Organizacje często działają w oparciu o założenie, że mają kontrolę nad bezpieczeństwem swoich danych. Jednak nie mają żadnych dowodów na poparcie tego przekonania. Zdaniem ekspertów WithSecure, nawet jeśli firma zatrudnia specjalistów ds. cyberbezpieczeństwa i inwestuje w odpowiednie narzędzia, bez zintegrowanej strategii ochrony mogą ją czekać bardzo poważne konsekwencje. Aby zwiększyć poziom zabezpieczeń konieczne jest połączenie działań trzech zespołów - niebieskiego, czerwonego i fioletowego. Każdy z nich odpowiada za inne elementy ochrony, ale wspólnie zapewniają najwyższy poziom bezpieczeństwa danych firmowych.
Zespół niebieski - odpowiada na atak
Pierwszym poziomem ochrony i bazą do kolejnych działań, jest zespół niebieski. Tzw. blue teaming to wszystkie działania defensywne, które mają zapewnić bezpieczeństwo infrastrukturze IT w momencie ataku. Specjaliści sprawdzają odporność firmy na zagrożenia i ćwiczą skuteczność w identyfikowaniu i śledzeniu wszelkich anomalii. Wiedzą jakie zadania należy wykonać i kiedy.
Działania niebieskiego zespołu skupiają się też na ocenie gotowości i zdolności firmy do odpowiedzi na atak poprzez symulacje. Dają całościowy obraz aktualnego stanu zabezpieczeń firmy. Wynikiem pracy specjalistów z tej grupy są konkretne zalecenia dla organizacji dotyczące usprawnienia środków wykrywania i reagowania na naruszenia bezpieczeństwa.
Zespół czerwony - wciela się w przestępcę
W przeciwieństwie do defensywnych działań zespołu niebieskiego, red teaming odpowiada za ofensywę. Przeprowadza symulacje i wciela się w rolę atakujących. Specjaliści z zespołu czerwonego identyfikują potencjalne ścieżki, którymi przestępcy mogą dostać się do systemu firmy. Ich zadaniem jest zidentyfikowanie jak największej liczby luk w zabezpieczeniach systemu, które mogłyby zostać wykorzystane przez cyberprzestępców. Pomaga to wyłapać możliwości i ograniczenia stosowanych narzędzi do wykrywania ataków.
Red teaming to ostateczny test wytrzymałościowy, który pozwala określić, czy w przypadku ataku dostawcy rozwiązań cyberbezpieczeństwa będą wykonywać swoje obowiązki zgodnie z instrukcjami. Wynik symulacji dostarcza firmie kluczowych informacji o lukach, które mogą prowadzić do niewykrytego przez zespoły bezpieczeństwa incydentu. Jakiekolwiek zmiany czy usprawnienia w systemie zabezpieczeń firmy mogą być wprowadzane tylko wtedy, gdy znane jest ryzyko.
Zespół fioletowy - integruje działania
Działania zespołów czerwonych i niebieskich dostarczają informacji o najczęściej wykorzystywanych przez cyberprzestępców metodach ataków i pomagają dopasować reakcję do rodzaju zagrożenia. Najwyższy poziom bezpieczeństwa danych firmowych może zostać osiągnięty jeśli połączone zostaną działania defensywne i ofensywne. Tzw. purple teaming sprawdza, czy narzędzia wykrywania i reagowania mogą zidentyfikować i powstrzymać symulowane ataki.
Na tej podstawie przedsiębiorstwo może dostosować swoje strategie bezpieczeństwa i wykorzystywane narzędzia ochronne do tych działań przestępców, na które szczególnie narażony jest firmowy system.
Cyberprzestępcy ciągle znajdują nowe sposoby kradzieży danych i wykorzystują każdą lukę lub słabość systemu. Przedsiębiorstwa powinny maksymalnie utrudniać hakerom działanie i być zawsze o jeden krok przed nimi. Zintegrowanie kilku rodzajów narzędzi ochronnych może zapewnić przewagę i ochronić dane przed trafieniem w niepowołane ręce.
Autor: Tom Van de Wiele, Principal Technology & Threat Researcher, WithSecure
