Қорғаныс қауіпсіздігін сынау тобы

Кіріспе

Қауіпсіздік туралы ақпаратты ұсынатын топ.

Қызыл команда – бұл ұйымның тапсырмасы бойынша жау рөлін сомдайтын, ұйымның жүйесіне физикалық немесе цифрлық түрде енуге тырысатын және ұйымның қорғанысын жақсарту үшін нәтижелерді баяндайтын топ. Қызыл командалар ұйым үшін жұмыс істейді немесе ұйым тарапынан жалданады. Олардың жұмысы заңды, бірақ кейбір қызметкерлерді таң қалдыруы мүмкін, себебі олар қызыл команданың жұмыс істеп жатқанын білмейді немесе олардың алдауына нанып қалуы мүмкін. Қызыл команданың кейбір анықтамалары кеңірек болып, ұйым ішіндегі ойлау шеңберінен шығып, стандартты емес сценарийлерді қарастыруға бағытталған кез келген топты қамтиды. Бұл жалған көзқарастар мен топтық ойлауға қарсы маңызды қорғаныс құралы болуы мүмкін. «Қызыл команда» термині 1960 жылдары АҚШ-та пайда болған. Техникалық қызыл команда жүйелер мен компьютерлерді цифрлық түрде бұзуға бағытталған. Сонымен қатар, ұйымның желілерін және компьютерлерін шабуылдан қорғауға жауапты киберқауіпсіздік мамандарынан құралған «көк команда» да болуы мүмкін. Техникалық қызыл команда шабуыл векторларын қолданып, жүйеге қол жеткізеді, содан кейін мүмкін болатын құрылғыларды анықтау үшін барлау жүргізеді. Деректерді іздеу парольдер мен сессия cookie-лары сияқты құпия ақпаратты табуды қамтиды, ал олар табылган жағдайда, қосымша компьютерлерді бұзу үшін пайдаланылуы мүмкін. Үшінші тараптардың жүйеге енуі кезінде, қызыл команда ұйымды қорғауға көмектесу үшін көк командамен бірігіп жұмыс істей алады. Қызыл команданың жаттығулары кезінде зақым келтірмеу үшін әрекет ету ережелері мен стандартты процедуралар қолданылады. Физикалық қызыл команда шектеулі аймақтарға кіру үшін команданы жіберуге бағытталған. Бұл қоршаулар, камералар, дабылдар, құлыптар және қызметкерлердің мінез-құлқы сияқты физикалық қауіпсіздікті сынау және жақсарту үшін жасалады. Техникалық қызыл команда сияқты, физикалық қызыл командалардың жаттығулары кезінде залал шекпеу үшін әрекет ету ережелері қолданылады. Физикалық қызыл команда көбінесе ақпарат жинау және қауіпсіздіктегі әлсіздіктерді анықтау үшін барлау кезеңін қамтиды, содан кейін бұл ақпарат ғимаратқа физикалық түрде кіру үшін операция жүргізу үшін (әдетте түнде) пайдаланылады. Қауіпсіздік құрылғылары құралдар мен әдістерді қолдану арқылы анықталады және осыздандырылады. Физикалық қызыл команда мүшелеріне сервер бөлмесіне кіру және портативті дискіні алу немесе басшының кеңсесіне кіру және құпия құжаттарды алу сияқты нақты міндеттер беріледі. Қызыл командалар киберқауіпсіздік, әуежай қауіпсіздігі, құқық қорғау органдары, әскери және барлау қызметтері сияқты бірнеше салаларда қолданылады. АҚШ үкіметінде қызыл командаларды Армия, Теңіз жаяу әскерлері, Қорғаныс министрлігі, Федералдық авиация басқармасы және Көлік қауіпсіздігі басқармасы қолданады.

A red team is a group that pretends to be an enemy, attempts a physical or digital intrusion against an organization at the direction of that organization, then reports back so that the organization can improve their defenses. Red teams work for the organization or are hired by the organization. Their work is legal, but can surprise some employees who may not know that red teaming is occurring, or who may be deceived by the red team. Some definitions of red team are broader, and include any group within an organization that is directed to think outside the box and look at alternative scenarios that are considered less plausible. This can be an important defense against false assumptions and groupthink. The term red teaming originated in the 1960s in the United States. Technical red teaming focuses on compromising networks and computers digitally. There may also be a blue team, a term for cybersecurity employees who are responsible for defending an organization's networks and computers against attack. In technical red teaming, attack vectors are used to gain access, and then reconnaissance is performed to discover more devices to potentially compromise. Credential hunting involves scouring a computer for credentials such as passwords and session cookies, and once these are found, can be used to compromise additional computers. During intrusions from third parties, a red team may team up with the blue team to assist in defending the organization. Rules of engagement and standard operating procedures are often utilized to ensure that the red team does not cause damage during their exercises. Physical red teaming focuses on sending a team to gain entry to restricted areas. This is done to test and optimize physical security such as fences, cameras, alarms, locks, and employee behavior. As with technical red teaming, rules of engagement are used to ensure that red teams do not cause excessive damage during their exercises. Physical red teaming will often involve a reconnaissance phase where information is gathered and weaknesses in security are identified, and then that information will be used to conduct an operation (typically at night) to gain physical entry to the premises. Security devices will be identified and defeated using tools and techniques. Physical red teamers will be given specific objectives such as gaining access to a server room and taking a portable hard drive, or gaining access to an executive's office and taking confidential documents. Red teams are used in several fields, including cybersecurity, airport security, law enforcement, the military, and intelligence agencies. In the United States government, red teams are used by the Army, Marine Corps, Department of Defense, Federal Aviation Administration, and Transportation Security Administration.

Тарих

Қызыл және көк командалар туралы ұғым 1960 жылдардың басында пайда болды. Қызыл команданың алғашқы мысалдарының бірі – RAND корпорациясы, ол АҚШ әскерилері үшін модельдеу жүргізді. «Қызыл команда» және қызыл түс Кеңес Одағын, ал «көк команда» және көк түс АҚШ-ты бейнелеу үшін қолданылды. Қызыл командалар кейде «қарама-қарсы ойлаумен» және топтық ойлаумен күресумен байланысты, яғни топтардың тіпті кері дәлелдерге қарамастан, болжамдар жасауға және оларды ұстануға бейімділігімен. Қызыл команда деп аталмаған, бірақ топтық ойлаумен күресу үшін топ құрудың ең алғашқы мысалдарының бірі – 1973 жылғы Йом Киппур соғысы кезінде Израильдің шешім қабылдауындағы сәтсіздіктерден кейін құрылған Израильдің Ипча Мистабрасы. Израильге жасалған шабуыл, алдын ала жеткілікті дәлелдер болғанына қарамастан, Израильді дайын емес ұстады және Израильдің жеңіліске ұшырауына жақын болды. Ipcha Mistabra соғыстан кейін құрылды және сыртқы саясат пен барлау есебін әрқашан қарама-қарсы, күтпеген немесе дәстүрден тыс талдау түрінде ұсыну міндеті алды, осылайша маңызды мәселелер назардан тыс қалмауы тиіс еді. 2000 жылдардың басында қызыл командалар үстел үстіндегі жаттығуларда қолданылған мысалдары бар. Үстел үстіндегі жаттығу көбінесе алғашқы жауап берушілер тарапынан қолданылады және ең нашар сценарийлерді ойнау мен жоспарлауды қамтиды, бұл үстел ойынына ұқсас. 11 қыркүйекке жасалған шабуылға жауап ретінде, терроризмге қарсы күрес мақсатында Орталық барлау агенттігі жаңа «Қызыл жасушаны» құрды, ал қызыл командалар терроризм сияқты асимметриялық соғысқа жауап беруді модельдеу үшін пайдаланылды. Ирак соғысының сәтсіздіктеріне жауап ретінде АҚШ армиясында қызыл командалар жиі пайда бола бастады. Уақыт өте келе қызыл командалық практика басқа салалар мен ұйымдарға, соның ішінде корпорацияларға, мемлекеттік органдарға және коммерциялық емес ұйымдарға тарады. Бұл тәсіл киберқауіпсіздік саласында кең танымал болды, онда қызыл командалар ұйымның цифрлық инфрақұрылымына нақты шабуылдарды модельдеу және олардың киберқауіпсіздік шараларының тиімділігін сынау үшін қолданылады.

The concept of red teaming and blue teaming emerged in the early 1960s. One early example of red teaming involved the think tank RAND Corporation, which did simulations for the United States military during the Cold War. "Red team" and the color red were used to represent the Soviet Union, and "blue team" and the color blue were used to represent the United States. Red teams are sometimes associated with "contrarian thinking" and fighting groupthink, the tendency of groups to make and keep assumptions even in the face of evidence to the contrary. One example of a group that was not called a red team, but that arguably was one of the earliest examples of forming a group to fight groupthink, is the Israeli Ipcha Mistabra that was formed after Israeli decision making failures during the Yom Kippur War in 1973. The attack against Israel nearly took Israel by surprise despite ample evidence of an impending attack, and almost resulted in Israel's defeat. Ipcha Mistabra was formed after the war, and given the duty of always presenting a contrarian, unexpected, or unorthodox analysis of foreign policy and intelligence reports, so that things would be less likely to be overlooked going forward. In the early 2000s, there are examples of red teams being used for tabletop exercises. A tabletop exercise is often used by first responders and involves acting out and planning for worst case scenarios, similar to playing a tabletop board game. In response to the September 11 attacks, with anti terrorism in mind, the Central Intelligence Agency created a new Red Cell, and red teams were used for modeling responses to asymmetric warfare such as terrorism. In response to the failures of the Iraq War, red teaming became more common in the United States Army. Over time, the practice of red teaming expanded to other industries and organizations, including corporations, government agencies, and non profit organizations. The approach has become increasingly popular in the world of cybersecurity, where red teams are used to simulate real world attacks on an organization's digital infrastructure and test the effectiveness of their cybersecurity measures.

Киберқауіпсіздік

Техникалық қызыл командалық құру – ұйымның цифрлық қауіпсіздігін оның компьютерлік желілеріне цифрлық түрде енуге талпыну арқылы сынау болып табылады.

Терминология

Көк команда – бұл кіріп келгендерге қарсы қорғанысқа жауапты топ. Киберқауіпсіздікте ену тестісі этикалық хакерлердің ("пен-тестерлердің") компьютерлік жүйеге бұзуға тырысуын қамтиды, онда жайттандырылмаған жағдай болмайды. Ұйым ену тестісі туралы хабардар және қорғаныс шараларын қолдануға дайын. Қызыл команда одан да бір қадам басып, физикалық ену, әлеуметтік инженерия және күтпеген элементтерді қосады. Көк командаға қызыл команда туралы ешқандай алдын ала ескерту берілмейді және олар оны нағыз кіріп-шығу ретінде қарастырады. Қызғылт команда – екі команданың уақытша біріктірілуі, ол тест кезінде жылдам ақпараттық жауап беруге мүмкіндік береді. Қызғылт команданың бір артықшылығы – қызыл команда белгілі бір шабуылдарды қайталап жасаса, көк команда оны анықтау бағдарламасын орнату, калибрлеу және анықтау деңгейін үнемі арттыру үшін пайдалана алады. Қызғылт командалар "қауіпті іздеу" сессияларына қатыса алады, онда қызыл және көк командалар екеуі де нағыз кіріп келгендерді іздейді. Басқа қызметкерлерді қызғылт командаға тарту да пайдалы, мысалы, журналдау және бағдарламалық ескертулерге көмектесетін бағдарламалық жасақтама инженерлері, сондай-ақ ең көп қаржылық зиян келтіретін сценарийлерді анықтауға көмектесетін менеджерлер. Қызғылт командалық жұмыстың бір қаупі – жайбажайлық пен топтық ойлаудың дамуы, оған қарсы әртүрлі біліктіліктері бар адамдарды жалдау немесе сыртқы қызметкерді тарту арқылы күресуге болады. Ақ команда – қызыл және көк командалар арасындағы операцияларды қадағалап, басқаратын топ. Мысалы, бұл компания менеджерлері болуы мүмкін, олар қызыл команда үшін қағидаларды белгілейді.

Шабуыл

Қызыл команданың немесе қарсыластың бастапқы кіру нүктесі плацдарм деп аталады. Сайып келгенде көк команда көбінесе плацдармды табуға және шабуылшыларды жоюға бейім. Қызыл команданың міндеттерінің бірі – көк команданың біліктілігін арттыру. Кірген кезде, көк команданың назарынан тыс қалатын және нақты мақсаты бар жасырын "хирургиялық" тәсіл де, күшпен шабуылдайтын "көлемді бомбалау" тәсілі де бар. Көлемді бомбалау көбінесе қызыл командалар үшін тиімдірек, себебі ол күтпеген осалдықтарды анықтауға мүмкіндік береді. Киберқорғанысқа қатысты түрлі қауіп-қатерлер бар. Қауіп-қатерлер желінің домен контроллерін бұзу сияқты дәстүрлі нәрселерден бастап, криптовалюта өндіру сияқты ерекше жағдайларға дейін, тіпті қызметкерлерге жеке ақпаратқа (PII) тым көп қол жеткізуге рұқсат беруге дейін болуы мүмкін, бұл компанияны Жалпы деректерді қорғау ережелеріне (GDPR) сәйкес айыппұл төлеуге алып келеді. Мұндай қауіп-қатерлердің кез келгенін қызыл команда зерттеп, мәселенің қаншалықты ауыр екенін анықтай алады. Үстел үстіндегі жаттығулар, яғни шабуылдарды ойын тәрізді үстел үстінде ойнау арқылы іске асыру, өте қымбат, күрделі немесе заңсыз шабуылдарды модельдеуге пайдалы. Қызыл және көк командаларға, сондай-ақ дәстүрлі нысаналарға қарсы шабуыл жасау да тиімді болуы мүмкін. Желіге қол жеткізілгеннен кейін, барлау жұмыстарын жүргізуге болады. Жиналған деректерді график дерекқорына орналастыруға болады, ол түйіндерді, қатынастарды және қасиеттерді визуализациялайтын бағдарламалық құрал. Типтік түйіндер компьютерлер, пайдаланушылар немесе рұқсат топтары болуы мүмкін. Қызыл командалар әдетте өз ұйымдарының толық графикалық дерекқорына ие болады, себебі олар өз алаңындағы артықшылықтарды пайдалана алады, соның ішінде көк командамен бірлесіп желінің толық картасын және пайдаланушылар мен әкімшілердің тізімін құруға болады. Cypher сияқты сұраныс тілі график дерекқорын құру және өзгерту үшін қолданылады. График дерекқорына кез келген әкімші тіркелгісін, тіпті Amazon Web Services (AWS) сияқты үшінші тарап құралдарының әкімшілерін де орналастыруға болады. Деректерді құралдардан экспорттап, содан кейін график дерекқорына енгізуге болады. Қызыл команда компьютер, веб-сайт немесе жүйеге енгеннен кейін, тиімді әдіс – құпия сөздерді іздеу. Олар ашық мәтіндік құпия сөздер, шифрланған мәтін, хэштер немесе кіру токендері түрінде болуы мүмкін. Қызыл команда компьютерге кіріп, басқа компьютерге кіруге болатын құпия сөздерді іздейді, содан кейін көптеген компьютерлерге кіру мақсатымен бұл процесті қайталайды. Құпия сөздер файлдар, Git сияқты бастапқы код репозиторийлері, компьютер жады және іздеу және журналдау бағдарламалық құралдары сияқты көптеген орындардан ұрлануы мүмкін. Cookie-ді және хэш-ті өткізу сияқты әдістер парольді енгізбей-ақ веб-сайттарға және машиналарға кіру үшін қолданылуы мүмкін. Сонымен қатар, оптикалық таңбаларды тану (OCR), әдепкі құпия сөздерді пайдалану, құпия сөз сұрауын жалғандау және фишинг сияқты әдістер де қолданылуы мүмкін. Қызыл команда кейбір тапсырмаларын автоматтандыру үшін компьютерлік бағдарламалау және командалық жол интерфейсі (CLI) скрипттерін пайдалана алады. Мысалы, CLI скрипттері Microsoft Office қолданбаларындағы тапсырмаларды автоматтандыру үшін Microsoft Windows машиналарында Компоненттік объект модельін (COM) пайдалана алады. Пайдалы тапсырмалар электрондық пошта жіберу, құжаттарды іздеу, шифрлау немесе деректерді алуды қамтиды. Қызыл командалар Internet Explorer COM, Google Chrome қашықтан жөндеу мүмкіндігі немесе Selenium тестілеу жүйесін пайдаланып браузерді басқара алады.

The initial entry point of a red team or an adversary is called the beachhead. A mature blue team is often adept at finding the beachhead and evicting attackers. A role of the red team is to increase the skills of the blue team. When infiltrating, there is a stealthy "surgical" approach that stays under the radar of the blue team and requires a clear objective, and a noisy "carpet bombing" approach that is more like a brute force attack. Carpet bombing is often the more useful approach for red teams, because it can discover unexpected vulnerabilities. There are a variety of cybersecurity threats. Threats may range from something traditional such as hacking the network's domain controller, or something less orthodox such as setting up cryptocurrency mining, or providing too much employee access to personally identifiable information (PII) which opens the company up to General Data Protection Regulation (GDPR) fines. Any of these threats can be red teamed, in order to explore how severe the issue is. Tabletop exercises, where intrusions are acted out over a tabletop similar to how one would play a board game, can be used to simulate intrusions that are too expensive, too complicated, or illegal to execute live. It can be useful to attempt intrusions against the red team and the blue team, in addition to more traditional targets. Once access to a network is achieved, reconnaissance can be conducted. The data gathered can be placed in a graph database, which is software that visually plots nodes, relationships, and properties. Typical nodes might be computers, users, or permission groups. Red teams will usually have very good graph databases of their own organization, because they can utilize home field advantage, including working with the blue team to create a thorough map of the network, and a thorough list of users and administrators. A query language such as Cypher can be used to create and modify graph databases. Any type of administrator account is valuable to place in the graph database, including administrators of third party tools such as Amazon Web Services (AWS). Data can sometimes be exported from tools and then inserted into the graph database. Once the red team has compromised a computer, website, or system, a powerful technique is credential hunting. These can be in the form of clear text passwords, ciphertext, hashes, or access tokens. The red team gets access to a computer, looks for credentials that can be used to access a different computer, then this is repeated, with the goal of accessing many computers. Credentials can be stolen from many locations, including files, source code repositories such as Git, computer memory, and tracing and logging software. Techniques such as pass the cookie and pass the hash can be used to get access to websites and machines without entering a password. Techniques such as optical character recognition (OCR), exploiting default passwords, spoofing a credential prompt, and phishing can also be used. The red team can utilize computer programming and command line interface (CLI) scripts to automate some of their tasks. For example, CLI scripts can utilize the Component Object Model (COM) on Microsoft Windows machines in order to automate tasks in Microsoft Office applications. Useful tasks might include sending emails, searching documents, encrypting, or retrieving data. Red teams can take control of a browser using Internet Explorer's COM, Google Chrome's remote debugging feature, or the testing framework Selenium.

Қорғау

Нағыз шабуыл кезінде қызыл команда қорғануға көмектесу үшін көк командамен бірлесіп жұмыс істеуге қайта бағытталуы мүмкін. Атап айтқанда, олар шабуылшылардың әрі қарай қандай әрекеттерге баруы мүмкін екенін талдауға көмектеседі. Шабуыл кезінде қызыл және көк команданың екеуі де өз желілері мен жүйелерін жақсы білуі себепті, шабуылшыға қарағанда артықшылыққа ие болады. Машиналарды қорғау тәсілдеріне операциялық жүйенің қабырғасын (firewall) конфигурациялау, Secure Shell (SSH) және Bluetooth қолжетімділігін шектеу, журналдауды және ескертулерді жақсарту, файлдарды қауіпсіз жою және қатты дискілерді шифрлау кіреді. Бір тактика – "белсенді қорғаныс" стратегиясын қолдану, ол шабуылшылардың орнын анықтауға көмектесетін алдау құрылғылары мен honeypot-тарды орнатуды қамтиды. Бұл honeypot-тар көк команданы желіге жасалған шабуыл туралы ескертуге көмектеседі, бұл шабуыл әйтпесе байқалмауы мүмкін еді. Операциялық жүйеге байланысты honeypot файлын орнату үшін әртүрлі бағдарламалық құралдарды пайдалануға болады: macOS құралдары OpenBMS, Linux құралдары auditd плагиндерін, ал Windows құралдары жүйеге кіруді басқару тізімдерін (SACL) қамтиды. Хабарламаларға ашылатын терезелер, электрондық пошта және журналдық файлға жазу кіруі мүмкін. Маңызды журналдық файлдардың басқа машинадағы журналдау бағдарламасына жылдам жіберілуімен орталықтандырылған мониторинг пайдалы желі қорғаныс тәсілі болып табылады.

Қызыл команданы басқару

Жұмыс істеу ережелерін қолдану қандай жүйелерге қол жеткізуге тыйым салынғанын анықтауға, қауіпсіздік оқиғаларының алдын алуға және қызметкерлердің жеке өміріне құрмет көрсетуді қамтамасыз етуге көмектеседі. Стандартты операциялық процедураны (СОП) қолдану тиісті адамдардың хабардар етілуін және жоспарлауға қатысуын қамтамасыз етеді, сондай-ақ қызыл команда процесін жетілдіріп, оны дамыған және қайталанатын етеді. Қызыл команданың қызметі әдетте белгілі бір үлгіде жүзеге асырылады. Нақты бір көрсеткіштерді немесе негізгі өнімділік көрсеткіштерін (KPI) қадағалау қызыл команданың қажетті нәтижеге жеткенін анықтауға көмектеседі. Қызыл команданың KPI мысалдарына жылына белгілі бір мөлшерде ену сынақтарын жүргізу немесе белгілі бір уақыт ішінде команданы белгілі бір мөлшерде тестілеушілермен (пентестерлермен) ұлғайту кіруі мүмкін. Сонымен қатар, бұзылған машиналардың, бұзылуға осал машиналардың және басқа да енуге қатысты көрсеткіштерді қадағалау да пайдалы болуы мүмкін. Бұл статистиканы күн сайын график түрінде көрсетуге болады және қауіпсіздік операциялары орталығында (SOC) орналасқан панельде көрсетуге болады, бұл көк команданы бұзушылықтарды анықтауға және жоюға ынталандырады. Ең көп бұзушылық жасағандарды анықтау үшін бұзушылықтарды бағдарламалық құралдың қай бөлігінде, компания кеңсесінің орналасқан жері, лауазымы немесе бөлімі бойынша топтастыруға болады. Монте-Карло симуляцияларын қолдану арқылы қандай шабуыл сценарийлері ең мүмкін, ең зиянды немесе екеуі де болуы мүмкін екенін анықтауға болады. Тестілеу деңгейі моделі, қабілеттілік деңгейі моделінің бір түрі, қызыл команданың қаншалықты дамығанын және келесі қадамның қандай болу керектігін бағалау үшін қолданылуы мүмкін. MITRE ATT&CK Navigator, тактика, техника және процедуралардың (TTP) тізімі, соның ішінде кеңейтілген тұрақты қауіптерді (APT) қамтиды, қызыл команда қанша TTP пайдаланатынын анықтау үшін және болашақта қолдануға болатын қосымша TTP идеяларын алу үшін қарастырылуы мүмкін.

Физикалық ену

Физикалық қызыл команда жасау немесе физикалық енуді тестілеу – бұл объектінің физикалық қауіпсіздігін, оның ішінде оның қызметкерлерінің қауіпсіздік шараларын және қауіпсіздік жабдықтарын тексеруден тұрады. Қауіпсіздік жабдықтарына қауіпсіздік камералары, құлыптар және қоршаулар жатады. Физикалық қызыл команда жасауда компьютерлік желілер көбінесе нысана болып табылмайды. Киберқорғауға қарағанда, онда әдетте қауіпсіздіктің көптеген деңгейлері болады, ал физикалық қауіпсіздікте бір немесе екі деңгей ғана болуы мүмкін. Клиентпен бөлісетін "әрекет ету ережелері" құжаты болуы тиімді, ол қолданылатын TTP-лерді, қай жерлерге шабуыл жасауға рұқсат етілетінін, қай жерлерге шабуыл жасауға болмайтынын, құлыптар мен есіктер сияқты жабдықтарға қаншалықты зиян келтіруге рұқсат етілетінін, жоспардың қандай екенін, мақсаттардың қандай екенін және байланыс ақпаратын көрсетуге көмектеседі. Әрекет ету ережелері барлау кезеңінен кейін жаңартылуы мүмкін, содан кейін қызыл команда мен клиент арасында тағы бір келісім жасалады. Барлау кезеңінде жиналған деректер операциялық жоспарды құру үшін қолданылуы мүмкін, ол ішкі пайдалану үшін де, клиенттің бекітуі үшін де жарамды.

Барлау

Қызыл команданың жұмысының бір бөлігі – барлау жүргізу. Әдетте жиналатын барлау ақпарына адамдар, орындар, қауіпсіздік құрылғылары және ауа райы туралы мәліметтер кіреді. Барлаудың бастауы әскери саладан, сондықтан әскери барлау әдістері физикалық қызыл командаға да қолданылады. Қызыл команданың барлау құралдарына оңай жыртылмайтын әскери киім, түнгі көруді сақтау және көзге түспеу үшін қызыл шамдар, радио және құлаққаптар, камера және үш аяқты штатив, бинокль, түнгі көру құралдары және кез келген ауа райына арналған блокнот кіруі мүмкін. Далалық байланыс әдістеріне күндіз ұялы телефонға қосылған Bluetooth құлаққаптары, ал түнде екі бағытты радиостанциялар мен құлаққаптар жатады. Құпия ашылған жағдайда, қызыл команда мүшелері көбінесе жеке куәліктері мен, команданың қызметінің заңдылығын растай алатын бірнеше байланыс адамдарының телефондары бар уәкілеттік хаттарын алып жүреді. Физикалық барлау жүргізер алдында, ашық дереккөзді барлау (OSINT) жүргізілуі мүмкін, ол интернет арқылы нысандар мен қызметкерлерді зерттеуді қамтиды, соның ішінде компанияның веб-сайты, әлеуметтік желілердегі аккаунттары, іздеу жүйелері, карталар және жұмыс жарнамалары (ол компания қолданатын технология мен бағдарламалық жасақтама туралы ақпарат береді). Көп күндік барлау жүргізу, күндіз де, түнде де барлау жасау, кем дегенде үш операторды жұмылдыру, нысанды көзге түсірмейтін жақын жердегі базалық пунктті пайдалану және барлау мен енуді екі бөлек сапарға бөлу – жақсы тәжірибе. Барлау топтары өздерін және жабдықтарын жасыру үшін әртүрлі тәсілдерді қолдана алады. Мысалы, жолаушылар микроавтобусін жалға алып, терезелерін қараңғылатып, нысанды түсірген фото- және бейнематериалдарды жасыруға болады. Ғимараттың құлыптарын тексеру және бейнеге түсіруді телефонмен сөйлесіп тұрғандай етіп көрсету арқылы жасыруға болады. Егер қызметкерлер күдік тудырса, бұрын дайындалған сылтауды сенімді түрде айтуға дайын болу керек. Команда бөлінген жағдайда, бір оператордың құпиясы ашылса, команда жетекшісі қалған операторларды кері қайтаруы мүмкін. Жасырын бейнекамералар кейін қарау үшін түсірілген материалды сақтауға, ал аймақтан шыққаннан кейін дереу хабарлама беруге және ақпаратты жылдам құжаттауға мүмкіндік береді.

Part of physical red teaming is performing reconnaissance. The type of reconnaissance gathered usually includes information about people, places, security devices, and weather. Reconnaissance has a military origin, and military reconnaissance techniques are applicable to physical red teaming. Red team reconnaissance equipment might include military clothing since it does not rip easily, red lights to preserve night vision and be less detectable, radios and earpieces, camera and tripod, binoculars, night vision equipment, and an all weather notebook. Some methods of field communication include a Bluetooth earpiece dialed into a cell phone conference call during the day, and two way radios with earpieces at night. In case of compromise, red team members often carry identification and an authorization letter with multiple after hours contacts who can vouch for the legality and legitimacy of the red team's activities. Before physical reconnaissance occurs, open source intelligence (OSINT) gathering can occur by researching locations and staff members via the Internet, including the company's website, social media accounts, search engines, mapping websites, and job postings (which give hints about the technology and software the company uses). It is a good practice to do multiple days of reconnaissance, to reconnoiter both during the day and at night, to bring at least three operators, to utilize a nearby staging area that is out of sight of the target, and to do reconnaissance and infiltration as two separate trips rather than combining them. Recon teams can use techniques to conceal themselves and equipment. For example, a passenger van can be rented and the windows can be blacked out to conceal photography and videography of the target. Examining and videoing the locks of a building during a walk around can be concealed by the recon pretending to be on the phone. In the event of compromise, such as employees becoming suspicious, a story can be rehearsed ahead of time until it can be recited confidently. If the team has split up, the compromise of one operator can result in the team leader pulling the other operators out. Concealed video cameras can be used to capture footage for later review, and debriefs can be done quickly after leaving the area so that fresh information is quickly documented.

Кіру

Қызыл команданың көптеген физикалық операциялары түнде жүзеге асырылады, себебі объектінің күзеті әлсірейді және қараңғылық іс-қимылды жасыруға мүмкіндік береді.

Дайындық

Жүк тізімін пайдалану қызыл команданың маңызды жабдықтарын ұмытып кетуден сақтауға көмектеседі. MOLLE жилеттері және кішкентай тактикалық сөмкелер сияқты әскери жабдықтар құралдарды сақтау үшін ыңғайлы орындар ұсынуы мүмкін, бірақ олар көзге түсетін және жүктеме артуға себеп болатын кемшіліктері де бар. Ауылдық аймақтарда қара киім немесе қараңғы түсті камуфляж пайдалы болуы мүмкін, ал қалалық аймақтарда сұр және қара түстердегі көше киімдері қолайлырақ болуы мүмкін. Қалалық маскировкаға қосымша ноутбук қапшығы немесе мойынға ілген құлаққаптар да жатады. Сыртқы және ішкі ортада іздерді азайту үшін әртүрлі аяқ киім жамылғыларын қолдануға болады.

Қадамдасу

Жарық тәртібін сақтау (көліктердің, фонарьлардың және басқа құралдардың жарықтарын ең төмен деңгейде ұстау) жасырынып қалу қаупін азайтады. Жарық тәртібінің тактикалық әдістеріне қызыл фонарьларды қолдану, тек бір көлік пайдалану және көліктің фараларын өшіру кіреді. Инфильтрация кезіндегі жасырынып қалу мүмкіндігі нысанға жақындағанда ең жоғары болады. Қызметкерлер, күзетшілер, полиция және жанындағы адамдар физикалық қызыл команда үшін ең үлкен қауіпті құрайды. Ауылдық жерлерде жанындағы адамдар сирек кездеседі, бірақ олар күдік тудыруы мүмкін. Дұрыс қимыл-қозғалыс қызыл командаға нысанаға жақындағанда байқалудан аулақ болуға көмектеседі, соның ішінде жылдамдап жүру, иықтап жүру, төбелерде силуэттің көрінбеуін қамтамасыз ету, бір қатарда немесе ұсақ топтарда жүру, қысқа қадамдармен және тоқтаулармен жүру кіреді. Шуды азайту үшін қол сигналдарын пайдалануға болады.

Құрылысқа кіру

Қауіпсіздік құрылғыларына есіктер, құлыптар, қоршаулар, дабылдар, қозғалыс сенсорлары және жер сенсорлары жатады. Есіктер мен құлыптарды құлыпты ашудың орнына, құралдар мен аралықтарды пайдаланып айналып өту көбінесе жылдамырақ және үнсіз болады. RFID құлыптары бизнестерде кең таралған, ал жасырын RFID оқырмандар барлау кезінде әлеуметтік инженериямен біріктіріліп, рұқсат етілген қызметкердің идентификациялық картасын көшіруге қолданылуы мүмкін. Қоршаулардағы тікенді сымды қалың көрпемен жауып айналып өтуге болады. Қарқынды қоршауларды баспалдақтармен айналып өтуге болады. Дабылдар кейде дабылдардың ішкі және сыртқы байланысы үшін қолданатын жиіліктерді басуға арналған радио кедергісімен тоқтатылуы мүмкін. Қозғалыс сенсорларын адамның жылу белгісін жабатын, дене өлшеміне сәйкес қорғаныспен жеңуге болады. Жер сенсорлары қате оң нәтижелерге бейім, бұл қауіпсіздік қызметкерлерін оларға сенбеуге немесе назар алмауға әкелуі мүмкін.

Құрылыс ішінде

Егер ғимаратқа кіргеннен кейін, ғимаратта адамдар болуы мүмкін деген күдік туса, тиісті киімді киіп, тазалаушы немесе қызметкер болып көріну тиімді тактика болып табылады. Ғимарат ішінде шуылға қатысты тәртіпті сақтау жиі маңызды, себебі қызыл команданың шуын жасыратын сыртқы дыбыстар аз болады. Қызыл командалар әдетте мақсатты орындарды анықтап, әр командаға немесе команда мүшесіне алдын ала жоспарланған міндеттерді жүктейді, мысалы, серверлік бөлмеге немесе басшының кеңсесіне кіру. Дегенмен, бөлменің орналасқан жерін алдын ала анықтау қиын болуы мүмкін, сондықтан мұндай жағдайда оны оқиға барысында анықтауға тура келеді. Төтенше жағдайларда эвакуация жолын көрсететін белгілерді оқу және компасы бар сағатты пайдалану ғимарат ішінде бағдарлануға көмектеседі. Сауда орындарындағы ғимараттарда көбінесе шамдар жанған күйінде қалады. Шамдарды қосу немесе өшіруден аулақ болу жақсы, себебі бұл біреудің назарын аударуы мүмкін. Оның орнына, қызыл команда операциялары үшін жарық жоқ аймақтарды пайдалану артық, ал жарық аймақтардан жылдам өту үшін асығу және тоқтау әдістерін қолдану қажет. Терезелердің алдында толық боймен тұру және вестибюль арқылы ғимаратқа кіру көріну қаупі болғандықтан көбінесе болдырмайды. Бұрыштар мен есік астына қарап, адамдарды, камераларды немесе қозғалыс датчиктерін анықтау үшін бореоскопты пайдалануға болады. Мақсатты бөлмеге жеткеннен кейін, егер нақты бір құжатты немесе жабдықты табу қажет болса, бөлмені бөліктерге бөлуге болады, ал қызыл команданың әрбір мүшесі бір бөлікке назар аударады. Парольдер көбінесе пернетақтаның астында жасырылған. Офистегі пернетақталар мен орындықтар сияқты заттардың орналасқан жерін өзгертуден аулақ болу үшін әдістерді қолдануға болады, себебі олардың орналасқан жеріне өзгеріс енгізсе, оны байқау мүмкін. Шамдар мен құлыптар бастапқы күйінде, жанған немесе сөнген, құлыпталған немесе ашық қалпында қалдырылуы мүмкін. Жабдықты артта қалдырмау үшін, әкелінген барлық жабдықтың тізімін жасап, барлық заттар есепке алынғанын тексеру қажет. Кездейсоқ жағдайлар орын алғанда команда басшысына жағдай туралы хабарлама (SITREP) жіберу жақсы тәжірибе. Команда басшысы операцияны жалғастыру керек пе, тоқтату керек пе, немесе команда мүшесі өзінің өкілеттік хаты мен жеке куәлігін көрсету арқылы берілу керек пе, соны шеше алады. Қызыл команда операторлары қызметкерлер сияқты азаматтарға тап болғанда әлеуметтік инженерияны қолдануға тырысуы мүмкін. Заңды күштік құрылымдармен кездескенде, құқықтық және қауіпсіздік салдарынан дереу берілу жақсы тәжірибе.

Once inside, if there is suspicion that the building is occupied, disguising oneself as a cleaner or employee using the appropriate clothing is a good tactic. Noise discipline is often important once inside a building, as there are less ambient sounds to mask red team noises. Red teams usually have goal locations selected and tasks pre planned for each team or team member, such as entering a server room or an executive's office. However, it can be difficult to figure out a room's location in advance, so this is often figured out on the fly. Reading emergency exit route signs and the use of a watch with a compass can assist with navigating inside of buildings. Commercial buildings will often have some lights left on. It is good practice to not turn lights on or off, as this may alert someone. Instead, utilizing already unlit areas is preferred for red team operations, with rushing and freezing techniques to be used to quickly move through illuminated areas. Standing full height in front of windows and entering buildings via lobbies is often avoided due to the risks of being seen. A borescope can be used to peer around corners and under doors, to help spot people, cameras, or motion detectors. Once the target room has been reached, if something needs to be found such as a specific document or specific equipment, the room can be divided into sections, with each red team member focusing on a section. Passwords are often located under keyboards. Techniques can be used to avoid disturbing the placement of objects in offices such as keyboards and chairs, as adjusting these will often be noticed. Lights and locks can be left in their original state of on or off, locked or unlocked. Steps can be taken to ensure that equipment is not left behind, such as having a list of all equipment brought in and checking that all items are accounted for. It is good practice to radio situation reports (SITREPs) to the team leader when unusual things happen. The team leader can then decide if the operation should continue, should be aborted, or if a team member should surrender by showing their authorization letter and ID. When confronted by civilians such as employees, red team operators can attempt social engineering. When confronted by law enforcement, it is good practice to immediately surrender due to the potential legal and safety consequences.

Құрылыстан шығу

Одан шығудың ең жақсы жолы кіру тәсіліне ұқсас, баяу және сақтықпен болу керек. Міндетті орындағаннан кейін асығып шығуға құлшыныс тууы мүмкін, бірақ бұл дұрыс емес. Баяу және сақтықпен шығу, айналаңызға назар сақтауға мүмкіндік береді, себебі бұрын бос болған жерде енді адам болуы немесе сол жаққа келіп жатуы мүмкін. Шығу кезінде әдетте кіру жолы қолданылса да, жақын маңындағы немесе басқа жолмен шығуға да болады. Команданың барлық мүшелерінің мақсаты – жиналу орнына немесе қажет болған жағдайда екінші резервтік жиналу орнына жетіп қосылу. Жиналу орны көбінесе түсіру орнынан бөлек болады.

Компаниялар мен ұйымдар

Жеке компаниялар кейде қалыпты қауіпсіздік шаралары мен қызметкерлерін күшейту үшін "қызыл командаларды" пайдаланады. Мысалы, Microsoft және Google өз жүйелерінің қауіпсіздігін арттыру үшін қызыл командаларды қолданады. Еуропадағы кейбір қаржы мекемелері TIBER EU аясын пайдаланады.

Ақпараттық агенттіктер

Ақпараттық жұмыстарда қолданылғанда, қызыл команданы кейде баламалы талдау деп атайды. Баламалы талдау – басқа топтың қорытындыларын қайта тексеру, болжамдарға күдік тудыру және ештеңе қабылданбағанын қамтамасыз ету үшін жаңа сарапшыларды тартуды білдіреді. 2011 жылы Осама бен Ладенді өлтіруге әкелген ақпаратты қарау үшін үш қызыл команда пайдаланылды, оның ішінде Орталық барлау агенттігінен тыс командалар да болды. Себебі Пәкістанға әскери операция жүргізудің маңызды дипломатиялық және қоғамдық қатынастар тұрғысынан салдары болуы мүмкін болғандықтан, бастапқы команданың ақпаратын және қорытындыларын қайта тексеру өте маңызды болды. Йом Кипур соғысын болжаудағы сәтсіздіктен кейін Израиль қорғаныс күштерінің барлау басқармасы "Ипча Мистабра" ("керісінше") деп аталатын қызыл команда құрды, ол қабылданбаған болжамдарды қайта қарастырып, немқұрайлылықтан сақтануға бағытталған.

Әскери қызмет

Әскерилер әдетте қызыл команданы баламалы талдау, симуляция және осалдықты зерттеу үшін қолданады. Әскери соғыс ойынында симуляциялық қақтығыстағы қарсылас күш (OPFOR) «Қызыл жасуша» деп аталуы мүмкін. Негізгі тақырып – қарсылас (қызыл команда) қажетті актерді еліктеуге арналған тактиканы, техниканы және жабдықты қолданады. Қызыл команда операциялық жоспарлауды ойдағыдай қарсылас рөлін ойнату арқылы сынап бағалайды. Ұлыбритания Қорғаныс министрлігінің қызыл команда бағдарламасы бар. 2003 жылғы Қорғаныс ғылымдары жөніндегі кеңес 11 қыркүйекке дейін болған кемшіліктерді болдырмау үшін оларды ұсынғаннан кейін, АҚШ Қарулы Күштерінде қызыл командалар жиірек қолданыла бастады. АҚШ Армиясы 2004 жылы Армияның бағытталған зерттеулер бюросын құрды. Бұл бірінші деңгейлік қызыл команда болды және 2011 жылға дейін Қорғаныс министрлігінде (DoD) ең ірісі болды. Шетелдік әскери және мәдени зерттеулер университеті қызыл команда мүшелері мен жетекшілеріне курстар ұсынады. Көптеген резиденттік курстар Форт Ливенвортта өткізіледі және АҚШ Армиясының Командалық-штаб колледжінің (CGSC) немесе оған баламалы орта және жоғары деңгейдегі мектептерінің студенттеріне арналған. Курстарда сыншыл ойлау, топтық ойлауды жеңілдету, мәдени сезімталдық және өзін-өзі талдау сияқты тақырыптар қарастырылады. Теңіз жаяу әскерлерінің қызыл командасының тұжырымдамасы 2010 жылы Теңіз жаяу әскерлері корпусының (CMC) генерал-майыры Джеймс Ф. Амос оны енгізуге тырысқан кезде басталды. Амос «Теңіз жаяу әскерлері корпусындағы қызыл команда» атты ақ қағазды жазды. Бұл құжатта Амос қызыл команданың тұжырымдамасы жоспарлау және шешім қабылдау процесін тактикалық деңгейден стратегиялық деңгейге дейін сынға алуы керек екенін талқылады. 2013 жылдың маусым айында Теңіз жаяу әскерлері корпусы ақ қағаздың жобасында белгіленген қызыл команда лауазымдарын толықтырды. Теңіз жаяу әскерлері корпусында қызыл команда лауазымдарына тағайындалған барлық теңізшілер Шетелдік әскери және мәдени зерттеулер университетінің (UFMCS) ұсынатын алты немесе тоғыз апталық қызыл команда оқу курстарын аяқтайды. Қорғаныс министрлігі өз желілерін бағалау үшін кибер-қызыл командаларды пайдаланады. Бұл қызыл командалар Ұлттық қауіпсіздік агенттігімен сертификатталған және АҚШ Стратегиялық қолбасшылығымен аккредиттелген. 11 қыркүйекке дейін FAA-ның қызыл команданы пайдалануы Бостонның Логан халықаралық әуежайындағы қауіпсіздіктегі ауыр кемшіліктерді көрсетті, онда 9/11-дегі төрт ұшырылған рейстің екеуі басталған. Бұл командаларға қатысқан бұрынғы FAA тергеушілерінің кейбіреулері FAA сынақтардың нәтижелерін әдейі назарсыз қалдырды деп санайды және бұл АҚШ-қа жасалған 9/11 террористик шабуылына ықпал етті. АҚШ Көлік қауіпсіздігі басқармасы бұрын да қызыл команданы пайдаланған. Қызыл команданың бір операциясы кезінде жасырын агенттер Көлік қауіпсіздігі қызметкерлерін алдап, 2015 жылы 70 рет тексеруден қару мен жалған жарылғыш заттарды 67 рет өткізіп жіберді.

Militaries typically uses red teaming for alternative analysis, simulations, and vulnerability probes. In military wargaming, the opposing force (OPFOR) in a simulated conflict may be referred to as a Red Cell. The key theme is that the adversary (red team) leverages tactics, techniques, and equipment as appropriate to emulate the desired actor. The red team challenges operational planning by playing the role of a mindful adversary. The United Kingdom Ministry of Defence has a red team program. Red teams were used in the United States Armed Forces much more frequently after a 2003 Defense Science Review Board recommended them to help prevent the shortcomings that led to the September 11 attacks. The U. S. Army created the Army Directed Studies Office in 2004. This was the first service level red team, and until 2011 was the largest in the Department of Defense (DoD). The University of Foreign Military and Cultural Studies provides courses for red team members and leaders. Most resident courses are conducted at Fort Leavenworth and target students from U. S. Army Command and General Staff College (CGSC) or equivalent intermediate and senior level schools. Courses include topics such as critical thinking, groupthink mitigation, cultural empathy, and self reflection. The Marine Corps red team concept commenced in 2010 when the Commandant of the Marine Corps (CMC) General James F. Amos attempted to implement it. Amos drafted a white paper titled, Red Teaming in the Marine Corps. In this document, Amos discussed how the concept of the red team needs to challenge the process of planning and making decisions by applying critical thinking from the tactical to strategic level. In June 2013, the Marine Corps staffed the red team billets outlined in the draft white paper. In the Marine Corps, all Marines designated to fill red team positions complete either six week or nine week red team training courses provided by the University of Foreign Military and Cultural Studies (UFMCS). The DoD uses cyber red teams to conduct adversarial assessments on their networks. These red teams are certified by the National Security Agency and accredited by the United States Strategic Command. Before the September 11 attacks, FAA use of red teaming revealed severe weaknesses in security at Logan International Airport in Boston, where two of the four hijacked 9/11 flights originated. Some former FAA investigators who participated on these teams feel that the FAA deliberately ignored the results of the tests, and that this resulted in part in the 9/11 terrorist attack on the US. The United States Transportation Security Administration has used red teaming in the past. In one red team operation, undercover agents were able to fool Transportation Security Officers and bring weapons and fake explosives through security 67 out of 70 times in 2015.