purple team

Purple team to tryb pracy, w którym zespół atakujący i zespół broniący działają razem i na bieżąco przekładają wykonane techniki ataku na nowe reguły wykrywania. Rzadziej tak nazywa się stały zespół pełniący tę rolę. Sekurak opisuje purple teaming jako sytuację, w której red team przekazuje wiedzę obserwującym go w czasie rzeczywistym zespołom blue team, a obie strony wypełniają luki w detekcji ^[7]. Ramy Purple Team Exercise Framework określają takie ćwiczenia jako doraźne ćwiczenia zespołowe, w których biorą udział analitycy wywiadu o zagrożeniach, red team i blue team ^[2].

Skąd się wziął

Podział na dwa zespoły pochodzi z ćwiczeń. NIST definiuje red team jako grupę upoważnioną do naśladowania możliwości ataku potencjalnego przeciwnika wobec zabezpieczeń organizacji ^[1]. Blue team to grupa, która broni systemów organizacji przed takimi pozorowanymi napastnikami ^[1]. W klasycznym układzie strony pracują osobno, a wyniki poznają dopiero z raportu po ćwiczeniu. Purple team skraca tę pętlę: atakujący mówi, co i kiedy zrobił, a broniący od razu sprawdza, czy to zobaczył.

Jak działa

Ćwiczenie planuje się wokół konkretnych technik przeciwnika, zwykle opisanych w MITRE ATT&CK. MITRE określa ATT&CK jako ogólnodostępną bazę wiedzy o taktykach i technikach przeciwników, zbudowaną na obserwacjach z rzeczywistych ataków ^[3]. Wybór technik opiera się na threat intelligence, czyli wiedzy o tym, kto realnie atakuje podobne organizacje ^[2].

Pojedyncza technika przechodzi przez stały cykl, pokazany na schemacie poniżej.

RYS. 1Cykl jednej techniki w ćwiczeniu purple team

Do powtarzalnego wykonywania technik służą gotowe biblioteki testów. Atomic Red Team opisuje się jako bibliotekę testów przypisanych do ATT&CK, małych i łatwych do przeniesienia między środowiskami ^[6]. Wynikiem ćwiczenia nie jest lista podatności, jak w teście penetracyjnym, ale lista technik z oceną: wykryta, zalogowana bez alertu albo niewidoczna.

Porównanie z innymi formami testów

W WordPressie

Pojedyncza strona WordPress rzadko ma własne zespoły red i blue, ale idea przenosi się na mniejszą skalę: administrator albo firma utrzymaniowa wykonuje w środowisku testowym technikę ataku i sprawdza, czy monitoring ją zauważył. Punktem wyjścia są techniki typowe dla aplikacji WWW.

• T1190, wykorzystanie aplikacji dostępnej z internetu. ATT&CK wskazuje, że wykorzystywane aplikacje to często strony i serwery WWW ^[4]. W praktyce WordPressa oznacza to podatność we wtyczce. Pytanie kontrolne brzmi: czy log serwera i WAF zanotowały nietypowe żądanie.
• T1505.003, webshell. ATT&CK opisuje webshell jako skrypt na serwerze WWW, dający napastnikowi trwały dostęp ^[5], i zaleca obserwowanie tworzenia plików skryptowych w katalogach serwera oraz procesów powłoki uruchamianych przez serwer WWW ^[5]. Nieszkodliwy plik testowy w katalogu wp-content/uploads pozwala sprawdzić, czy monitorowanie integralności plików wyśle alert.
• Nowe konto administratora. Utworzenie konta testowego z rolą administratora sprawdza, czy dziennik zdarzeń i powiadomienia działają.

Każdy taki test kończy się decyzją: jeśli alertu nie było, trzeba dodać regułę albo źródło logów i powtórzyć próbę.

Znaczenie

Purple team przesuwa ocenę bezpieczeństwa z pytania „czy da się włamać” na pytanie „czy zobaczymy włamanie”. Łączy się z detection engineering, czyli budową i utrzymaniem reguł wykrywania, oraz z pracą zespołów SOC (Security Operations Center), które na co dzień obsługują alerty w systemie SIEM (Security Information and Event Management).

Korzyści widać w kilku miejscach:

• Luki w źródłach danych. Ćwiczenie często pokazuje, że technika w ogóle nie zostawia śladu, bo dany log nie jest zbierany. Taką lukę usuwa się konfiguracją, a nie nową regułą.
• Jakość reguł. Reguła napisana na podstawie rzeczywistego wykonania techniki jest sprawdzona na prawdziwych danych, a nie tylko na opisie.
• Wspólny język. Obie strony opisują wyniki tymi samymi identyfikatorami technik z ATT&CK ^[3], co ułatwia porównanie kolejnych ćwiczeń i raportowanie postępu.
• Materiał do polowania. Techniki, których nie udało się wykryć automatycznie, stają się hipotezami dla threat hunting (polowanie na zagrożenia).

Ograniczeniem jest zakres: ćwiczenie sprawdza tylko wybrane techniki, więc brak luk w ćwiczeniu nie oznacza braku luk w ogóle. Drugim ograniczeniem jest świadomość obrońców: skoro wiedzą o teście, ćwiczenie nie mierzy, czy zauważyliby atak bez uprzedzenia. Do tego służy klasyczne ćwiczenie red team, w którym zespół naśladuje przeciwnika wobec organizacji ^[1].

Historia i przykłady

W polskich źródłach pojęcie pojawia się m.in. w zapowiedziach konferencji x33fcon. W zapowiedzi z 2018 roku Sekurak opisywał red teamy naśladujące zachowanie napastników z pomocą ATT&CK i przekazujące wiedzę blue teamom obserwującym je w czasie rzeczywistym ^[7]. Zapowiedź trzeciej edycji konferencji, zorganizowanej 6–7 maja 2019 roku w Gdyni, wymienia pokaz testów bezpieczeństwa z ATT&CK, w które zaangażowane są obie strony, red i blue, określone jako purple teaming ^[8].