【51CTO.com快譯】全球很少有哪家組織的運(yùn)營(yíng)規(guī)?？梢耘c沃爾瑪相比。規(guī)模不僅僅體現(xiàn)在平常的零售業(yè)務(wù)上，還體現(xiàn)在組織如何處理自己的安全彈性測(cè)試上。

沃爾瑪?shù)氖录憫?yīng)和追捕事務(wù)主管Jason O'Dell在RSA大會(huì)上解釋了這家全球最大的零售商如何使用一種名為紫隊(duì)(purple teaming)的創(chuàng)新方法，提高安全性并降低風(fēng)險(xiǎn)。

紅隊(duì)在網(wǎng)絡(luò)安全界眾所周知，一家組織內(nèi)的這個(gè)團(tuán)體將采取進(jìn)攻性行動(dòng)，幫助識(shí)別薄弱環(huán)節(jié)。另一方面，藍(lán)隊(duì)是一家組織內(nèi)負(fù)責(zé)防御對(duì)手和紅隊(duì)活動(dòng)的團(tuán)隊(duì)。而紫隊(duì)將紅隊(duì)和藍(lán)隊(duì)結(jié)合起來(lái)。

O'Dell說(shuō)：“紫隊(duì)是紅隊(duì)和藍(lán)隊(duì)之間的共生關(guān)系，可以提高組織的安全性，不斷改善這兩個(gè)團(tuán)隊(duì)的技能和流程。”

O'Dell表示，沃爾瑪在2016年就開(kāi)始采用了紫隊(duì);由于種種原因，這項(xiàng)工作開(kāi)始并不順利。紅隊(duì)和藍(lán)隊(duì)的性質(zhì)是對(duì)抗性的，這造成了沖突。如果紅隊(duì)獲勝，意味著安全漏洞;如果藍(lán)隊(duì)獲勝，意味著攻擊被遏制。然而O'Dell強(qiáng)調(diào)，沃爾瑪學(xué)明白的一點(diǎn)是，雖然獲勝很有意思，但這并不是紫隊(duì)演練中的重要內(nèi)容。

他說(shuō)：“關(guān)鍵不在于輸贏，而在于學(xué)習(xí)了解。取勝是游戲的目標(biāo)，但不是玩游戲的目標(biāo)。游戲的目標(biāo)是讓組織變得更好。”

紫隊(duì)?wèi)?yīng)該如何運(yùn)作?

沃爾瑪學(xué)到的一個(gè)關(guān)鍵方面是，紅隊(duì)和藍(lán)隊(duì)需要以組織的最佳利益為出發(fā)點(diǎn)。O'Dell表示，兩支團(tuán)隊(duì)都應(yīng)該在高層管理班子的面前充當(dāng)另一支團(tuán)隊(duì)的支持者，那樣每個(gè)團(tuán)隊(duì)都能取得成功。

至于實(shí)際的威脅演練，O'Dell表示所有組織都應(yīng)采取以下幾個(gè)步驟：

• 交戰(zhàn)規(guī)則。確保各方都了解什么在范圍內(nèi)、什么在范圍外。
• 有一個(gè)中心庫(kù)。跟蹤演練的所有結(jié)果，以改進(jìn)協(xié)作和度量指標(biāo)的跟蹤。
• 采用統(tǒng)一的分類(lèi)法。擁有一套共同的框架和方法來(lái)了解攻擊也很重要。O'Dell表示，沃爾瑪現(xiàn)在采用MITRE ATT&CK框架，該框架概述了不同的攻擊途徑，并進(jìn)行了分類(lèi)。
• 就最終報(bào)告進(jìn)行合作。不是每個(gè)團(tuán)隊(duì)編寫(xiě)自己的報(bào)告，紅隊(duì)和藍(lán)隊(duì)?wèi)?yīng)共同撰寫(xiě)最終交給管理班子過(guò)目的結(jié)果報(bào)告。

設(shè)有紫隊(duì)并不適合每家組織，但適合擁有資源的那些組織，O'Dell表示最初的第一步是做沙盤(pán)演練。沙盤(pán)實(shí)際上是一種探討，協(xié)作一方如何執(zhí)行一個(gè)動(dòng)作，然后另一方會(huì)如何回應(yīng)。

沙盤(pán)演練后，下一步是進(jìn)行主動(dòng)的威脅模擬，可以模擬攻擊和防御。最后，在進(jìn)行成功的沙盤(pán)和威脅模擬之后，O'Dell表示組織可以進(jìn)行全面的對(duì)抗性交戰(zhàn)。O'Dell表示，對(duì)抗性交戰(zhàn)應(yīng)有全面的交戰(zhàn)規(guī)則、活動(dòng)期間的實(shí)時(shí)溝通以及跟蹤成功的初始指標(biāo)。

原文標(biāo)題：How Walmart Uses a Purple Team to Improve Cyber-Resilience，作者：Sean Michael Kerner

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文譯者和出處為51CTO.com】