Red Team, Blue Team və Purple Team fərqi nədir?

Red Team nədir və gündəlik işi nədən ibarətdir?

Hücum komandası (Red Team) təşkilatın müdafiəsini real hücumçu məntiqi ilə yoxlayan qrupdur. İş yalnız yazılı razılıq və müqavilə əsasında, əvvəlcədən razılaşdırılmış əhatə dairəsində aparılır. Məqsəd sistemi dağıtmaq deyil — hücumun hara qədər irəliləyə biləcəyini sübutla göstərməkdir.

Gündəlik iş çox vaxt kinodakı təsəvvürdən fərqlidir. Vaxtın böyük hissəsi kəşfiyyata, zəifliyin təsdiqinə və sənədləşdirməyə gedir.

• Kəşfiyyat (recon): domen, alt domenlər, açıq portlar, işçi e-poçt strukturu, texnologiya yığını.
• Veb və API zəifliklərinin yoxlanması: giriş nəzarəti, inyeksiya tipli zəifliklər, autentifikasiya məntiqi.
• Sistem və server tərəfli zəifliklərin istismarı, uzaqdan kod icrasına gedən zəncirin qurulması.
• Active Directory hücumları: Kerberoasting, AS-REP roasting, məlumat oğurluğu, Pass-the-Hash.
• Şəbəkədaxili yanlama hərəkət (lateral movement) və istismar sonrası mərhələ (post-exploitation): şəbəkədə gizli hərəkət, səlahiyyət yüksəltmə, C2 (komanda-idarəetmə) infrastrukturunun idarəsi.
• Hesabatlandırma: tapıntının təsiri, risk səviyyəsi, təkrarlanma (reproduksiya) addımları və aradan qaldırma tövsiyəsi.

İşin yekun məhsulu istismar təlimatı deyil, sızma testi (penetration testing) hesabatıdır. Hesabat texniki komandaya düzəliş planı, rəhbərliyə isə risk mənzərəsi verir. Yaxşı hesabat olmadan tapılan zəiflik təşkilat üçün dəyər yaratmır.

Blue Team nədir və müdafiə necə qurulur?

Müdafiə komandası (Blue Team) hücumu vaxtında görmək və dayandırmaq üçün işləyir. Bu iş əsasən təhlükəsizlik əməliyyatları mərkəzində (SOC) cəmləşir. Müdafiənin təməli alətdə deyil, keyfiyyətli jurnal (log) toplusundadır.

• Jurnalların toplanması və normallaşdırılması: Windows hadisə jurnalları, Linux sistem jurnalları, şəbəkə və tətbiq jurnalları.
• SIEM (təhlükəsizlik informasiyası və hadisə idarəetməsi) qurulması: mənbələrin bağlanması, saxlama müddəti, axtarış və korrelyasiya məntiqi.
• Aşkarlama qaydası (detection rule) yazılması və MITRE ATT&CK texnikaları ilə əlaqələndirilməsi.
• Yanlış müsbətlərin (false positive) azaldılması — səs-küy çox olanda real hadisə itir.
• Hadisəyə reaksiya (incident response): hazırlıq, aşkarlama, lokallaşdırma, təmizləmə, bərpa və dərslərin çıxarılması.
• Təhdid ovu (threat hunting): hazır siqnal gözləmədən fərziyyə ilə jurnalda iz axtarmaq.

NIST SP 800-61 hadisəyə reaksiyanı mərhələli proses kimi təsvir edir. Praktikada bu o deməkdir ki, müdafiə komandasının uğuru təkcə siqnal sayı ilə ölçülmür. Əsas göstərici hadisənin nə qədər tez görünməsi və nə qədər tez bağlanmasıdır.

Purple Team nədir — üçüncü komanda, yoxsa iş formatı?

Purple Team bəzən üçüncü ştat vahidi kimi təqdim olunur, halbuki bu, əməliyyat formatıdır. Hücum və müdafiə komandaları eyni masada oturur, eyni texnikanı iki tərəfdən izləyir və nəticəni ölçür. Beləliklə, sual «kim qalib gəldi» deyil, «hansı texnika aşkarlandı» şəklində qoyulur.

1. Hədəf texnika seçilir — məsələn, MITRE ATT&CK-də kataloqlaşdırılmış Kerberoasting və ya Pass-the-Hash.
2. Hücum komandası texnikanı qapalı laboratoriyada icra edir və icra vaxtını dəqiq qeyd edir.
3. Müdafiə komandası həmin zaman kəsiyində hansı jurnal qeydlərinin yarandığını yoxlayır.
4. Siqnal yoxdursa, aşkarlama qaydası yazılır və ya mövcud qayda dəqiqləşdirilir.
5. Texnika təkrar icra olunur: qayda işləyirmi, yanlış müsbət yaradırmı?
6. Nəticə sənədləşir — hansı texnika aşkarlanır, hansı aşkarlanmır, çatışmazlıq planı nədir.

Red Team, Blue Team və Purple Team arasında əsas fərqlər hansılardır?

Cədvəldən görünən əsas məqam budur: üç rol rəqib deyil, eyni prosesin üç mərhələsidir. Hücum komandası çatışmazlığı tapır, müdafiə komandası onu görünən edir, Purple Team formatı isə bu iki nəticəni bir-birinə bağlayır.

Hansı alətlərlə işləyirlər?

Alət siyahısı rolu müəyyən etmir, amma gündəlik işin xarakterini yaxşı göstərir. Aşağıdakı bölgü hücum komandası təliminin modul məntiqinə uyğundur.

• Veb tətbiq mərhələsi: Burp Suite, Nmap, ffuf, sqlmap — zəifliyin tapılması və təsdiqi.
• Server və sistem mərhələsi: ysoserial, commix — server tərəfli zəifliklərin istismarı.
• API və mobil mərhələ: MobSF, Frida, jadx, Postman — tətbiq təhlili və autentifikasiya yoxlaması.
• Active Directory mərhələsi: BloodHound, Mimikatz, CrackMapExec, Rubeus — domen hücumları.
• Şəbəkədaxili yanlama hərəkət və istismar sonrası mərhələ: Havoc, Sliver, Evil-WinRM, Empire — C2 infrastrukturu və gizli hərəkət.
• Əməliyyat və hesabatlandırma: Caldera, Atomic Red Team, CherryTree — ssenari icrası və sənədləşdirmə.

Hansı rol sizə uyğundur: özünüzü necə yoxlaya bilərsiniz?

Seçimi maaş gözləntisi ilə deyil, iş üslubu ilə etmək daha düzgündür. Aşağıdakı suallara səmimi cavab verin.

• Sistemi sındırmağın yolunu axtarmaq sizi daha çox cəlb edir, yoxsa onu bərpa etmək və möhkəmləndirmək?
• Növbəli iş rejimi və siqnal axını altında sakit qala bilirsinizmi? Bu, müdafiə tərəfində adi haldır.
• Uzun və strukturlu hesabat yazmağa səbriniz çatırmı? Hücum komandası işinin yarısı sənəddir.
• Şəbəkə əsasları, Linux komanda sətri və Windows/Active Directory məntiqi ilə tanışsınızmı?
• Təkrarlanan analizdən yorulursunuzmu, yoxsa detalda iz tapmaq sizə maraqlı gəlir?
• Komanda ilə davamlı ünsiyyət qurmağı sevirsinizmi? Purple Team formatı məhz bunun üzərində qurulur.

Cavabların çoxu «tapmaq və sübut etmək» tərəfdədirsə, hücum komandası istiqaməti uyğundur. «Görmək, bərpa etmək, sistemləşdirmək» cavabları üstündürsə, müdafiə komandası daha təbii başlanğıcdır. Təcrübə artdıqca iki tərəf arasında keçid adi haldır.

Sıfırdan başlayanda hansı ardıcıllıq daha məntiqlidir?

1. Baza qurun: şəbəkə protokolları, Linux administrasiyası, Windows və Active Directory əsasları.
2. Bir istiqamət seçin: müdafiə tərəfdə jurnal, SIEM və aşkarlama məntiqi; hücum tərəfdə veb, sistem və Active Directory hücumları.
3. Qapalı laboratoriyada praktika edin — nəzəriyyə tək başına nə hesabat, nə də aşkarlama qaydası yazmağı öyrətmir.
4. Hesabat yazma vərdişi qazanın: tapıntı, təsir, sübut, tövsiyə strukturu hər iki tərəfdə işləyir.
5. Purple Team məşqlərinə qoşulun: icra etdiyiniz texnikanın jurnalda hansı iz buraxdığını yoxlayın.
6. MITRE ATT&CK üzərindən öz bacarıq xəritənizi çıxarın və çatışmazlıqları plana salın.

Qruplar 8–12 nəfərlikdir və hər ay yeni qrup başlayır. Kiçik qrup formatı laboratoriya tapşırıqlarında fərdi izləməyə imkan verir. Hər proqram Log Academy sertifikatı və beynəlxalq sertifikatlara hazırlıqla tamamlanır.

Red Team işi Azərbaycanda legaldırmı?

Bəli, lakin yalnız bir şərtlə: yazılı icazə və müqavilə olmalıdır. Sızma testi sifarişçi ilə razılaşdırılmış əhatə dairəsi, vaxt pəncərəsi və qaydalar sənədi əsasında aparılır. Bu sənəd olmadan eyni hərəkət kompüter sisteminə icazəsiz giriş sayılır.

• Azərbaycan Respublikasının Cinayət Məcəlləsi kompüter sistemlərinə icazəsiz girişi və məlumatlara qanunsuz müdaxiləni cinayət kimi təsbit edir.
• «Test məqsədi ilə etdim» izahı yazılı razılıq olmadan hüquqi müdafiə sayılmır.
• Əhatə dairəsindən kənara çıxmaq — icazə verilməyən domen, sistem və ya üçüncü tərəf xidməti — ayrıca risk yaradır.
• Tapılan zəiflik barədə məlumat yalnız sifarişçiyə verilir, ictimai paylaşılmır.
• Təlimdə bütün tapşırıqlar qapalı laboratoriya mühitində, izolə edilmiş şəbəkədə icra olunur.

Redaksiya prinsipimiz də buradan gəlir: məzmunda işlək istismar təlimatı verilmir. İzah anlayış, müdafiə və karyera müstəvisində qurulur. Məqsəd «hakerlik necə edilir» deyil, bu sahədə necə peşəkar olmaq sualına cavabdır.

Laboratoriyamızda hücum və müdafiə tərəfi necə qarşılaşır?

1. Modul məşqinin iş sənədi hazırlanır: hədəf domen, icazə verilən hərəkətlər, vaxt pəncərəsi və dayandırma şərtləri.
2. İştirakçılar iki alt qrupa bölünür; hər alt qrup öz jurnal və qeyd şablonunu əvvəlcədən doldurur.
3. Məşqdən sonra hər iki tərəfin qeydləri üzbəüz tutuşdurulur: hansı addım görünüb, hansı tamamilə iz buraxmayıb.
4. Davamlı iz (disk, qeydiyyat bazası) ilə keçici izin (yaddaş, sessiya) fərqi ayrıca qeyd olunur.
5. Yazılan aşkarlama qaydası növbəti dərsdə təkrar yoxlanılır və yanlış müsbət sayı ölçülür.
6. Yekun sənəd portfelə əlavə olunur: tapıntı, təsir, sübut, tövsiyə — iş müsahibəsində göstəriləcək formatda.