תרגילי Red Team / Blue Team ל-DevSecOps: בדיקה והדרכה

Red Team: היכן נשברת ההגנה במעטפת DevSecOps

תוקף רק לעתים רחוקות שובר את מה שנסגר בכוונה. לעתים קרובות יותר הוא עובר בנתיבים שאיש לא החשיב לגבול הגנה: הפער בין אימג' שעבר בדיקות בבנייה לבין מה שבאמת פועל בפרודקשן; חשבון שירות עם הרשאות מנהל «כדי שלא יפריע»; לוח ניטור פתוח ברשת הפנימית ללא אימות. קטגוריה נפרדת — סודות שעברו בירושה לכל הענפים וחיים יותר זמן מהמשימה שלשמה נוצרו.

תרגיל Red Team נבדל מסריקה בכך שהוא בודק לא את קיומו של אמצעי הגנה, אלא את היכולת לעבור את השרשרת עד ליעד. המהנדסים פועלים לפי תרחיש מוסכם, בחלון זמן מוגדר וללא פעולות הרסניות: מתעדים נקודות כניסה, שלבי התבססות, ראיות שנאספו, ואילו לוגים הנתיב הזה לא הבחין בהם.

כך מתגלות חולשות של המעטפת שאינן נראות לסורקים אוטומטיים — אלה מחפשים תבניות מוכרות, ולא את ההיגיון של הפריסה שלכם.

הפרקטיקה מניבה שלושה סוגים עקביים של ממצאים. פער בין הבנייה לפרודקשן: מצבי דיבאג, עריכות תצורה ידניות, אימג'ים שלא מהמצב הנכון של המאגר. הרשאות עודפות: מפתחות משותפים, תפקידים ללא הגבלת היקף, חשבונות שלא נשללים עם עזיבת עובד. ושירותי מערכת שהושארו נגישים «לצורכי דיבאג».

ערכו של התרגיל אינו ברשימת החולשות, אלא בהבנה היכן בדיוק המעטפת מניחה לתוקף לעבור. נתיבי התקיפה הנסתרים שהתגלו הופכים לכללי גישה ובדיקה, והצוות רוכש ניסיון שאי אפשר לקרוא מתוך תיעוד.

מה נותנת בדיקת הגנה סדירה: אפקטים מדידים

בדיקת הגנה הגיונית כאשר ניתן להשוות את תוצאתה לריצה הקודמת. לכן לפני התרגיל אנו מתעדים מדדי הגנה בסיסיים, ואחריו מחשבים דלתא לכל אחד. את התרחישים בונים לפי טקטיקות מתוך MITRE ATT&CK, כדי שהבדיקות יגיעו לחשבונות, לקשרי אמון ולצינור הבנייה, ולא יסתפקו בסריקת פורטים.

מה אנו מודדים לפני ואחרי

• זמן גילוי התקיפה — מהפעולה החשודה הראשונה ועד להתראה. נקודת פתיחה אופיינית — שעות, לאחר הגדרת קורלציה של אירועים — דקות.
• שיעור המעברים המוצלחים — איזה חלק מהתרחישים מגיע למשאב היעד. יורד מריצה לריצה, וזהו מדד מדיד, ולא תחושה.
• שיעור ההתראות הכוזבות — כמה התראות התורן סוגר ללא פעולה. אם מחצית — מפסיקים לקרוא את ההתראות.
• שלמות הלוגים — האם קיימים אירועים לאורך כל הנתיב. פער בלוגים משמעו שלא ניתן לשחזר את התקיפה לפי כרונולוגיה.

אילו מחלקות כשל נסגרות

• היעדר סגמנטציה: שירות אחד רואה את מסדי הנתונים של שכנו.
• מפתחות ארוכי-חיים והרשאות עודפות של חשבונות שירות.
• סודות במאגר ובמשתני בנייה שנכנסים ללוגים.
• עריכות ידניות בסביבת הפרודקשן ללא תיעוד וללא אפשרות חזרה לאחור.

סגירת הסעיף מאושרת בריצה חוזרת: אם התרחיש אינו עובר עוד, הכשל טופל ולא רק הוסווה. צ'קליסט כזה הופך למסמך עבודה — לפיו מתכננים את המחזור הבא ומעריכים כמה זמן השבתה של המעטפת נמנע הודות לגילוי מוקדם.

פורמטים של תרגילים: מהסתערות חד-פעמית ועד מחזור מתמשך

פורמטי התרגילים של Red Team נבדלים לא בעומק, אלא באופק ובמה שהם מודדים. בדיקת הגנה חד-פעמית נותנת תמונת מצב לנקודת זמן, תרגיל עם משמרת הגנה בודק את תגובת האנשים ואת הנהלים, ומחזור בדיקות מתמשך שומר על הגילוי והתגובה במצב כשיר. הבחירה נקבעת לפי השאלה: להוכיח שההגנה אינה מחזיקה, או לבנות תהליך שמחזיק אותה באופן קבוע.

גבולות התרגיל מתועדים בכתב לפני הצעד הראשון: סגמנטים ושירותים, חלון העבודה, איש קשר לעצירה, סדר אסקלציה אם הפעילות התרגולית חפפה לאירוע אמיתי. ללא תנאי עצירה, תקיפת תרגול על מעטפת חיה אינה ניתנת להבחנה מתקיפה אמיתית, והמשמרת התורנית מתחילה לנתח את הדבר הלא נכון.

כיצד מתנהל התרגיל: שלבי העבודה של המהנדסים

תרגיל Red Team אינו תקיפה חד-פעמית, אלא רצף מנוהל: תחילה מתעדים את הגבולות ואת נקודות הכשל, ואחר כך בודקים אם ההגנה תבחין בהן. להלן השלבים שלפיהם אנו עובדים, כדי שהתוצאה תהיה משוחזרת ולא תלויה במזל של משמרת אחת.

1. ביקורת המעטפת. אוספים מפה של סגמנטים, נקודות כניסה ושירותים קריטיים, ומסמנים מה נכלל בתרגיל ומה נשאר מחוץ לגבולותיו. כאן גם מסכמים את כללי האינטראקציה ואת ערוץ התקשורת למשך הריצה.
2. הכנת הסביבה. פורסים מעטפת מבודדת — עותק של הסכמה העובדת על נתונים סינתטיים, ללא יציאה לפרודקשן. רשתות וחשבונות נפרדים מונעים מהפעולות להצטלב עם תעבורה אמיתית.
3. סכמת התרחישים. לכל סיכון — תרחיש משלו: פגיעה בסודות גישה, תנועה צדית, הסלמת הרשאות, הוצאת נתונים. בתרחיש מתואר מראש הסימן שבו ההגנה מחויבת להגיב.
4. הריצה. עוברים על התרחישים ומתעדים טלמטריה: מה נכנס ללוגים, מה נותר ללא הבחנה, וכמה זמן עבר מהפעולה הראשונה ועד לתגובה. אין מפסיקים את הניסיונות — מתעדים אותם.
5. בדיקת הגילוי. משווים את הכללים שפעלו לאלה שהיו אמורים לפעול, מחשבים את שיעור השלבים שהובחנו ואת ההשהיה עד להתראה.
6. ניתוח התוצאות. מרכזים את הממצאים לפי קריטיות ומפרידים בין פערים בנראות, בכללים ובתהליכים ארגוניים — לכל אחד דרך טיפול משלו.
7. העברת כללי הגילוי. כללים חדשים ומתוקנים עוברים אל הניטור, ותרחישים שנויים במחלוקת נשארים בסט לריצות סדירות.

תוצרי הפלט: דוחות, כללי גילוי, נהלים

התרגיל נסגר לא במצגת, אלא בסט ארטיפקטים שנשארים במעטפת שלכם וממשיכים לעבוד לאחר עזיבת הצוות. להלן הסט המינימלי שאנו מוסרים בסיום: ללא כל אחד מהסעיפים, הבדיקה נחשבת כלא הושלמה.

• מפת נתיבי התקיפה. סכמת התנועה של Red Team מנקודת הכניסה למשאב היעד: צמתים, חשבונות, טכניקות ששימשו בנוטציה של MITRE ATT&CK. ממנה מיד ניכר אילו מעברים אינם מותירים עקבות בלוגים.
• כללי גילוי. לא תיאור «מה לזהות», אלא כללים מוכנים למערכת שלכם: תנאי הפעלה, סף, חלון קורלציה, זיקה לטכניקה. כל אחד הורץ על מעטפת בדיקה — אין התראות כוזבות על תעבורת רקע.
• דוח התרגיל. כרונולוגיה עם מדדים: זמן עד לאות הראשון, שיעור השלבים שתועדו בלוג, מספר הזיהויים שפעלו ושהוחמצו, והנקודות שבהן נעצר התוקף.
• נוהל התגובה. מי מקבל את ההחלטה, למי מעבירים אסקלציה, מה עושים עם מערכת מבודדת ובאילו לוחות זמנים. התפקידים משויכים לאנשים ספציפיים ולמשמרות, ולא למחלקות.
• מדיניות גישה. סגירת הרשאות עודפות, הפרדת חשבונות פריבילגיים, תיקון סגמנטציה — כשינויים מוכנים בתצורה, ולא כרשימת משאלות.
• תוכנית טיפול. נקודות תורפה עם עדיפות, בעלים וקריטריון סגירה. מה שאי אפשר לתקן בהגדרה מקבל אמצעי בקרה מפצה ותאריך בחינה מחדש.
• סט תרחישים לריצה חוזרת. שלבי התרגיל בצורה משוחזרת — כדי לבדוק שהזיהויים לא נפלו לאחר ריליס או שינוי בתשתית.

מקרה בוחן: נתיב תקיפה נסתר ומה השתנה לאחר הניתוח

התקיפה בוצעה ללא הודעה מוקדמת למשמרת התורנית: כניסה מהמעטפת החיצונית, והמטרה — להוציא נתונים מסביבת הפרודקשן. נקודת הפתיחה הייתה טוקן של חשבון שירות שנשאר בהיסטוריית הבניות; משם התרחיש התפתח בשלבים המתוארים במטריצת MITRE ATT&CK כגישה לגיטימית עם הרחבת הרשאות לאחריה.

נתיב התקיפה הנסתר נראה שגרתי: הבקשות הגיעו משירות אמיתי, עם הרשאות תקפות ותדירות רגילה. האות הראשון הופיע רק ביום השלישי, כאשר הנתונים כבר הועתקו לאחסון ביניים.

מתוך ארבעה-עשר שלבי התרחיש, האוטומציה סימנה חמישה — השאר נמהלו בזרם הכללי, משום שאירועים מהאשכול, ממאגר הסודות ומהרשת לא חוברו לשרשרת אחת. הלוגים היו קיימים, אבל התמונה לא.

מה השתנה לאחר הניתוח

הניתוח הניב שישה ממצאים, וכולם טופלו בתיקונים, ולא בדוח. נבנתה קורלציה של אירועים לפי חשבון אחד, ונוסף כלל לפניות אנומליות לסודות; תוקף החיים של טוקני שירות הוגבל והרוטציה הפכה לחובה, והחיבורים היוצאים מעומסי העבודה צומצמו לכיוונים ידועים. על המשמרת התורנית הוטל פלייבוק עם שלבים מוכנים: מה לבדוק, את מי להעיר, ואיזה עומס לבודד.

תרגיל חוזר כעבור רבעון הראה תזוזה במדדים. זמן הגילוי הצטמצם משלושה ימים לארבעים דקות, האות ניתן כעת בשלושה-עשר שלבים מתוך ארבעה-עשר, וזמן התגובה הממוצע של התורן עמד בעשר דקות. הגילוי חדל להיות תלוי בקשב של מהנדס מסוים במשמרת מסוימת — פועל צירוף של כללים, ולא מזל.

במה שונה Red Team מפנטסט חד-פעמי

פנטסט חד-פעמי עונה על השאלה «אילו חורים יש בהיקף». המומחים עובדים לפי רשימה מוסכמת, מוצאים חולשות ומוסרים דוח עם עדיפויות — ומשם מתחילה עבודה פנימית של תיקון. הערך סופי: ברגע שהדוח נסגר, הידע נשאר במסמך, ולא בכישורים של המשמרת.

תרגיל Red Team עונה על שאלה אחרת — «האם ההגנה תספיק להבחין ולהגיב». קבוצת התקיפה מחקה יריב אמיתי: בוחרת מטרה, עוקפת אמצעי הגנה, מתבססת בתשתית ובודקת את התגובה. כאן חשוב לא רק עצם החדירה, אלא כמה זמן עבר עד לגילוי, האם האסקלציה פעלה, והאם האות הגיע למהנדס התורן.

ההבדל המרכזי — בהשתתפות משמרת ההגנה. פנטסט אינו נוגע בה: היא לומדת על הממצאים מהדוח. בתרגיל, המשמרת משחקת בזמן אמת, והניתוח מתבצע לפי הלוגים וההחלטות שלה, ולא רק לפי פעולות התוקפים.

בפלט — לא רשימת חולשות, אלא שינויים בתהליכים: כללי קורלציה, ספי התראות, סדר אסקלציה וצ'קליסטים של תורנות. המשמרת רוכשת כישור שנשאר בצוות לאחר התרגיל.

מה להחליט לפני ההתחלה: גבולות, סיכונים, הרשאות

גבולות התרגיל מתועדים בכתב לפני הפקודה הראשונה: רשימת הסגמנטים, החשבונות והשירותים שמותר לגעת בהם, ורשימה נפרדת של פעולות אסורות — תקיפות על מערכות תעשייתיות, הצפנת נתונים, פגיעה בגיבויים. שם גם — קריטריונים לעצירה מיידית והאדם שמוסמך להורות עליה. ללא מסמך זה, התרגיל הופך להשפעה בלתי מבוקרת, ותוצאותיו אינן ניתנות להגנה בפני בעל השירות.

הרשאות המהנדסים מסוכמות בקפדנות כמו הגבולות עצמם. קבוצת התקיפה מקבלת חשבונות זמניים עם תוקף מוגבל, וקבוצת ההגנה — גישה מורחבת ללוגים ולמערכות הגילוי, אך ללא זכות לשנות הגדרות פרודקשן.

כל פעולות שתי הקבוצות נכתבות ללוג משותף, ולכן בסיום ניכר באיזה שלב פעלה ההגנה, והיכן היה פועל הניטור.

מי משתתף מצד הלקוח וכמה זמן זה ייקח?

נדרשים שלושה תפקידים: בעל השירות שמאשר את הגבולות, מהנדס תורן שרואה את התנהגות המערכות בזמן אמת, ואחראי עצירה עם זכות לקטוע את העבודה. שאר העובדים אינם מופרעים. מהלקוח נדרשות מספר שעות לתיאום ונוכחות של המשמרת התורנית ביום הביצוע.

מה אם התוקפים ימצאו משהו גדול מהמצופה?

ממצאים כאלה הם מטרת התרגיל, אך אנו מטפלים בהם לפי נוהל: חולשה קריטית אינה מפותחת הלאה, מתועדת ומועברת לבעל השירות מיד, ביום הגילוי. את הדוח אנו מפצלים לשני חלקים — סגור עבור צוות התמיכה וסקירה עבור ההנהלה, ללא הוראות הפעלה מוכנות.

נדון במשימה שלכם ונחזור עם תוכנית

כדי שהתרגיל יניב תוצאה, ולא דוח לשם דוח, יש צורך בהקשר של התשתית שלכם כבר בהתחלה. מכם — חמש נקודות פתיחה:

• סכמה של השירותים המרכזיים ומה שאתם מחשיבים קריטי: היכן עצירה של שעה יקרה יותר מהתראת שווא;
• מקורות הלוגים ואמצעי הגילוי שכבר אוספים אירועים — אנו בודקים את הנראות האמיתית, ולא בונים אותה מחדש;
• גבולות הפעולות המותרות: באילו צמתים ונתונים איננו נוגעים, מה מותר בשעות העבודה, ואילו שינויים מחייבים תיאום;
• חלונות לשלב הפעיל ופרטי הקשר של התורנים, אשר יאשרו את לגיטימיות הפעולות בעת הפעלה;
• קריטריוני הצלחה: זמן עד הגילוי, שיעור השלבים שתועדו, ואיכות הניתוח.

בתגובה אנו שולחים חבילה שעל פיה ניתן לקבל החלטה:

• סכמת התרגיל: תרחיש, שלבים, תפקידי צוותי התקיפה וההגנה, נקודות בקרה;
• היקף העבודה בחלוקה להכנה, שלב פעיל וניתוח;
• הערכת לוחות זמנים לפי שלבים ודרישות למשאבים מצדכם;
• סדר מסירת התוצאות: כרונולוגיית אירועים, ייצוא מהלוגים, רשימת שטחים מתים;
• תוכנית טיפול בממצאים עם עדיפויות ובדיקה חוזרת של נתיבים מרכזיים.

תארו את המשימה — נחזור עם הערכת לוחות זמנים ותוכנית עבודה, ולא עם הבטחות כלליות.