Odkąd pojawiły się ofensywne testy bezpieczeństwa, oczekiwaliśmy, że test lub symulacja coś wykryje . Nawet jeśli tester penetracyjny nie odkryje problemu, najlepsi zawsze mogą osiągnąć sukces, wykorzystując phishing lub socjotechnikę wobec pracowników organizacji. W ten sam sposób ćwiczenia Red Team i Blue Team pokazują, że udaremnienie ataku zmotywowanego napastnika jest niemal niemożliwe – szanse na sukces są zdecydowanie po stronie atakującego, a dla obrońcy jest to niezwykle trudne.
Teraz, gdy organizacje dostrzegają wartość testów Red Team i Blue Team , ważne jest, aby zrozumieć, że testy te bardziej koncentrują się na ogólnym wpływie na zespół ds. cyberbezpieczeństwa niż na indywidualnych wynikach. Oczywiście, znalezienie luk w zabezpieczeniach lub chronionej powierzchni ataku jest ważne, ale Twój zespół nie odkryje ich wszystkich: największą wartość daje poprawa efektywności zespołu.
Ponieważ cyberbezpieczeństwo to nie tylko problem techniczny: nie chodzi tylko o rozwiązania w zakresie obrony obwodowej, polityki, reguły, systemy wykrywania, poprawki i inne kwestie. Cyberbezpieczeństwo to również problem operacyjny. Zwłaszcza w przypadku ataków o dużej wartości, cyberbezpieczeństwo ostatecznie sprowadza się do ludzi. Ataki to w większości działania napędzane przez ludzi, które szukają ścieżki najmniejszego oporu. Podobnie cyberobrona wymaga ekspertów ds. bezpieczeństwa. Chociaż niektóre zautomatyzowane systemy mogą zapobiegać prostym atakom lub je minimalizować, starannie zaplanowany atak musi zostać zweryfikowany i odpowiednio rozwiązany przez zespół ds. bezpieczeństwa.
Dlaczego jest to problem? Ponieważ zespoły ds. cyberbezpieczeństwa są przeciążone pracą i mają niedobory kadrowe. Zespoły nie mają czasu ani zasobów, aby reagować na wszystkie alerty, badać wszystkie zdarzenia, ani weryfikować i rozwijać wszystkie polityki; a nawet organizacje, które mają wolne miejsca dla dodatkowych specjalistów ds. bezpieczeństwa, mają trudności z obsadzeniem tych stanowisk z powodu dotkliwego globalnego niedoboru specjalistów ds. cyberbezpieczeństwa . Te warunki prawdopodobnie nie zmienią się w najbliższym czasie. Zespoły ds . cyberbezpieczeństwa muszą stać się bardziej wydajne i skuteczne, aby skupić się na zdarzeniach, które naprawdę mają znaczenie. Właśnie tutaj testy ofensywne mogą być pomocne.
Testy Red Team-Blue Team powinny przede wszystkim pomóc w ujawnieniu poziomu wydajności i skuteczności Twojego zespołu.
Przeprowadzając te ćwiczenia, zespoły ds. cyberbezpieczeństwa mogą lepiej zrozumieć, które z ich systemów najlepiej nadają się do wykrywania istotnych aktywnych zagrożeń i jak dobrze są one widoczne. Systemy o niskiej dokładności i dużej liczbie fałszywych alarmów raczej nie będą pomocne w tym zadaniu. W rzeczywistości niektóre systemy mogą wręcz działać wbrew założeniom, jeśli chodzi o wydajność i skuteczność oraz zdolność do zapewnienia bezpieczeństwa organizacji. Oczywiście, ocena bieżącego działania takich narzędzi i systemów bezpieczeństwa – poza zaplanowanym ćwiczeniem – pozwoli określić ich przydatność. Test Red Team-Blue Team pozwoli jednak umieścić te doświadczenia w kontekście ataków i może być decydującym sprawdzianem ich skuteczności.
Niektóre organizacje zmodyfikowały testowanie Red Team-Blue Team , uwzględniając komponent Purple Team, ale nie zmienia to ogólnego celu. Niezależnie od tego, czy Purple Team jest sformalizowaną funkcją, jednym z głównych celów powinno być zrozumienie, czy mamy wszystko, czego potrzeba, aby wykryć aktywny atak i zapobiec lub zminimalizować jego skutki. Można pogrążyć się w nomenklaturze i sporach o to, jak najlepiej zorganizować ofensywne testy i oceny, ale jednym z najważniejszych rezultatów powinno być zrozumienie operacyjnego aspektu bezpieczeństwa i tego, jak skutecznie zespół, wspomagany narzędziami i systemami, potrafi wykryć i powstrzymać atak.
Testowanie Red Team-Blue Team jest zatem cenne nie tylko dla przewidywania reakcji organizacji na atak, ale także dla określenia ogólnej zdolności zespołu ds. cyberbezpieczeństwa do reagowania. Podczas przeprowadzania tych testów kluczowe jest posiadanie narzędzi takich jak platforma Stellar Cyber , która generuje alerty o wysokiej dokładności i minimalizuje liczbę fałszywych alertów, pomagając zespołowi skupić się na rzeczywistych problemach.
