دور RAZE
يساعد Red-team Adversary eXecution Engine الفرق على دراسة كيفية تطور هجوم محتمل. يبدأ بسؤال أمني ويصف تسلسلا محتملا لتقنيات معروفة والنشاط الذي قد تنتجه. ويمكن للفريق استخدام السيناريو لمراجعة تغطية الكشف لديه.
رغم اسمه، يضع RAZE نماذج لتحركات المهاجم. ولا يستغل الأصول أو ينفذ إجراءات سحابية أو يُنشئ حركة هجوم أو يغيّر البيئة المحمية. مخرجاته فرضية مدعومة، وليست حادثًا مرصودًا.
ما الذي يتضمنه سيناريو RAZE؟
- سيناريو موجّه بالهدف
- سؤال محدد حول أصل أو هوية أو خطر سحابي أو ضابط أمني يريد الفريق تقييمه.
- مسار متوافق مع MITRE
- تسلسل محتمل يستند إلى أساليب هجوم معروفة لتوفير أساس مشترك للمراجعة.
- المشاهدات المتوقعة
- الأدلة التي يُفترض أن تتركها كل مرحلة في النموذج، دون تنفيذ هذا النشاط في البيئة.
- منظور التغطية
- مقارنة بين الأدلة المتوقعة وقواعد الكشف أو المصادر المحفوظة المتاحة، تكشف أسئلة تحتاج إلى التحقق.
- افتراضات تحتاج إلى تحقق
- السياق والقيود والاستنتاجات التي يستطيع المراجع مناقشتها قبل استخدام السيناريو.
دورة الفرضية في RAZE
-
01
تحديد الإطار
حدد الهدف الأمني والنطاق المحمي والسؤال الذي يريد الفريق اختباره.
-
02
رسم العلاقات
صف تسلسلا محتملا لتقنيات الهجوم ذات الصلة.
-
03
الاستباق
صف الأدلة التي يُفترض إمكان رصدها في كل مرحلة.
-
04
المقارنة
اربط الأدلة المتوقعة بالمصادر وقواعد الكشف المتاحة والفجوات المعروفة.
-
05
المراجعة
راجع الافتراضات نقديًا وحوّل الفجوات المدعومة بالأدلة إلى أسئلة للتحقيق أو تحسين التغطية.
أسئلة يساعد RAZE الفريق على فحصها
- ما الذي قد يحاول المهاجم فعله بعد الوصول إلى الهوية أو حمل العمل المحدد؟
- ما الأدلة القابلة للرصد التي يُفترض أن تنتج عن كل مرحلة في النموذج؟
- أي المصادر وقواعد الكشف الحالية يمكنها رصد هذه الأدلة؟
- أين يعتمد السيناريو على افتراض لم يُتحقق منه أو مصدر ناقص؟
- أي سؤال عن التغطية يستحق المتابعة عبر Threat Hunting أو مراجعة الكشف أو تمرين تحقق مضبوط؟
دون تغيير البيئة أو الإضرار بها
- مسار RAZE فرضية، ولا يُعرض أبدًا بوصفه Attack Path مؤكدًا.
- تبقى المشاهدات المتوقعة توقعات حتى تؤكدها أدلة مستقلة.
- لا ينفذ المحرك أي إجراء لدى المزوّد ولا يُحدث أي تغيير في البيئة المحمية.
- تظل أي توصية بالاستجابة استشارية، وتتبع مسار الحوكمة المستقل في DRX.