রেড টিম বনাম ব্লু টিম এক্সারসাইজ

১ · রেড টিম বনাম ব্লু টিম বনাম পার্পল টিম

রেড টিমRed Teamএকটি অনুমোদিত দল যারা real-world আক্রমণকারীর কৌশল, কৌশলগত পদ্ধতি ও প্রক্রিয়া (TTPs) সিমুলেট করে, প্রায়ই স্টেলথিভাবে, প্রতিষ্ঠানের প্রতিরক্ষা ও ডিটেকশন ক্ষমতা পরীক্ষা করার জন্য। সাধারণ পেনিট্রেশন টেস্টের চেয়ে এক ধাপ এগিয়ে — এটি শুধু "কোন দুর্বলতা আছে" খুঁজে বের করে না, বরং "প্রতিষ্ঠান কি একটি real আক্রমণ ধরতে পারবে" তা পরীক্ষা করে। ঠিক এই কারণেই রেড টিম প্রায়ই স্টেলথিভাবে কাজ করে — ব্লু টিমকে আগে থেকে না জানিয়ে (যদিও ম্যানেজমেন্ট স্তরে RoE-এর মাধ্যমে সবসময় লিখিত অনুমতি থাকে, L01/L02-এর মূলনীতি অনুযায়ী)।

২ · MITRE ATT&CK — আক্রমণ ও ডিটেকশনের সাধারণ ভাষা

L04-এ আমরা MITRE ATT&CKMITRE ATT&CKreal-world আক্রমণকারী কৌশল (Tactics, "কেন") ও প্রযুক্তি (Techniques, "কীভাবে")-এর একটি সর্বজনস্বীকৃত নলেজ বেস — প্রতিটি টেকনিকের একটি ইউনিক আইডি থাকে (যেমন T1190)। পরিচয় করিয়েছিলাম। রেড টিম এক্সারসাইজে এটি বিশেষভাবে গুরুত্বপূর্ণ — রেড টিমের প্রতিটি অ্যাকশন একটি নির্দিষ্ট ATT&CK টেকনিক আইডি দিয়ে ট্যাগ করা হয়, এবং ব্লু টিমের প্রতিটি ডিটেকশনও সেই একই আইডি রেফারেন্স করে। এতে দুই দলের কাজ সরাসরি তুলনাযোগ্য হয়ে যায় — "ব্লু টিম কি T1078 (Valid Accounts) ব্যবহার করে প্রবেশ ডিটেক্ট করতে পেরেছিল?" এমন প্রশ্নের সুনির্দিষ্ট উত্তর পাওয়া যায়।

৩ · গ্যাপ অ্যানালাইসিস — এক্সারসাইজের আসল ডেলিভারেবল

এক্সারসাইজ শেষে একটি যৌথ ডিব্রিফ হয় যেখানে রেড টিমের প্রতিটি অ্যাকশনকে ব্লু টিমের ডিটেকশনের সাথে মেলানো হয়। যেসব অ্যাকশন ডিটেক্ট হয়নি সেগুলোই আসল মূল্যবান তথ্য — এগুলো নির্দিষ্ট করে দেখায় ঠিক কোথায় মনিটরিং/অ্যালার্টিং-এ ফাঁক আছে, যা পরবর্তীতে নতুন detection rule বা SIEM correlation বানানোর ভিত্তি হয় (M10-এর L48 SIEM লজিকের সরাসরি প্র্যাকটিক্যাল প্রয়োগ)।

৪ · কোড দিয়ে — একটি ডিটেকশন গ্যাপ অ্যানালাইসিস

নিচে একটি সরলীকৃত এক্সারসাইজ সিমুলেশন — রেড টিমের কয়েকটি ATT&CK-ট্যাগড অ্যাকশন এবং ব্লু টিম যা যা ডিটেক্ট করেছে তার একটি সেট। gap_analysis() ফাংশনটি দুটি তুলনা করে ঠিক কোন অ্যাকশনগুলো ডিটেকশন থেকে বাদ পড়েছে তা রিপোর্ট করে।

# MITRE ATT&CK-স্টাইল টেকনিক আইডিসহ রেড টিমের সিমুলেটেড অ্যাকশন
red_team_actions = [
    {"technique_id": "T1595", "name": "Active Scanning", "phase": "Reconnaissance"},
    {"technique_id": "T1190", "name": "Exploit Public-Facing Application", "phase": "Initial Access"},
    {"technique_id": "T1078", "name": "Valid Accounts", "phase": "Initial Access"},
    {"technique_id": "T1053", "name": "Scheduled Task/Job", "phase": "Persistence"},
    {"technique_id": "T1041", "name": "Exfiltration Over C2 Channel", "phase": "Exfiltration"},
]

# ব্লু টিম যেসব টেকনিক আসলে ডিটেক্ট করেছে (SIEM/লগ অ্যালার্ট থেকে)
blue_team_detections = {"T1595", "T1078", "T1041"}

def gap_analysis(actions, detections):
    detected = []
    missed = []
    for action in actions:
        if action["technique_id"] in detections:
            detected.append(action)
        else:
            missed.append(action)
    return detected, missed

detected, missed = gap_analysis(red_team_actions, blue_team_detections)

print("=== ডিটেকশন গ্যাপ অ্যানালাইসিস রিপোর্ট ===")
print(f"মোট রেড টিম অ্যাকশন: {len(red_team_actions)}")
print(f"ব্লু টিম ডিটেক্ট করেছে:  {len(detected)}")
print()

print("ডিটেক্টেড:")
for a in detected:
    print(f"  [OK]  {a['technique_id']} · {a['name']} ({a['phase']})")

print()
print("মিসড (ডিটেকশন গ্যাপ):")
for a in missed:
    print(f"  [GAP] {a['technique_id']} · {a['name']} ({a['phase']})")