Kırmızı Takım ve Mavi Takım

Kırmızı takım/mavi takım tatbikatında, kırmızı takım bir kuruluşun siber güvenlik savunmasına saldırmaya çalışan saldırgan güvenlik uzmanlarından oluşur. Mavi takım ise kırmızı takımın hücumuna karşı savunma yapar ve karşılık verir.

Askeri eğitim tatbikatlarından esinlenen bu tatbikat, yüksek düzeyde eğitimli siber güvenlik uzmanlarından oluşan iki ekip arasındaki bir karşılaşmadır: çevreyi tehlikeye atmak amacıyla gerçek dünyadaki düşman ticari araçlarını kullanan kırmızı bir ekip ve olay müdahale ekiplerinden oluşan mavi bir ekip. Mavi takım, izinsiz girişleri tanımlamak, değerlendirmek ve müdahale etmek için güvenlik birimi içinde çalışır.

Kırmızı takım/mavi takım simülasyonları, organizasyonun günümüzün gelişmiş düşmanlarından gelen çok çeşitli siber saldırılara karşı korunmasında önemli bir rol oynamaktadır. Bu alıştırmalar kuruluşlara aşağıdaki konularda yardımcı olur:

• İnsanlarla, teknolojilerle ve sistemlerle ilgili güvenlik açıklarını belirlemek
• Öldürme zincirinin her aşamasında savunma amaçlı olay müdahale süreçlerinde iyileştirme alanlarını tespit etmek
• Hedefli bir saldırının nasıl tespit edileceği ve kontrol altına alınacağı konusunda kuruluşun ilk elden deneyim kazanmasını sağlamak
• Çevreyi normal çalışma durumuna döndürmek için müdahale ve iyileştirme faaliyetleri geliştirmek

Kırmızı Takım Nedir?

Kırmızı takım/mavi takım siber güvenlik simülasyonunda kırmızı takım, karmaşık saldırı teknikleri kullanarak kurumun siber savunmasındaki potansiyel zayıflıkları tespit etmeye ve bunlardan yararlanmaya çalışan bir rakip gibi hareket eder. Bu saldırı ekipleri, genellikle gerçek dünyadaki saldırı tekniklerini ve yöntemlerini taklit ederek sızma testlerine odaklanan oldukça deneyimli güvenlik profesyonellerinden veya bağımsız etik bilgisayar korsanlarından oluşur.

Kırmızı takım, genellikle kullanıcı kimlik bilgilerinin çalınması veya sosyal mühendislik teknikleri yoluyla ilk erişimi elde eder. Ağa girdikten sonra, kırmızı takım ayrıcalıklarını yükseltir ve ağın mümkün olduğunca derinlerine ilerleyerek, tespitten kaçınırken verileri dışarı çıkarmaya çalışır.

Kırmızı Takımın Önemi

Kırmızı takım oluşturma, gerçek dünyadaki saldırı teknikleri aracılığıyla kuruluşun güvenlik savunmasını ihlal eden bir saldırı yolunu sistematik ve titizlikle (ancak etik olarak) belirleme eylemidir. Bu düşmanca yaklaşımın benimsenmesi, kuruluşun savunmasını, güvenlik araçlarının ve sistemlerinin teorik yeteneklerine değil, bunların gerçek dünyadaki tehditler karşısındaki performansına dayandırır. Kırmızı takım oluşturma, şirketin önleme, tespit ve iyileştirme yeteneklerinin ve olgunluğunun doğru bir şekilde değerlendirilmesinde kritik bir bileşendir.

Mavi Takım Nedir?

Kırmızı takım hücum oynuyorsa, mavi takım savunmadadır. Tipik olarak bu grup, karmaşık siber saldırı ve tehdit türlerini durdurmak için nerede iyileştirmeler yapılması gerektiği konusunda BT güvenlik ekibine rehberlik sağlayan olay müdahale danışmanlarından oluşur. BT güvenlik ekibi, iç ağın çeşitli risk türlerine karşı korunmasından sorumludur.

Pek çok kuruluş, güvenliğin altın standardı olarak önlemeyi görse de tespit ve iyileştirme, genel savunma yetenekleri açısından eşit derecede önemlidir. Temel ölçümlerden biri kuruluşun “kaçış süresi”dir; bu, bir davetsiz misafirin ilk makineyi tehlikeye atması ile ağdaki diğer sistemlere yatay olarak geçebileceği zaman arasındaki kritik penceredir.

Kırmızı Takım/Mavi Takım Antrenmanlarının Faydaları

Kırmızı takım/mavi takım stratejisinin uygulanması, kuruluşların mevcut siber savunmalarını ve yeteneklerini düşük riskli bir ortamda aktif olarak test etmelerine olanak tanır. Bu iki grubu devreye sokarak, kuruluşun güvenlik stratejisini, şirketin benzersiz zayıflıkları ve güvenlik açıklarının yanı sıra en son gerçek dünya saldırı tekniklerine dayalı olarak sürekli olarak geliştirmek mümkündür.

Kırmızı Takım/Mavi Takım Çalışmalarının Avantajları

• Mevcut güvenlik ürünlerindeki yanlış yapılandırmaları ve kapsam boşluklarını belirleyin
• Hedefli saldırıları tespit etmek ve saldırı süresini iyileştirmek için ağ güvenliğini güçlendirin
• Güvenlik personeli arasında sağlıklı rekabeti artırın ve BT ile güvenlik ekipleri arasında işbirliğini teşvik edin
• Kuruluşun güvenliğini tehlikeye atabilecek insani güvenlik açıkları riskine ilişkin personel arasında farkındalığı artırın
• Güvenli, düşük riskli bir eğitim ortamında kuruluşun güvenlik yeteneklerinin becerilerini ve olgunluğunu geliştirin

Mor Takım Kimdir?

Bazı durumlarda şirketler, iç güvenlik ekipleriyle tam işbirliği yapmayan dış kaynaklarla kırmızı takım/mavi takım tatbikatı düzenlemektedir. Örneğin, kırmızı takım rolünü oynaması için tutulan dijital rakipler, saldırı tekniklerini mavi takımla paylaşmayabilir veya mevcut güvenlik altyapısındaki zayıf noktalar hakkında tam olarak bilgilendiremeyebilir; bu da tatbikat sonrasında bazı boşlukların kalma ihtimalini açık bırakır.

“Mor takım” terimi, uyum içinde çalışan kırmızı takım ve mavi takımı tanımlamak için kullanılır. Bu ekipler, kuruluşun genel güvenliğini artırmak için bilgi ve öngörüleri paylaşır.

Kırmızı Takım ve Mavi Takım Becerileri

Kırmızı Takım Becerileri

Başarılı bir kırmızı takım, ağa erişim sağlamak ve çevrede fark edilmeden ilerlemek için sofistike bir düşmanın zihniyetini benimsemelidir. Kırmızı takımın üyeleri hem teknik hem de yaratıcıdır; sistem zayıflıklarından ve insan doğasından faydalanma yeteneğine sahiptir. Kırmızı takımın, tehdit aktörü taktikleri, teknikleri ve prosedürleri (TTP’ler) ile günümüzün düşmanlarının kullandığı saldırı araçları ve çerçeveleri hakkında bilgi sahibi olması da önemlidir.

Kırmızı takımın bir üyesinin sahip olması gerekenler:

• Bilgisayar sistemleri ve protokollerinin yanı sıra güvenlik teknikleri, araçları ve önlemleri hakkında derin bir farkındalık
• Ortak güvenlik mekanizmalarını ve önlemlerini atlatmak için özel yapım araçlar geliştirmek amacıyla güçlü yazılım geliştirme becerileri
• Yaygın güvenlik açıklarından yararlanmaya ve sıklıkla izlenen veya kolayca tespit edilen faaliyetlerden kaçınmaya yardımcı olacak sızma testi deneyimi
• Ekip üyesinin başkalarını bilgi veya kimlik bilgilerini paylaşma konusunda yönlendirmesine olanak tanıyan sosyal mühendislik becerileri

Mavi Takım Becerileri

Mavi takım teknik olarak savunmaya odaklanmış olsa da işlerinin çoğu doğası gereği proaktiftir. İdeal olarak bu ekip, riskleri ve tehditleri kuruluşa zarar vermeden önce tespit edip etkisiz hale getirir. Ancak saldırıların ve düşmanların artan karmaşıklığı, bunu en yetenekli siber güvenlik uzmanları için bile neredeyse imkansız bir görev haline getirir.

Mavi takımın görevi eşit oranda önleme, tespit ve iyileştirmedir. Mavi takımın ortak becerileri şunları içerir:

• Kuruluşun kişiler, araçlar ve teknolojiler genelindeki güvenlik stratejisinin tam olarak anlaşılması
• En tehlikeli tehditleri doğru bir şekilde tanımlamak ve yanıtları buna göre önceliklendirmek için analiz becerileri
• Kimlik avı saldırılarını ve diğer web tabanlı ihlal tekniklerini önlemek için özellikle alan adı sistemi (DNS) ile ilgili olarak saldırı yüzeyini azaltmaya yönelik güçlendirme teknikleri
• Şirketin mevcut güvenlik tespit araçları ve sistemleri ile bunların uyarı mekanizmaları hakkında keskin farkındalık

Kırmızı Takım ve Mavi Takım Birlikte Nasıl Çalışır?

Kırmızı takım/mavi takım tatbikatları her türlü sağlam ve etkili güvenlik stratejisinin kritik bir parçasıdır. İdeal olarak bu alıştırmalar, kuruluşun ağ çevresindeki insanlar, süreçler ve teknolojilerdeki zayıflıkları belirlemesine ve ayrıca arka kapılar gibi güvenlik açıklarını ve güvenlik mimarisinde var olabilecek diğer erişim açıklarını belirlemesine yardımcı olur. Bu bilgiler, sonuçta müşterilerin savunmalarını güçlendirmelerine ve tehditlere daha iyi yanıt vermeleri için güvenlik ekiplerini eğitmelerine veya tatbikat yapmalarına yardımcı olur.

Birçok ihlal aylarca, hatta yıllarca fark edilmeden kalabileceğinden, kırmızı takım/mavi takım tatbikatlarının düzenli olarak yapılması önemlidir. Araştırmalar, saldırganların tespit edilip çıkarılmadan önce bir ağ ortamında ortalama 197 gün kaldıklarını gösteriyor. Bu durum, saldırganların bu süreyi arka kapılar kurmak veya gelecekte istismar edilebilecek yeni erişim noktaları oluşturmak amacıyla ağı değiştirmek için kullanabileceği şirketler için riskleri artırıyor.

Kırmızı Takım Egzersiz Örnekleri

Kırmızı ekipler, güvenlik mimarisindeki boşluklardan yararlanmak için çeşitli teknikler ve araçlar kullanır. Örneğin, bir bilgisayar korsanı rolünü üstlenen bir kırmızı ekip üyesi, güvenlik kontrollerini devre dışı bırakmak için ana bilgisayara kötü amaçlı yazılım bulaştırabilir veya erişim kimlik bilgilerini çalmak için sosyal mühendislik tekniklerini kullanabilir.

Kırmızı takım faaliyetleri genellikle, gerçek dünyadaki deneyim ve olaylara dayanan, düşman taktikleri, teknikleri ve yöntemlerine ilişkin küresel olarak erişilebilen bir bilgi tabanı olan MITRE ATT&CK Çerçevesi’ni takip eder. Çerçeve, her kuruluşun kendine özgü ihtiyaçlarına ve tehdit ortamındaki yeni gelişmelere göre özelleştirilebilecek önleme, tespit ve yanıt yeteneklerinin geliştirilmesi için bir temel görevi görür.

Kırmızı takım faaliyetlerine örnekler şunları içerir:

• Kırmızı ekip üyesinin çeşitli gerçek dünya tekniklerini kullanarak sisteme erişmeye çalıştığı sızma testi
• Çalışanları veya diğer ağ üyelerini ağ kimlik bilgilerini paylaşmaya, açıklamaya veya oluşturmaya yönlendirmeyi amaçlayan sosyal mühendislik taktikleri
• Yaygın güvenlik tekniklerini atlatmak amacıyla ağı haritalamak veya ortam hakkında daha fazla bilgi edinmek amacıyla iletişimi kesmek
• Sınırlandırılmamış alanlara giriş kazanmak için yöneticinin erişim kartlarını klonlama

Mavi Takım Egzersiz Örnekleri

Kurumun savunma hattı olarak görev yapan mavi ekip, kurumu korumak ve tespit yeteneklerindeki boşlukları tespit etmek için güvenlik araçlarından, protokollerden, sistemlerden ve diğer kaynaklardan yararlanır. Mavi takımın ortamı, kuruluşun yanlış yapılandırılmış araçlara, yama yapılmamış yazılımlara veya bilinen veya bilinmeyen diğer risklere sahip olabilecek mevcut güvenlik sistemini yansıtmalıdır.

Mavi takım egzersizlerine örnekler şunları içerir:

• DNS araştırmasının yapılması
• Ağ etkinliğinin temel çizgisini oluşturmak ve olağandışı veya şüpheli etkinlikleri daha kolay tespit etmek için dijital analiz yürütmek
• Ortam genelinde güvenlik yazılımını gözden geçirme, yapılandırma ve izleme
• Güvenlik duvarları, antivirüs ve kötü amaçlı yazılımdan koruma yazılımları gibi çevre güvenlik yöntemlerinin doğru şekilde yapılandırılmış ve güncel olmasını sağlamak
• En az ayrıcalıklı erişimin kullanılması; bu, bir ihlal durumunda ağdaki yanal hareketi sınırlamaya yardımcı olmak için kuruluşun her kullanıcıya veya cihaza mümkün olan en düşük erişim düzeyini vermesi anlamına gelir
• Ağın her parçasına ayrı erişimi sürdürmek için çevreyi küçük bölgelere bölmeyi içeren bir güvenlik tekniği olan mikro bölümlemeden faydalanma