Blue Team Red Team

Kilka lat temu mało kto o nich słyszał. Teraz stanowią podstawową część dbających o bezpieczeństwo firm i organizacji. Czym są zespoły Blue Team, Red Team? Dlaczego są obecnie tak ważne i jakie korzyści może przynieść ich zatrudnienie?

Blue Team – co to jest?

Na początku przyjrzyjmy się zespołowi niebieskiemu. Czym jest Blue Team? To nic innego jak osoby i używane przez nie narzędzia stojące na straży bezpieczeństwa informacyjnego danej jednostki. Przede wszystkim ich obowiązki polegają na prewencji i odpieraniu cyberataków. Dodatkowo Blue Team zajmuje się stałą analizą firmowych zasobów pod względem ich podatności na ataki. Powinni także stale myśleć o potencjalnych „słabych punktach” infrastruktury i testować ich odporność. Wiąże się to często z potrzebą posiadania sporej dozy kreatywności. Niełatwo bowiem wymyślać wciąż nowe scenariusze naruszenia barier ochronnych IT danej organizacji. Ogólnie rzecz ujmując, Blue Team zajmuje się szeroko pojętą prewencją i defensywą w zakresie cyberbezpieczeństwa.

Red Team – co to jest?

Red Team podejmuje z kolei działania ofensywne. Do grupy czerwonej mogą należeć zarówno pracownicy danej firmy lub organizacji jak i osoby z zewnątrz, wynajęte w celu przeprowadzenia testów. Jakie to testy? Ponownie nawiązujące do cyberbezpieczeństwa, tylko mające już charakter ataku. Członkowie Red Team wcielają się bowiem w role hakerów i używają przeróżnych technik mających na celu złamanie ochrony danej organizacji. Ich działanie ma być jak najbardziej podobne do prawdziwego ataku – odbywa się najczęściej bez ostrzeżenia i nie obejmuje jedynie narzędzi cyfrowych. Hakerzy mogą także podjąć próby fizycznego wykradnięcia danych (np. za pomocą pamięci przenośnej) lub manipulacji pracowników w celu uzyskania wrażliwych danych.

Praca Red Team nie zakłada dla swoich „ofiar” żadnej taryfy ulgowej, gdyż ma obnażyć nawet najmniejsze luki w ich systemach bezpieczeństwa. Atak ma stanowić jak najbardziej wiarygodną próbę, demonstrację wszystkiego, na co stać potencjalnego intruza. Właśnie dlatego do zespołów czerwonych często rekrutuje się „etycznych hakerów”. To osoby, które znają hakerskie środowisko oraz metody, jednak decydują się wykorzystywać tą wiedzę w uczciwych celach.

Blue Team, Red Team – czy powinny współpracować?

Najskuteczniejsza i najbardziej silna ochrona zasobów przedsiębiorstwa stanowi wypadkową pracy zarówno grupy niebieskiej jak i czerwonej. Jedna działa „od środka”, jako grupa defensywna, znająca firmę od podszewki, mająca informacje na temat sposobów pracy różnych działów. Team Blue zna słabe punkty, rutynowe działania i przyzwyczajenia poszczególnych pracowników. Może  zatem dostarczyć „czerwonym” wielu cennych informacji o tym, gdzie najlepiej przypuścić atak. Z kolei Red Team jest w stanie na bieżąco konsultować się z grupą niebieską w związku z przeprowadzaną ofensywą. Robi to, by trzymać zawsze rękę na pulsie i obserwować działania zaradcze.

W firmach przetwarzających szczególnie dużą ilość wrażliwych danych lub zajmujących się wyjątkowo ryzykownymi z punktu widzenia cyberbezpieczeństwa sprawami, uważa się że obecność obydwu teamów jest absolutnie obowiązkowa. Tylko ich współdziałanie zapewnia odpowiednią gotowość na ataki. Systematyczna, stała praca nad ciągłym ulepszaniem mechanizmów ochronnych także pozostaje koniecznością, gdyż oszuści i cyberprzestępcy ciągle wymyślają nowe metody na ominięcie zabezpieczeń.

Skąd pochodzą te nazwy?

Koncepcja drużyny niebieskiej i czerwonej prawdopodobnie wywodzi się z amerykańskiej taktyki wojennej. Podczas standardowych szkoleń i ustalania strategii dowództwo wojskowe przeprowadza liczne symulacje ataków i obrony. W tym celu jednostki znajdujące się po obu stronach oznaczono różnymi kolorami dla lepszego ich odróżniania. Czerwoni zajmują się ofensywą, a niebiescy obroną. Często ataki przeprowadza się w armii bez ostrzeżenia i w losowych terminach, tak by siły defensywy musiały pozostawać w stałej gotowości i by zachowywały czujność nawet w czasach pokoju. Ta taktyka ma także obnażać wszelkie słabe punkty armii i wyznaczać obszary rozwoju wojska amerykańskiego.

Wraz z rozwojem technologii informatycznych oraz coraz większą aktywnością hakerów i cyberoszustów, technikę tę zaadaptowano na potrzeby obrony zasobów informatycznych. Obecnie jednym z najlepiej opłacanych zawodów jest właśnie specjalista do spraw bezpieczeństwa IT, do którego obowiązków należy zarówno wcielanie się w uczestnika grupy niebieskiej jak i czerwonej.

Tester penetracyjny – kto to jest?

Z pracą red teams bardzo ściśle związana jest także profesja testera penetracyjnego. Przeprowadza on audyt systemu teleinformatycznego – zazwyczaj wynajmuje go duża korporacja, która chce sprawdzić szczelność systemu oraz odporność na ataki obsługujących go pracowników. Tester penetracyjny przeprowadza atak zgodnie z przekazanym mu zasobem danych. W przypadku minimalnej ilości informacji, jakimi dysponuje tester, odbywa się test black box. W jego trakcie atakujący musi złamać wszystkie hasła dostępowe zanim rozpocznie atak. Z drugiej strony istnieją testy crystal box, w których tester dysponuje dokumentacją, hasłami a nawet kodami źródłowymi. Dzięki temu jego atak staje się o wiele bardziej skuteczny i niebezpieczny.

Blue Team, Red Team – dlaczego są takie ważne?

Każda firma, nawet najmniejsza, może paść ofiarą ataku hakerskiego. Może być on spowodowany chęcią wykradnięcia danych, pieniędzy lub po prostu zaszkodzenia konkurencji. Większość zabezpieczeń technicznych nie daje dożywotniej gwarancji bezpieczeństwa. Szczególnie w czasach, gdy wyspecjalizowani przestępcy wciąż wpadają na nowe pomysły przenikania przez bariery ochronne przedsiębiorstw. Dodatkowo, ofiarą ataku mogą także paść sami pracownicy, których często gubi rutyna i spowodowana nią nieuwaga. Co zatem można zrobić, by się uchronić przed atakami? Stale podejmować próby ulepszenia swoich środków bezpieczeństwa, zakładania nowych scenariuszy ataków oraz testowania ich. Warto w tym celu zatrudnić specjalistów o dużej kreatywności i świeżym spojrzeniu na firmę z zewnątrz. Ich zapobiegliwość z pewnością pozwoli uchronić zasoby od różnego rodzaju ataków.