Фиолетовые учения: проверка детектов и метрики

Зачем это нужно

• Главный результат кампании — измеренное состояние обнаружения, а не список действий.
• Фиолетовые учения связывают обе стороны и устраняют разрыв между «можем» и «видим».
• Метрики нужны, чтобы защищать бюджет и приоритеты перед руководством.

Теория

Фиолетовый подход: каждое учебное действие сопровождается проверкой, увидела ли его защита. Формат работы — короткий цикл: выбрать технику, выполнить её на стенде или в согласованной среде, проверить, сработало ли правило, разобрать причину срабатывания или пропуска, уточнить правило или добавить данные, повторить. Результат цикла — новое или исправленное правило и обновлённая карта покрытия. Такой цикл за час-два даёт больше, чем месячная кампания без измерений.

Оценка покрытия: сопоставьте техники противника с имеющимися правилами и данными. Полезно фиксировать три состояния: техника обнаружена сразу, техника видна только по последствиям, техника не видна. Для третьего состояния указывают, каких данных не хватает. Такая карта честнее любых процентов, потому что показывает конкретные слепые зоны и задачи для инженеров.

Метрики результата: время до обнаружения (от действия до алерта), время до эскалации и локализации, доля техник, замеченных на ранних этапах, число правил, добавленных или уточнённых по итогам учений, шум правил (срабатывания на легитимной активности), доля проверок, доведённых до подтверждения. В отчёте для руководства формулируют выводы на языке риска: «мы видим получение первоначального доступа, но не видим движения внутри сети — нужны данные с конечных точек и правило на аномальные подключения».

Ключевые концепции

Фиолетовый цикл

Короткая итерация: действие → проверка детекта → разбор → уточнение правила → повтор.

Время до обнаружения

Промежуток между действием и появлением алерта.

Видно по последствиям

Состояние, когда техника не детектируется напрямую, но её следы заметны позже.

Слепая зона

Техника, невидимая из-за отсутствия нужных данных или правил.

Шум правила

Количество срабатываний на легитимной активности: определяет пригодность правила.

Отчёт для руководства

Формулировка выводов о рисках и приоритетах, а не пересказ действий.

Инструменты

• Atomic Red Team — воспроизводимые учебные действия для проверки правил.
• Sigma и конвертация правил в запросы систем мониторинга.
• ATT&CK Navigator — карта покрытия и планирование.
• Системы мониторинга для измерения срабатываний и шума.
• Системы учёта правил и задач по улучшению обнаружения.

Практика в легальных лабораториях

• Выберите десять техник и проверьте, какие из них видны в вашей лаборатории.
• Проведите фиолетовый цикл для одной техники и зафиксируйте изменение правила.
• Постройте карту покрытия с тремя состояниями и укажите слепые зоны.
• Измерьте шум одного правила до и после уточнения.
• Напишите отчёт для руководства: выводы, риски, задачи и сроки.

Защита, детект и защитные меры

• Проводите короткие фиолетовые циклы регулярно, а не только во время кампании.
• Фиксируйте слепые зоны и превращайте их в задачи по сбору данных.
• Измеряйте шум правил и поддерживайте их пригодными к эксплуатации.
• Формулируйте результаты на языке риска: это влияет на приоритеты и бюджет.

Правовая рамка и этика

• Учебные действия выполняются на своих системах или в согласованных учениях с уведомлением SOC.
• Не публикуйте сведения, позволяющие обойти защиту конкретных продуктов: публикуйте защитные меры и правила.

Типичные ошибки

• Считать кампанию успешной без измерения обнаружения.
• Оценивать покрытие числом правил, а не техниками.
• Оставлять шумные правила работать и терять чувствительность.
• Писать отчёт как хронику событий без выводов.

Чек-лист «умею»

• Провожу фиолетовые циклы и уточняю правила.
• Строю карту покрытия с указанием слепых зон.
• Измеряю время обнаружения и шум правил.
• Превращаю результаты в задачи с владельцами.
• Пишу отчёт с выводами на языке риска.

Вопросы на интервью

• Как вы измерите результат кампании red team?
• Что такое фиолетовый цикл и почему он эффективен?
• Как объяснить руководству, что такое слепая зона?

Источники и первоисточники

• Atomic Red Team
• ATT&CK Navigator
• Sigma HQ
• MITRE D3FEND