Red Team và Blue Team giữ vai trò quan trọng trong hoạt động bảo vệ an ninh mạng. Tuy nhiên, không phải doanh nghiệp nào cũng biết rõ cách thức hoạt động của Red Team cũng như Blue Team trong doanh nghiệp. Để có nhận thức đúng, hãy cùng SecurityBox tìm hiểu qua bài viết dưới đây. 

1. Thông tin chung về Red Team 

1.1. Red Team là gì? Vai trò của Red Team trong doanh nghiệp

Red Team bao gồm các chuyên gia bảo mật hoạt động và tư duy như một tin tặc nhằm vượt qua các biện pháp kiểm soát an ninh mạng của doanh nghiệp. Họ sử dụng tất cả các kỹ thuật tấn công để tìm ra những điểm yếu về con người; quy trình và công nghệ nhằm xâm nhập trái phép vào tài sản của doanh nghiệp. Sau khi thực hiện các cuộc tấn công mô phỏng, Red Team đưa ra các đề xuất và kế hoạch củng cố tình hình an ninh của doanh nghiệp.

Tìm hiểu thêm: Phân biệt Pentest và Red Team

1.2. Red Team hoạt động như thế nào?

Bạn có thể ngạc nhiên khi biết rằng Red Team dành rất nhiều thời gian để lập kế hoạch tấn công trước khi thực hiện. Cụ thể, Red Team thu thập toàn bộ thông tin về hệ thống mạng để lựa chọn hình thức tấn công có khả năng thành công cao nhất. 

Thông tin Red Team thu thập trong giai đoạn này bao gồm:

• Tìm hiểu hệ điều hành đang sử dụng (Windows, macOS hoặc Linux).
• Xác định thiết kế và cấu hình của thiết bị mạng (máy chủ, tường lửa, bộ chuyển mạch; bộ định tuyến, điểm truy cập, máy tính, v.v.).
• Tìm hiểu những cổng nào được mở/đóng trên tường lửa để cho phép/chặn lưu lượng truy cập cụ thể.
• Tạo bản đồ mạng để xác định máy chủ nào đang chạy dịch vụ nào…

2. Thông tin chung về Blue Team 

2.1. Blue Team là gì? Vai trò của Blue Team trong doanh nghiệp

Blue Team bao gồm các chuyên gia bảo mật có tầm nhìn sâu rộng về doanh nghiệp. Nhiệm vụ của họ là bảo vệ tài sản của doanh nghiệp trước bất kỳ mối đe dọa nào. Họ nhận thức rõ về các mục tiêu kinh doanh và chiến lược bảo mật của doanh nghiệp. Vì vậy, trách nhiệm của Blue Team là củng cố bức tường bảo mật để không một kẻ nào có thể xâm nhập trái phép.  

2.2. Blue Team hoạt động như thế nào? 

Xác định tài sản cần được bảo vệ

Đầu tiên, Blue Team phải xác định tài sản cần được bảo vệ. Sau đó, họ thực hiện đánh giá rủi ro bằng cách xác định các mối đe dọa đối với từng tài sản và những điểm yếu mà các mối đe dọa này có thể khai thác. Bằng cách đánh giá rủi ro và sắp xếp thứ tự ưu tiên, Blue Team xây dựng kế hoạch kiểm soát an ninh nhằm giảm thiểu rủi ro và thiệt hại  đối với doanh nghiệp. 

Triển khai các biện pháp bảo vệ an ninh hệ thống

Blue Team thắt chặt quyền truy cập vào hệ thống mạng bằng nhiều cách; bao gồm quy định chính sách mật khẩu mạnh hơn và đào tạo nhân viên để đảm bảo họ tuân thủ quy trình bảo mật. Bên cạnh đó, Blue Team cũng cài đặt các công cụ giám sát nhằm kiểm soát lưu lượng truy cập vào hệ thống và phát hiện những hoạt động bất thường. Blue Team cũng chịu trách nhiệm việc kiểm tra hệ thống thường xuyên; ví dụ: kiểm tra DNS; quét lỗ hổng mạng nội bộ hoặc bên ngoài; thu thập lưu lượng mạng mẫu để phân tích…

Các hoạt động chính của Blue Team bao gồm:

• Kiểm tra DNS để ngăn chặn các cuộc tấn công lừa đảo; tránh sự cố DNS cũ; tránh thời gian chết do xóa bản ghi DNS và ngăn chặn/giảm thiểu các cuộc tấn công DNS, web.
• Cài đặt phần mềm bảo mật điểm cuối trên các thiết bị bên ngoài như máy tính xách tay và điện thoại thông minh.
• Đảm bảo phần mềm tường lửa được cấu hình đúng cách; phần mềm antivirus được cập nhật bản mới nhất
• Triển khai phần mềm IDS và IPS như một công cụ kiểm soát an ninh.
• Triển khai giải pháp SIEM để ghi nhận và phân tích hoạt động mạng.
• Phân tích bộ nhớ để phát  hiện hoạt động bất thường trên hệ thống đồng thời xác định dấu hiệu của một cuộc tấn công mạng.
• Chia nhỏ mạng và đảm bảo chúng được cấu hình chính xác.
• Sử dụng phần mềm quét lỗ hổng bảo mật thường xuyên.

3. Red Team và Blue Team hợp tác với nhau như thế nào?

Để hoạt động bảo vệ an ninh mạng diễn ra hiệu quả, Red Team và Blue Team cần hợp tác thiện chí với nhau. Blue Team nên thường xuyên cập nhật các công nghệ mới để nâng cao tính bảo mật. Blue Team cũng nên chia sẻ những kiến thức này với Red Team. Tương tự, Red Team phải luôn nhận thức được các mối đe dọa và nắm rõ các kỹ thuật xâm nhập mới của tin tặc để tư vấn cho Blue Team cách ngăn chặn triệt để. 

Tùy thuộc vào mục tiêu mà Red Team sẽ quyết định có thông báo cho Blue Team biết về kế hoạch tấn công hay không. Ví dụ: nếu mục tiêu là mô phỏng một kịch bản phản ứng trước một cuộc tấn công thì Red Team sẽ không nói trước với Blue Team về việc này.

Khi cuộc diễn tập hoàn thành; cả hai team sẽ thu thập thông tin và đưa ra lời khuyên cải thiện cho đối phương. Sau đó, cả hai team tiếp tục làm việc cùng nhau để phát triển và thực hiện các biện pháp kiểm soát bảo mật mạnh mẽ hơn nếu cần.

4. Purple Team là gì?

Mặc dù Red Team và Blue Team có chung mục tiêu nhưng đôi khi; hai team này gặp tình trạng coi nhau như đối thủ, dẫn đến khó làm việc cùng nhau. Đó là lý do Purple Team ra đời. Purple Team không nhất thiết phải là một team độc lập. Mục tiêu của Purple Team là tập hợp cả hai đội màu đỏ và xanh lại với nhau; khuyến khích họ làm việc như một nhóm để tạo ra một vòng phản hồi mạnh mẽ. Bởi mục đích cuối cùng của các cuộc diễn tập giữa Red Team và Blue Team là để củng cố thế trận an ninh chung của doanh nghiệp. 

Mặc dù cách thức hoạt động khác nhau nhưng Red Team và Blue Team vẫn có cùng mục tiêu là bảo vệ hệ thống mạng doanh nghiệp. Nếu hai team này hợp tác thiện chí với nhau; doanh nghiệp có thể yên tâm vận hành mà không phải lo lắng về các rủi ro an ninh mạng.

Nếu doanh nghiệp cần hỗ trợ các vấn đề về an ninh mạng; hãy liên hệ ngay Security Box theo hotline: 0927 118 899 hoặc email: [email protected] để được tư vấn!