Kırmızı Takım mı Mavi Takım mı? Saldırgan Gibi Düşünmek ile Kurumu Savunmak

Ortak zemin: aynı kurum, aynı soru

Kırmızı takım ve mavi takım kavramları askerî tatbikat geleneğinden siber güvenliğe geçmiştir ve aynı soruya iki yönden bakar: bu kurumun savunması gerçek bir saldırıya dayanır mı?

ABD Ulusal Güvenlik Sistemleri Komitesi'nin sözlüğüne (CNSSI 4009-2022) göre kırmızı takım, olası bir hasmın saldırı ya da istismar yeteneklerini kurumun güvenlik duruşuna karşı taklit etmek üzere yetkilendirilmiş ve organize edilmiş bir gruptur. Hedefi, başarılı saldırıların etkisini ve savunucular, yani mavi takım için neyin işe yaradığını gerçek işletim ortamında göstererek kurumun siber güvenliğini iyileştirmektir.

Aynı sözlük mavi takımı, kurumun bilgi sistemlerini sahte saldırganlara (kırmızı takım) karşı güvenlik duruşunu koruyarak savunan grup olarak tanımlar. İkinci bir tanımda mavi takım, ağ zafiyet değerlendirmeleri yapan, tehditleri ve riskleri belirleyen ve iyileştirme önerileri sunan bir ekip olarak da geçer.

Yani iki takım rakip değildir. Kırmızı takımın başarısı, mavi takımın öğrendikleriyle ölçülür.

Ölçüt ölçüt kırmızı ve mavi takım

• Ölçüt: Temel görev. Kırmızı: hasmı taklit ederek kuruma sızmaya, ilerlemeye ve hedefe ulaşmaya çalışır. / Mavi: saldırıyı önler, tespit eder, müdahale eder ve sistemleri yeniden güvenli hale getirir.
• Ölçüt: Çalışma ritmi. Kırmızı: belirli kapsam, kurallar ve süreyle planlanan tatbikatlar. / Mavi: sürekli izleme ve olay müdahalesi, yani günlük operasyon.
• Ölçüt: Bakış açısı. Kırmızı: saldırgan gibi düşünür, en zayıf halkayı arar. / Mavi: bütün halkaları korumak ve görünür kılmak zorundadır.
• Ölçüt: Tipik işler. Kırmızı: keşif, sosyal mühendislik senaryoları, ilk erişim, yetki yükseltme, ağ içinde yanal hareket. / Mavi: log ve olay izleme, alarm triyajı, tehdit avcılığı, olay müdahalesi, sıkılaştırma ve yama yönetimi.
• Ölçüt: Başarı ölçüsü. Kırmızı: hedefe ulaşıp ulaşamadığı ve bunu ne kadar fark edilmeden yaptığı. / Mavi: saldırı adımlarını ne kadar erken gördüğü ve ne kadar hızlı durdurduğu.
• Ölçüt: Çıktı. Kırmızı: saldırı zinciri, kullanılan teknikler ve fark edilmeyen adımlar raporu. / Mavi: tespit kuralları, müdahale prosedürleri ve iyileştirilmiş yapılandırmalar.
• Ölçüt: Tipik roller. Kırmızı: kırmızı takım operatörü, sızma testi uzmanı. / Mavi: güvenlik operasyon merkezi analisti, olay müdahale uzmanı, tehdit avcısı, güvenlik mühendisi.

Mavi takım kurumun içinde kalıcı bir işlevdir; kırmızı takım ise kurum içinde bir ekip olabileceği gibi dışarıdan dönemsel olarak da çalıştırılabilir.

Kırmızı takım çalışması sızma testinden nasıl ayrılır?

İki kavram sık karıştırılır, çünkü ikisinde de izinli saldırı yapılır. Ayrım, neyin sınandığındadır.

NIST'in tanımladığı biçimiyle (NIST SP 800-115) sızma testi, değerlendiricilerin gerçek saldırıları taklit ederek bir uygulamanın, sistemin ya da ağın güvenlik özelliklerini aşma yollarını aradığı güvenlik testidir; çoğu sızma testi, tek bir zafiyetle elde edilemeyecek erişimi sağlayan zafiyet birleşimlerini arar. Odak teknik zafiyetlerdir ve hedef, belirli bir kapsamdaki açıkları olabildiğince eksiksiz bulmaktır.

Kırmızı takım çalışmasının odağı ise kurumun bütün güvenlik duruşudur. Belirli bir hedefe, örneğin kritik bir veri tabanına ya da yönetici hesabına ulaşmak için gerçek bir hasmın izleyeceği yolu izler; insanları, süreçleri ve savunma ekibinin tespit ve müdahale yeteneğini de sınar. Bu nedenle kırmızı takım bütün açıkları bulmaya çalışmaz, hedefe ulaşan yolu bulmaya ve bu yolda savunmanın nerede kör kaldığını göstermeye çalışır.

Olgunluk açısından da bir sıra vardır. CNSSI tanımı, mavi takım çalışmasının çoğu zaman tek başına ya da kırmızı takımdan önce, sistemleri kırmızı takım sınamadan önce olabildiğince güvenli hale getirmek için kullanıldığını belirtir. Temel açıklar kapanmadan yapılan bir kırmızı takım tatbikatı, sızma testinin bulacağı şeyleri daha pahalı yoldan bulur.

Mor takım: iki tarafı aynı masaya oturtmak

Klasik bir kırmızı takım tatbikatında saldırı biter, rapor yazılır ve mavi takım bulguları haftalar sonra okur. Bu arada hangi alarmın neden çalmadığı, hangi logun eksik olduğu gibi ayrıntılar unutulur. Mor takım (purple team) yaklaşımı bu kopukluğu kapatmak için ortaya çıkmıştır.

Mor takım genellikle ayrı bir ekip değil, bir çalışma biçimidir. Kırmızı takım bir saldırı tekniğini uygular, mavi takım aynı anda ya da hemen ardından bu tekniği görüp görmediğini kontrol eder. Görmediyse eksik veri kaynağı ya da tespit kuralı birlikte belirlenir, kural yazılır ve teknik yeniden denenir. MITRE ATT&CK gibi saldırgan tekniklerini sınıflandıran bilgi tabanları, iki tarafın aynı dili konuşması için sık kullanılır.

Bu döngü, tek seferlik bir sınavı sürekli bir iyileştirme mekanizmasına çevirir.

Hangi yolda kariyer: kırmızı mı mavi mi?

• Sistemlerin nasıl kırılabileceğini merak ediyor, araştırmacı ve yaratıcı bir çalışma tarzını seviyorsanız kırmızı takım tarafı size daha yakın olabilir. Bu yolda ağ ve işletim sistemi bilgisi, web uygulama güvenliği, betik yazma ve sosyal mühendislik senaryoları öne çıkar. Giriş çoğu zaman sızma testi işleriyle başlar.
• Düzenli izleme, iz sürme ve olay anında soğukkanlı karar vermekten keyif alıyorsanız mavi takım tarafı uygundur. Log analizi, güvenlik operasyon merkezi araçları, olay müdahale süreçleri ve tehdit istihbaratı temel becerilerdir. Giriş çoğu zaman güvenlik operasyon merkezinde analist olarak başlar.
• İki tarafın da temeli ortaktır: ağ protokolleri, işletim sistemleri, kimlik ve erişim yönetimi. Bir taraftaki deneyim diğerini güçlendirir; saldırı tekniklerini bilen analist daha iyi kural yazar, savunmanın neyi gördüğünü bilen operatör daha gerçekçi senaryo kurar.

Kurum açısından da benzer bir soru vardır: sınırlı bütçeyle önce mavi takımın görünürlüğünü ve müdahale yeteneğini güçlendirmek, kırmızı takım tatbikatını bu temel oturduktan sonra yapmak genellikle daha verimlidir.

Sık yapılan hatalar

• Kırmızı takımı "geçti ya da kaldı" sınavı gibi görmek. Amaç mavi takımı mahcup etmek değil, savunmanın kör noktalarını bulmaktır; rapor suçlu aramaya dönerse ekipler bilgi paylaşmayı bırakır.
• Kapsam ve kuralları yazmadan başlamak. Hangi sistemlere dokunulabileceği, hangi tekniklerin yasak olduğu ve tatbikatın nasıl durdurulacağı önceden yazılı olarak belirlenmeli ve yetkili yönetici tarafından onaylanmalıdır.
• Bulguları yalnız teknik açık listesine indirgemek. Kırmızı takımın asıl değeri, hangi adımın fark edilmediğini göstermesidir; bu adımlar tespit kurallarına dönüşmedikçe aynı yol açık kalır.
• Mavi takımı yalnız alarm izleyen bir ekip olarak tasarlamak. Sıkılaştırma, zafiyet yönetimi ve müdahale tatbikatları da savunmanın parçasıdır.
• Sızma testi yaptırıp kırmızı takım tatbikatı yapıldığını sanmak. İkisi farklı soruları yanıtlar ve birbirinin yerine geçmez.

Mindset programlarında iki takım

Siber güvenliğe giriş yapan ya da rol değiştirmek isteyen BT profesyonelleri için iki tarafı birlikte görmek, hangi yolda ilerleyeceğine karar vermeyi kolaylaştırır. Siber Güvenlik Bootcamp Programı güvenlik değerlendirme ve test ile güvenlik operasyonlarını ayrı konular olarak ele alır; böylece saldırı simülasyonu ile tespit ve müdahale aynı programda yan yana çalışılır. İki tarafı ortak döngüde çalıştırmak isteyen ekipler için Purple Team ve Saldırı Simülasyonu eğitimi, savunma tarafında uzmanlaşmak isteyenler için SOC Analist Sertifika Programı bu çalışmayı derinleştirir.