Positive Technologies рассказала, как red team готовятся к кибербитвам и почему одного скилла недостаточно

В блоге Positive Technologies вышла публикация о том, как тренируются команды red team и что определяет их результат на киберполигоне. Поводом для разбора стал опыт участия в кибербитве Standoff — соревнованиях, где атакующие команды отрабатывают реальные сценарии против защищаемой инфраструктуры. Авторы проводят прямую аналогию с командными видеоиграми: даже сильный игрок не гарантирует победы, если команда не знает карту, не обменивается информацией и не понимает, когда наступать, а когда держать оборону.

Подробности

Ключевая мысль материала — индивидуальный скилл каждого участника важен, но сам по себе не приводит к результату. В командных дисциплинах вроде CS 2 и Dota 2 победа зависит от распределения ролей, контроля карты, таймингов, качества обзора и общего плана на игру. В кибербитве действует та же логика: команда из десяти сильных специалистов может уступить более сыгранным соперникам, если группа не слажена, не понимает механики сражения и не располагает нужной инфраструктурой и компетенциями. Авторы формулируют это в виде своеобразной формулы успеха: техника × тактика × сыгранность × выносливость × дисциплина = результат Логика мультипликативной модели в том, что множители не компенсируют друг друга. Если хотя бы один из них стремится к нулю, общий результат также падает до нуля. Иными словами, отсутствие дисциплины или выносливости не удастся перекрыть даже самой сильной техникой, а провал в тактике не спасёт отдельными яркими действиями. Технических деталей, конкретных уязвимостей, версий продуктов или идентификаторов CVE в исходном материале не приводится: публикация носит методологический характер и посвящена организации работы red team, а не разбору отдельной атаки или инцидента.

Что делать

Практические выводы из материала касаются прежде всего ИБ-подразделений, которые развивают наступательные компетенции или проводят внутренние учения: — относиться к red team как к команде, а не как к набору отдельных пентестеров: заранее распределять роли и зоны ответственности; — отрабатывать тактику и сценарии до реальной битвы, а не импровизировать по ходу; — обеспечивать команду необходимой инфраструктурой и инструментами — без них даже опытные специалисты теряют эффективность; — тренировать устойчивость к длительным нагрузкам: длительные учения требуют выносливости; — поддерживать дисциплину и обмен информацией внутри группы, поскольку именно на этом чаще всего «ломается» результат. Итог: успех red team на киберполигоне определяется системной подготовкой, а не только сильными участниками, — и выстраивать эту подготовку стоит заранее.

Источник: Positive Technologies Blog