृत रिपोर्ट। चेक और उनके पारित होने के परिणामों के बारे में विस्तृत जानकारी।

ग्रुप-आईबी का अनुभव बताता है कि रेड टीमिंग और पेनेट्रेशन टेस्टिंग एक-दूसरे के पूरक हैं। प्रत्येक अध्ययन संगठन के लिए अपने तरीके से महत्वपूर्ण और उपयोगी है, क्योंकि इस तरह के संयुक्त परीक्षण के दौरान सिस्टम की निष्क्रिय सुरक्षा और संपूर्ण रूप से कंपनी की सक्रिय सुरक्षा दोनों का मूल्यांकन करना संभव है।

रेड टीमिंग परीक्षण के विभिन्न रूपों (उदाहरण के लिए, कोड विश्लेषण, पैठ परीक्षण, आदि) का पूरक है और सूचना सुरक्षा सत्यापन के लिए योजना में शामिल है जैसा कि संगठन बढ़ता है।

निम्नलिखित लाल टीमिंग के समान लक्ष्यों और शोध परिणामों की तुलना है:

हमारा दृष्टिकोण

परियोजना की गतिविधियाँ

रेड टीमिंग प्रारूप में अनुसंधान को कई क्रमिक चरणों में विभाजित किया गया है। दक्षता बढ़ाने के लिए, मुख्य चरणों के भीतर कुछ क्रियाएं पहले शुरू हो सकती हैं या दूसरों के साथ समानांतर में प्रदर्शन किया जा सकता है, सीमित समय को ध्यान में रखते हुए। इसलिए, व्यवहार में, रेड टीमिंग प्रक्रिया चरणों का ऐसा स्पष्ट रैखिक अनुक्रम नहीं है।

रेड टीमिंग कार्य के मुख्य चरण निम्नलिखित हैं:

बिगाड़ने के तहत प्रत्येक चरण के बारे में अधिक जानकारी प्राप्त की जा सकती है:

1. प्रारंभिक चरण

अवधि: 4 से 6 सप्ताह

किसी विशेष संगठन की वर्तमान जरूरतों और काम की मात्रा का आकलन करता है

इस स्तर पर, रेड टीम के संचालन के लिए मुख्य बिंदु निर्दिष्ट किए गए हैं और परियोजना के आधिकारिक लॉन्च की घोषणा की गई है:

एक कामकाजी समूह ग्राहक और ठेकेदार के प्रतिनिधियों से बनाया गया है
कार्य का दायरा निर्धारित किया जाता है (अवधि, मात्रा, निषिद्ध कार्य, आदि)
सहभागिता प्रोटोकॉल और प्रारूप सुसंगत हैं
वर्तमान प्रोजेक्ट की जरूरतों के अनुसार रेड टीम बनाई गई है

2. रेड टीमिंग का चरण

अवधि: 12 सप्ताह या अधिक से

इस स्तर पर, रेड टीम:

थ्रेट इंटेलिजेंस प्रारूप में बुद्धिमत्ता पैदा करता है
महत्वपूर्ण प्रणाली के कार्यों और खतरे के मॉडल के आधार पर परिदृश्यों को विकसित करता है
एक योजना तैयार करता है और सहमत लक्ष्यों पर हमला करने का प्रयास करता है (संपत्ति, प्रणाली और सेवाएं जिनमें एक या अधिक महत्वपूर्ण कार्य होते हैं)

मंच को दो मुख्य चरणों में विभाजित किया गया है - साइबर इंटेलिजेंस और परिदृश्य विकास, साथ ही साथ रेड टीमिंग प्रारूप में परीक्षण।

स्टेज नंबर 1।
साइबर इंटेलिजेंस और परिदृश्य

रेड टीम साइबर इंटेलिजेंस कर रही है। जांच के तहत वस्तु के लिए लक्षित खतरे के विश्लेषण (टीटीआई रिपोर्ट) के लिए ग्राहक थ्रेट इंटेलिजेंस (टीआई) के तीसरे पक्ष के आपूर्तिकर्ता से भी संपर्क कर सकता है, जो आगे के परीक्षण परिदृश्यों को पूरक करेगा और ग्राहक के बारे में उपयोगी जानकारी प्रदान करेगा।

मुख्य कार्य संगठन की गतिविधियों की रूपरेखा, संरचना और दिशा का अध्ययन करना है, हमलावर के दृष्टिकोण से सबसे उपयुक्त खतरों, प्रमुख नोड्स और लक्ष्यों को निर्धारित करना है।

किए गए कार्य के आधार पर, एक परीक्षण योजना और आगे के सत्यापन के लिए संभावित हमलों के व्यावहारिक परिदृश्यों की एक सूची संकलित की जाती है। विकसित परिदृश्य न केवल पहले से लागू दृष्टिकोणों को ध्यान में रखते हैं, बल्कि प्रासंगिक खतरे वाले अभिनेताओं के नए तरीके भी हैं।

स्टेज नंबर 2।
रेड टीमिंग परीक्षण

उत्पन्न योजना और परिदृश्यों के आधार पर, रेड टीम पहचान किए गए महत्वपूर्ण कार्यों या लक्ष्य प्रणालियों की संपत्ति पर गुप्त हमलों को वहन करती है। जब बाधाएं आती हैं, तो उन्नत हमलावरों की रणनीति का उपयोग करके लक्ष्यों को प्राप्त करने के वैकल्पिक तरीके विकसित किए जाते हैं।

रिपोर्ट तैयार करने के लिए सभी कार्य और टीम गतिविधियों को रिकॉर्ड किया जाता है।

3. अंतिम चरण

अवधि: 2 से 4 सप्ताह

रेड टीमिंग परीक्षण पूरा हो गया है और सभी चरणों को सफलतापूर्वक पूरा करने के बाद इस चरण में जाता है, या काम के लिए आवंटित समय समाप्त हो गया है

इस स्तर पर:

रेड टीम खतरों का पता लगाने और प्रतिक्रिया पर काम, निष्कर्ष और टिप्पणियों का वर्णन करते हुए एक रिपोर्ट तैयार करती है और इसे ब्लू टीम को सौंपती है
ब्लू टीम रेड टीम की रिपोर्ट के कालक्रम के आधार पर किए गए कार्यों का वर्णन करते हुए अपनी रिपोर्ट तैयार करती है
प्रतिभागियों के विनिमय परिणामों की प्रक्रिया करें, उनका विश्लेषण करें और संगठन की साइबर स्थिरता में सुधार के लिए और कदमों की योजना बनाएं

रेड टीमिंग प्रक्रिया में शामिल प्रत्यक्ष पक्ष हैं:

सफेद टीम जिम्मेदार प्रबंधक, ग्राहक की व्यावसायिक इकाइयों के आवश्यक प्रतिनिधि और सुरक्षा विशेषज्ञों की आवश्यक संख्या है जो काम के बारे में जानेंगे
ब्लू टीम - ग्राहक सुरक्षा सेवा सूचना सुरक्षा घटना का पता लगाने और प्रतिक्रिया के लिए
लाल टीम एक जिम्मेदार प्रबंधक है और लक्षित हमलों का अनुकरण करने वाले विशेषज्ञ हैं

एक प्रोजेक्ट पर रेड टीम का एक उदाहरण एक स्पॉइलर के तहत प्रस्तुत किया गया है

काम करने के तरीके

एक निर्धारित लक्ष्य पर हमलों का अनुकरण करने के लिए, समूह-आईबी विशेषज्ञ एक सिद्ध पद्धति का उपयोग करते हैं जिसमें अंतरराष्ट्रीय प्रथाओं को शामिल किया जाता है और संगठन की विशेषताओं को ध्यान में रखने के लिए एक विशिष्ट ग्राहक को शामिल किया जाता है और महत्वपूर्ण व्यावसायिक प्रक्रियाओं की निरंतरता को बाधित नहीं करता है।

रेड टीमिंग प्रारूप में परीक्षण का जीवन चक्र साइबर किल चेन के मॉडल का अनुसरण करता है और इसके निम्न सामान्यीकृत चरण होते हैं: लक्ष्य के संबंध में टोही, आयुध, वितरण, संचालन, स्थापना, नियंत्रण प्राप्त करना और क्रियाएं करना।

रेड टीमिंग केस ग्रुप-आईबी में से एक

सक्रिय निर्देशिका तक पहुँचना

ग्राहक उत्पादन खंड में कंपनियों का एक समूह था।

लक्ष्य कंपनी के मुख्यालय में सक्रिय निर्देशिका डोमेन नियंत्रक के लिए प्रशासनिक पहुंच प्राप्त करना है।

कार्य के दौरान, यह पाया गया कि ग्राहक मुख्यालय पर सभी प्रकार की पहुँच के लिए मल्टी-फैक्टर ऑथेंटिकेशन (स्मार्ट कार्ड) का उपयोग करता है, जिसमें दूरस्थ और बाहरी वेब सेवाएँ शामिल हैं। सोशल इंजीनियरिंग का उपयोग निषिद्ध है।

एक औद्योगिक कंपनी का सामान्यीकृत बुनियादी ढाँचा:

समूह-आईबी क्रियाएँ और परिणाम

समूह-आईबी विशेषज्ञों ने पूरी तरह से टोही की और यह निर्धारित किया कि मुख्यालय ने 14 कंपनियों का अधिग्रहण किया और उन्हें रेड टीम संचालन के दौरान अपनी सहायक कंपनियों में पुनर्गठित किया। रेड टीम समूह की सभी कंपनियों पर हमला करने की अनुमति प्राप्त करने में सफल रही। इसके बाद, डोमेन नियंत्रक शाखा1.domain.com सहित कमजोर सुरक्षा वाली एक सहायक कंपनी को "हैक किया गया" और वीपीएन को शाखा कार्यालय स्थानीय नेटवर्क (साइट-टू-साइट पूर्ण-जाल वीपीएन) के बीच खोजा गया था।

ग्राहक के पास सभी शाखाओं के लिए एक आधा-निर्मित सक्रिय निर्देशिका डोमेन फ़ॉरेस्ट था, लेकिन वह बाहरी नेटवर्क को अच्छी तरह से मजबूत नहीं कर सका (नीचे आंकड़ा देखें)।

नेटवर्क कनेक्शन अच्छी तरह से संरक्षित था। सक्रिय निर्देशिका फ़ॉरेस्ट डोमेन के बीच ट्रस्ट तंत्र ब्रांच 1.domain.com डोमेन पर नियंत्रकों के लिए काम नहीं किया। इस हमले को domain2.domain.com पर वितरित किया गया था, जिससे वहां डोमेन व्यवस्थापक अधिकार प्राप्त हुए।

सक्रिय निर्देशिका "हैक" करने का प्रारंभिक प्रयास:

केर्बोरस "गोल्डन टिकट" हमले का उपयोग करते हुए, रेड टीम ने खुद केर्बरोस प्रोटोकॉल के कार्यान्वयन सुविधाओं के कारण "निम्न स्तर" पर स्मार्ट कार्ड का उपयोग करके सुरक्षा को दरकिनार कर दिया। सक्रिय निर्देशिका डोमेन के बीच ट्रस्ट तंत्र का संचालन करके, टीम प्रधान कार्यालय में प्रशासनिक अधिकार प्राप्त करने में कामयाब रही।

मुख्य कार्यालय में सक्रिय निर्देशिका तक पहुँच:

इस प्रकार, मुख्यालय में डोमेन नियंत्रकों को "हैक" किया गया था।
समूह-आईबी विशेषज्ञों ने रेड टीमिंग परियोजना के लक्ष्य को प्राप्त किया है।

संक्षेप में देना

सभी सामग्री को पढ़ने के बाद, यह सवाल अभी भी उठ सकता है कि "साइबर-ऑर्डर" क्यों? मैं दोहराता हूं, रेड टीमिंग करके और नियंत्रित हमलों की प्रतिक्रिया का अभ्यास करके, आंतरिक सुरक्षा टीम हमले के शुरुआती चरणों में वास्तविक हमलावरों को रोकने और व्यवसाय के लिए सामग्री और प्रतिष्ठा की क्षति को रोकने के लिए पहले से अनिर्धारित खतरों का पता लगाने में अपने कौशल में सुधार कर सकती है। इसके अलावा, प्रशिक्षण के भाग के रूप में, एक घटना को संयुक्त रूप से हमलों को पुन: उत्पन्न करने और उनका मुकाबला करने के लिए आयोजित किया जा सकता है।

रेड टीमिंग प्रारूप में परीक्षण करने से संगठन को साइबर सुरक्षा की ताकत और कमजोरियों का पता चलता है, और यह आपको व्यावसायिक प्रक्रियाओं की निरंतरता और मूल्यवान डेटा की सुरक्षा के लिए इस क्षेत्र में सुधार योजना को परिभाषित करने की भी अनुमति देता है।

अपनी सुरक्षा रणनीति के हिस्से के रूप में रेड टीमिंग को जोड़कर, एक कंपनी समय के साथ सुरक्षा सुधारों को माप सकती है। इस तरह के औसत दर्जे का परिणाम अतिरिक्त सूचना सुरक्षा परियोजनाओं की आर्थिक व्यवहार्यता और सुरक्षा के आवश्यक तकनीकी साधनों की शुरूआत के लिए इस्तेमाल किया जा सकता है।

पूरे ग्रुप-आईबी रेड टीमिंग एनालिटिक्स की समीक्षा यहां मिल सकती है ।

सुरक्षा मूल्यांकन के रूप में लक्षित हमलों का अनुकरण। रेड टीमिंग साइबर निर्देश