Red Teaming

งาน red team ลงลึกและไปไกลกว่า penetration test ทั่วไป แทนที่จะไล่นับช่องโหว่ใน scope ตายตัว เราเลียนแบบ tactics, techniques และ procedures ที่ผู้โจมตีจริงใช้กับองค์กรแบบคุณ มีเป้าหมายชัด มี attack chain เต็มรูปแบบ และปล่อยให้ทีมป้องกันของคุณไม่รู้ตัว จุดประสงค์ไม่ใช่พิสูจน์ว่ามีบั๊กอยู่ แต่ตอบคำถามที่ยากกว่านั้น ถ้ามีคนบุกเข้ามาจริง จะรู้ตัวไหม แล้วรับมือได้เร็วแค่ไหน นี่คือการประเมินที่เราแนะนำเมื่อลูกค้าเสริมความแข็งแรงของระบบมาระดับหนึ่งแล้ว และอยากทดสอบคนกับกระบวนการที่อยู่รอบระบบเหล่านั้น

บริการ

• Cyber Drill & Adversary Simulation — จำลอง TTP ของผู้โจมตีเพื่อประเมินการควบคุมความปลอดภัย ได้ผลเหนือกว่า table-top exercise เพราะครอบคลุมกลไกป้องกันทั้งด้านเทคนิคและกระบวนการ
• Purple Teaming — แจกแจงเทคนิคของผู้โจมตีเพื่อทดสอบความสามารถของ blue team ฝึกทีมป้องกันให้จำลองการโจมตีซ้ำเองเพื่อพัฒนาต่อเนื่อง และปิดช่องว่างระหว่าง red team กับ blue team
• Hybrid Table Top Exercise (Hybrid HTTX) — TTX เวอร์ชันยกระดับ มีหลักฐานจริงและสถานการณ์จำลองแบบ hands-on บนฐาน gamification ครอบคลุมตั้งแต่ภัยไซเบอร์ทั่วไปจนถึง TTP ล่าสุด และยกระดับ incident response

ขั้นตอนการทำงาน

ทุกงาน red team เดินตามกระบวนการห้าขั้นเหมือนกัน เป้าหมายจึงชัดตลอด แม้ตัวปฏิบัติการจะทำแบบลับ

1. Scoping & objectives — ตกลงกันก่อนว่า "สำเร็จ" ในแบบฝึกนี้หมายถึงอะไร เข้าถึงระบบ crown-jewel เฉพาะจุด ดึงชุดข้อมูลที่ทำเครื่องหมายไว้ออกมา หรือยึด domain admin ให้ได้โดยไม่จุดชนวนการรับมือ คุณกำหนดรางวัล เรากำหนดเส้นทางที่สมจริงไปหามัน proposal ระบุเป้าหมาย ระยะเวลา และขอบเขตไว้ชัด ไม่ใช่งานปลายเปิด
2. Rules of engagement — ก่อนเริ่มกิจกรรมใด ๆ ตกลงกันเรื่องระบบที่ห้ามแตะ testing window การอนุญาตทางกฎหมาย safe word และวง "trusted agent" กลุ่มเล็กที่รู้ว่าปฏิบัติการกำลังเดินอยู่ ตรงนี้ปกป้อง production ของคุณ และให้ช่องทางชัดในการแยกกิจกรรมของเราออกจากเหตุโจมตีจริง
3. Reconnaissance & execution — เราปะติดปะต่อภาพองค์กรจากภายนอก ทั้งคน infrastructure ที่เปิดสู่โลกภายนอก และ supply chain แล้วไล่ตาม attack chain ไปหาเป้าหมายที่ตกลงไว้ ตั้งแต่ initial access, ตั้ง foothold, privilege escalation, lateral movement จนถึง action on objectives เทคนิคที่เลือกออกแบบมาให้เหมือนผู้โจมตีจริง ไม่ใช่ปลุก alarm ทุกตัวขึ้นมาพร้อมกัน
4. Reporting — คุณจะได้ attack narrative ที่อ่านเหมือนเรื่องเล่าว่าไปถึงเป้าหมายได้ยังไง แมปกับช่องว่างการตรวจจับและรับมือที่มันเผยออกมา พร้อมไทม์ไลน์ที่ SOC เอาไปเทียบกับ log ตัวเองได้ เขียนให้สองกลุ่มอ่าน ผู้บริหารที่ต้องเห็นภาพความเสี่ยง กับทีมป้องกันที่ต้องทำซ้ำและแก้ทีละขั้น
5. Retest & debrief — เราพา blue team ไล่ดู kill chain ทั้งสายใน debrief เล่นเทคนิคซ้ำให้พวกเขายืนยันว่าการตรวจจับที่ปรับปรุงแล้วใช้ได้ และยืนยันว่าช่องว่างปิดจริง ปิดงานด้วยการนั่งคุย ไม่ใช่โยน PDF ทิ้งไว้ในอินบ็อกซ์

Pentest กับ Red Team กับ Purple Team ต่างกันยังไง

การเลือกระหว่างสามแบบนี้คือบทสนทนาแรกที่เราคุยกับลูกค้าเกือบทุกราย ตัวเลือกที่ใช่ขึ้นอยู่กับว่าคุณรู้อะไรเกี่ยวกับระบบป้องกันตัวเองแล้วบ้าง

ถ้ายังต้องการความมั่นใจในระบบเฉพาะจุด หรือหลักฐาน compliance ให้ผู้ตรวจสอบ ให้เริ่มที่ penetration test ทั่วไปก่อน red team เหมาะเมื่อระบบพวกนั้นแข็งแรงแล้ว และคุณอยากรู้ว่าทีมป้องกันจะจับการบุกจริงได้ไหม

สิ่งที่คุณได้รับ

ทุกงานมีเอกสารสำหรับสองกลุ่มพร้อมกัน

• Executive summary — เล่าระดับธุรกิจว่าไปถึงเป้าหมายได้หรือไม่ ถ้าเกิดขึ้นจริงจะหมายถึงอะไร และองค์กรเปิดช่องตรงไหน
• Attack narrative — kill chain เต็มสาย ทีละขั้น พร้อมหลักฐานและภาพหน้าจอ ไม่มีความคลุมเครือว่าไปถึงเป้าหมายได้ยังไง
• ไทม์ไลน์การตรวจจับและรับมือ — เทียบข้าง ๆ กันว่าเราทำอะไร กับระบบ monitoring ของคุณเห็น (หรือพลาด) อะไร SOC วัด dwell time จริงได้จากตรงนี้
• Findings พร้อมระดับความรุนแรง — ปัญหาเทคนิคที่เจอระหว่างทางให้คะแนนด้วย CVSS พร้อมคำแนะนำแก้ที่ทำได้จริง ไม่ใช่ boilerplate จาก scanner
• การ retest ยืนยันผล — หลังทีมคุณปรับ detection และปิดช่องว่าง เราเล่นเทคนิคซ้ำแล้วยืนยันว่าที่ปรับไปยังใช้ได้อยู่

ตลอดประวัติของบริษัท เราไม่เคยส่งรายงานเปล่าแม้แต่ฉบับเดียว ทุกงานที่ผ่านมาเจอ finding จริงที่ผ่านการยืนยันและทีมคุณเอาไปทำต่อได้

ทีมและใบรับรอง

ทีมภายในของเราเป็นคนลงมือทำงานเอง ถือใบรับรองในวงการอย่าง OSCP, OSCE, CREST CRT, CREST CPSA และ GIAC GREM ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติที่เข้มข้น ทีมเดียวกันนี้ขึ้นนำเสนองานวิจัยในเวทีระดับนานาชาติ และดูแลลูกค้ามาแล้วกว่า 180 รายทั้งสายการเงิน องค์กรขนาดใหญ่ และภาคส่วนสำคัญ ดูใบรับรองทั้งหมดที่ทีมถือ

มาตรฐานที่ใช้

งาน adversary emulation ของเราตั้งอยู่บนระเบียบวิธีเข้มข้นชุดเดียวกับบริการทดสอบของเรา ซึ่งเดินตาม NIST SP800-115 (Technical Guide to Information Security Testing and Assessment) เทคนิค red team แมปกับกรอบผู้โจมตีที่เป็นที่ยอมรับ ทีมป้องกันของคุณจึงจัดการตรวจจับให้ตรงกับ TTP ในโลกจริงได้ ถ้างานต้องออกหลักฐานในรูปแบบเฉพาะ ไม่ว่าเพื่อ audit ภายในหรือรายงานต่อบอร์ด บอกเราตอน scoping แล้วเราจะจัดโครงสร้างสิ่งที่ส่งมอบให้ตรง