4.10 پینیٹریشن ٹیسٹنگ اور ریڈ ٹیمنگ

جائزہ اور محرکات

آپ وہ ہر کنٹرول بنا سکتے ہیں جو آپ کا threat model مانگتا ہے اور پھر بھی نہ جان سکتے ہوں کہ وہ کام کرتے ہیں یا نہیں۔ دستاویزات کہتی ہیں کہ فائر وال وہ پورٹ روکتی ہے، کوڈ ریویو کہتا ہے ان پٹ کی توثیق ہوتی ہے، پالیسی کہتی ہے کم از کم استحقاق نافذ ہے۔ جارحانہ سلامتی وہ طریقہ ہے جس سے آپ جانتے ہیں کہ جب پرعزم حملہ آور دباؤ ڈالے تو ان میں سے کچھ سچ ہے یا نہیں۔ یہ باب اپنے ہی نظاموں پر اجازت کے تحت دانستہ حملہ کرنے کے بارے میں ہے، تاکہ حقیقی حریف سے پہلے کمزوریاں ڈھونڈ لی جائیں۔

یہ نظم و ضبط ایک سلسلے پر چلتا ہے۔ ہلکے سرے پر کمزوری کی اسکیننگ ہے: خودکار ٹولز جو معلوم نقائص اور غلط ترتیبوں کو ٹٹولتے ہیں۔ بیچ میں penetration testing ہے: ماہر انسان جو متعین ہدف کے خلاف استحصال کی صلاحیت ثابت کرنے کو کمزوریاں زنجیر میں جوڑتا ہے۔ دور کے سرے پر red teaming ہے: ہدف پر مبنی مہم جو لوگوں، عمل، اور ٹیکنالوجی میں حقیقی حریف کی نقل کرتی ہے، اور آپ کے پتا لگانے اور جواب دینے کی صلاحیت کو آزماتی ہے، صرف روکنے کی نہیں۔ ہر ایک مختلف سوال کا جواب دیتا ہے، اور انہیں ملانا وہ سب سے عام طریقہ ہے جس سے ادارے پیسہ ضائع کرتے اور جھوٹی یقین دہانی سے خود کو تسلی دیتے ہیں۔

یہ باب دانستہ اپنے پڑوسیوں سے الگ بیٹھا ہے۔ باب 4.4 سلامتی کے آپریشنز کا احاطہ کرتا ہے: دفاعی، نگرانی والا پہلو جو خطرات پر نظر رکھتا اور ان کا جواب دیتا ہے۔ یہ باب جارحانہ ہم منصب ہے جو آزماتا ہے کہ وہ دفاع واقعی کام کرتا ہے۔ باب 4.9 محفوظ سافٹ ویئر ڈیولپمنٹ لائف سائیکل کا احاطہ کرتا ہے، جہاں سلامتی اس میں بنتی ہے کہ کوڈ کیسے ڈیزائن اور بھیجا جاتا ہے؛ جارحانہ ٹیسٹنگ باہر سے اس لائف سائیکل کی پیداوار کی توثیق کرتی ہے۔ یہ باب 4.1 کی بنیادوں اور ثقافت اور باب 4.2 کی ایپلیکیشن سلامتی کے عمل پر بھی بنتا ہے۔

بڑے انٹرپرائزز کے لیے جارحانہ ٹیسٹنگ خطرے میں کمی کا آلہ بھی ہے اور ضابطے کی ذمہ داری بھی۔ ادائیگی کے پروسیسرز، بینکوں، اور صحت کے فراہم کنندگان کو ٹیسٹ کرنے کے واضح تقاضے درپیش ہیں۔ حکومت کے لیے داؤ قومی سلامتی اور عوامی اعتماد تک پہنچتے ہیں: یہاں حریف وسائل سے لیس ریاستیں ہیں، اور ان کے ہدف نظام انتخابات، فوائد، اور اہم انفراسٹرکچر چلاتے ہیں۔ دونوں ترتیبوں میں قدر رپورٹ سے نہیں آتی بلکہ اس سے کہ آپ کیا ٹھیک کرتے ہیں اور اگلی دراندازی کا پتا لگانا کتنی تیزی سے سیکھتے ہیں۔

بنیادی اصول

مہم کو سوال سے ملائیں: اسکیننگ، pen testing، اور red teaming مختلف چیزوں کا جواب دیتے ہیں۔
کسی کے نظام کو چھونے سے پہلے تحریری اجازت اور مہم کے واضح قواعد حاصل کریں۔
نتائج بیکار ہیں جب تک ٹھیک اور دوبارہ ٹیسٹ نہ ہوں؛ انہیں کسی بھی دوسرے کام کی طرح ٹریک کریں۔
red team blue team کو بہتر بنانے کے لیے ہے، جیتنے کے لیے نہیں۔
حقیقی حریفوں اور ان کی تکنیکوں کی نقل کریں، عمومی چیک لسٹوں کی نہیں۔
پتا لگانے اور جواب کو ناپیں، صرف ملی کمزوریوں کی گنتی کو نہیں۔
تھیٹر سے ہوشیار رہیں: پاس ہونے کے لیے دائرہ طے کی گئی مہم متاثر کن لگتی ہے اور کچھ ثابت نہیں کرتی۔

سفارشات

جارحانہ سلامتی کا سلسلہ سمجھیں

شروع اس سے کریں کہ نام لیں آپ کیا خرید رہے ہیں۔ کمزوری کی اسکیننگ وسیع، خودکار، اور سستی ہے؛ اسے اپنی ملکیت کے خلاف مسلسل چلائیں تاکہ معلوم Common Vulnerabilities and Exposures (CVEs) اور غلط ترتیبیں پکڑیں۔ یہ مقدار اور جھوٹے مثبت پیدا کرتی ہے، اور بتا نہیں سکتی کہ نقص سیاق میں واقعی قابل استحصال ہے۔ Penetration testing ماہر ٹیسٹر کو مقررہ کھڑکی کے لیے متعین ہدف کے خلاف رکھتی ہے، حقیقی اثر دکھانے کو کمزوریاں زنجیر میں جوڑتے ہوئے: یہ اسکینر کا نتیجہ، اس کمزور اجازت کے ساتھ مل کر، domain administrator دیتا ہے۔ یہ جواب دیتی ہے “کیا یہ مخصوص چیز ٹوٹ سکتی ہے، اور کتنی بری طرح۔”

Red teaming بڑے سوال کا جواب دیتی ہے: “اگر پرعزم حریف ہمیں ہدف بنائے تو کیا ہم نوٹس کریں گے، اور کیا اسے روک سکیں گے۔” یہ ہدف پر مبنی ہے (یہ ڈیٹا سیٹ نکالو، اس کنٹرول سسٹم تک پہنچو)، لوگوں اور جسمانی رسائی سمیت پوری حملے کی سطح ڈھکتی ہے، اور عموماً دفاع کرنے والوں کو خبردار کیے بغیر چلتی ہے۔ Purple teaming دیوار گرا دیتی ہے: red اور blue ایک ہی کمرے میں مل کر کام کرتے ہیں، حملہ آور تکنیک چلاتا ہے اور دفاع کرنے والا دیکھتا ہے کہ اس کی ٹولنگ اسے پکڑتی ہے یا نہیں، حقیقی وقت میں شناختوں کو ٹیون کرتے ہوئے۔ Purple teaming اکثر خفیہ red team سے فی ڈالر زیادہ دفاعی بہتری دیتی ہے، کیونکہ ہر عمل سکھانے کا لمحہ بن جاتا ہے۔

جان بوجھ کر black، grey، یا white-box چنیں

آپ ٹیسٹر کو کتنا بتاتے ہیں یہ طے کرتا ہے کہ آپ کیا سیکھتے ہیں۔ Black-box ٹیسٹنگ انہیں ہدف کے سوا کچھ نہیں دیتی، اندرونی علم کے بغیر بیرونی حملہ آور کی نقل کرتی ہے؛ یہ حقیقت پسندانہ مگر سست ہے، اور ٹیسٹر پورا بجٹ اس جاسوسی پر لگا سکتے ہیں جس پر حقیقی حریف مہینے لیتا۔ White-box سورس کوڈ، فن تعمیر کے خاکے، اور اسناد سونپتی ہے، ٹیسٹر کو گہرائی میں جانے اور دستیاب وقت میں زیادہ علاقہ ڈھکنے دیتی ہے۔ Grey-box بیچ میں ہے: کچھ علم، کچھ اسناد، ایسے حملہ آور کی نقل جس نے گھر کا کام کیا ہو یا بدنیت اندرونی شخص۔

زیادہ تر ایپلیکیشن ٹیسٹنگ کے لیے grey یا white-box بہتر واپسی دیتی ہے، کیونکہ آپ تجزیے کی گہرائی کی ادائیگی کر رہے ہیں، اس کی نہیں کہ ٹیسٹر آپ کے subnet کا ڈھانچہ دوبارہ دریافت کرے۔ Black-box تب رکھیں جب دریافت کے مرحلے کی حقیقت پسندی خود وہ چیز ہو جسے آپ آزمانا چاہتے ہیں، جیسے ناپنا کہ بیرونی شخص آپ کے عوامی نشان سے کتنا سیکھ سکتا ہے۔ واضح رہیں کہ آپ کون سی کروا رہے ہیں، کیونکہ black-box رپورٹ جو کم پائے اس کا مطلب ہو سکتا ہے آپ محفوظ ہیں یا ہو سکتا ہے ٹیسٹر کا وقت دائرے پر ختم ہو گیا۔

دائرہ احتیاط سے طے کریں اور مہم کے قواعد لکھیں

دائرہ وہ جگہ ہے جہاں مہمیں کامیاب یا ناکام ہوتی ہیں۔ مہم کے قواعد کی دستاویز بتاتی ہے کیا حد کے اندر ہے اور کیا نہیں، کون سی تکنیکیں جائز ہیں، ٹیسٹنگ کی کھڑکی، ڈھکے نظام اور نیٹ ورکس، ڈیٹا کی ہینڈلنگ کے تقاضے، اور دونوں طرف ہنگامی رابطے۔ یہ ان پروڈکشن نظاموں کا نام لیتی ہے جو ممنوع ہیں یا احتیاط مانگتے ہیں، اگر ٹیسٹر کو کوئی چیز فعال طور پر خطرناک ملے تو رکنے کا قاعدہ طے کرتی ہے، اور بتاتی ہے کہ اگر وہ حقیقی حملہ آور کی سرگرمی یا واقعی حساس ڈیٹا پر ٹھوکر کھائیں تو کیا ہوگا۔

اضافے کے راستے اور “get out of jail” خط لکھیں: ایسی اجازت جو ٹیسٹر پیش کر سکے اگر سلامتی کا عملہ یا قانون نافذ کرنے والے مہم کے درمیان انہیں روکیں۔ پہلے سے طے کریں کہ نتائج کیسے محفوظ اور منتقل ہوں گے، کیونکہ pen test کی رپورٹ آپ میں نقب لگانے کا نقشہ ہے اور اس کے مطابق محفوظ ہونی چاہیے۔ تنگ دائرہ چھوٹی سطح پر گہرے نتائج دیتا ہے؛ وسیع دائرہ بڑی سطح کی اتھلی کوریج۔ جان بوجھ کر چنیں، اور مہم کے درمیان دوبارہ اجازت کے بغیر دائرے کو خاموشی سے کبھی نہ پھیلنے دیں۔

اجازت کو ٹیسٹنگ اور جرم کے درمیان لکیر سمجھیں

وہ واحد عمل جو penetration tester کو مجرم سے الگ کرتا ہے اجازت ہے۔ جن نظاموں تک رسائی کی اجازت نہ ہو ان تک رسائی امریکہ میں Computer Fraud and Abuse Act جیسے قوانین اور دوسری جگہ مساوی قوانین کے تحت جرم ہے، اور نیک نیتی دفاع نہیں۔ اجازت تحریری طور پر ایسے شخص سے آنی چاہیے جس کے پاس واقعی دینے کا اختیار ہو، بالکل دائرے کے نظاموں اور تکنیکوں کو ڈھکے، اور کام شروع ہونے سے پہلے دستخط ہو۔

تیسری پارٹی کے نظام اسے پیچیدہ بناتے ہیں۔ آپ کے کلاؤڈ فراہم کنندہ، آپ کے software-as-a-service فروخت کنندگان، اور کسی مشترک انفراسٹرکچر کی اپنی ٹیسٹنگ پالیسیاں ہو سکتی ہیں، اور آپ ان اثاثوں پر حملے کی اجازت نہیں دے سکتے جن کے آپ مالک نہیں۔ فراہم کنندہ کے قواعد جانچیں، جہاں ضروری ہو اجازت مانگیں، اور ٹیسٹنگ اپنی tenancy کے اندر رکھیں۔ سماجی انجینئرنگ جو ملازمین کو ہدف بناتی ہے رضامندی اور نفسیاتی نقصان کے بارے میں اخلاقی اور قانونی سوالات اٹھاتی ہے جن پر آپ کو پہلے سے سوچنا ہے۔ شک ہو تو قانونی مشیر کو شامل کریں؛ گفتگو کی لاگت غیر مجاز رسائی کے واقعے کی لاگت کے مقابل معمولی ہے۔

اندرونی ٹیموں اور تیسری پارٹی کے ٹیسٹرز کو تولیں

اندرونی red team آپ کا ماحول جانتی ہے، دفاع کرنے والوں سے تعلقات بناتی ہے، اور سالانہ دھماکوں کی بجائے مسلسل ٹیسٹ کر سکتی ہے۔ وہی واقفیت حد بھی ہے: وہ آپ کے اندھے مقامات اور تنظیمی مفروضے بانٹتے ہیں، اور ان کی آزادی پر سوال اٹھ سکتا ہے جب وہ اسی قیادت کو رپورٹ کریں جس کے نظام وہ آزماتے ہیں۔ تیسری پارٹی کی فرمیں تازہ نظر، مخصوص مہارتیں، اور وہ آزادی لاتی ہیں جو آڈیٹر اور ضابطہ ساز اکثر مانگتے ہیں، مگر وہ آہستہ شروع کرتی ہیں، فی مہم زیادہ لاگت لیتی ہیں، اور رپورٹ دینے پر چلی جاتی ہیں۔

زیادہ تر پختہ پروگرام دونوں استعمال کرتے ہیں۔ اندرونی ٹیمیں مسلسل حریف کی نقل، شناخت کی ٹیوننگ، اور وہ گہرا ماحولیاتی علم سنبھالتی ہیں جو purple teaming کو نتیجہ خیز بناتا ہے۔ بیرونی فرمیں وقتاً فوقتاً آزاد توثیق دیتی ہیں، PCI DSS جیسے معیاروں کی آزادی کے تقاضے پورے کرتی ہیں، اور وہ علاقے ٹٹولتی ہیں جنہیں آپ کے اپنے لوگ دیکھنا چھوڑ چکے ہیں۔ جو بھی استعمال کریں، اصرار کریں کہ ٹیسٹرز اہل ہوں: OSCP (Offensive Security Certified Professional) جیسی تصدیقات اور ثابت شدہ تجربہ چمکدار فروخت کی پریزنٹیشن سے زیادہ اہم ہیں۔

bug bounties اور مربوط افشا چلائیں

Bug bounty پروگرام بیرونی محققین کو پہچان اور ادائیگی کے بدلے کمزوریاں ڈھونڈنے اور رپورٹ کرنے کی دعوت دیتا ہے۔ یہ آپ کو مسلسل، ہجوم سے حاصل ٹیسٹنگ دیتا ہے مہارتوں کی اس رینج میں جو آپ کبھی ایک ساتھ بھرتی نہ کر سکتے، اور آپ صرف حقیقی نتائج کی ادائیگی کرتے ہیں۔ یہ منظم pen testing کا متبادل نہیں، کیونکہ محققین وہ چیز اپناتے ہیں جو ادا کرتی ہے اور پورے زمرے نظر انداز کر سکتے ہیں، لیکن یہ طاقتور تکملہ ہے جو تخلیقی حملے سطح پر لاتا ہے۔

ادا شدہ bounty چلانے سے پہلے آپ کو مربوط کمزوری کے افشا کی پالیسی چاہیے: شائع شدہ، آسانی سے ملنے والا طریقہ کہ کوئی بھی سلامتی کا مسئلہ محفوظ طور پر رپورٹ کر سکے، نیک نیت محققین کا قانونی تعاقب نہ کرنے کا عہد، متعین جواب کی مدتیں، اور آنے والی چیز کی چھانٹی اور اصلاح کا اندرونی عمل۔ security.txt فائل اور واضح رپورٹنگ کا پتہ کم از کم ہیں۔ سرکاری ایجنسیاں عوامی طرف والے نظاموں کے لیے افشا کی پالیسیاں بڑھتی طور پر لازمی کر رہی ہیں، اور کوئی چینل نہ ہونا محققین کو نقائص ڈھونڈنے سے نہیں روکتا؛ یہ صرف انہیں محفوظ طور پر آپ کو بتانے سے روکتا ہے۔

assumed-breach اور حریف کی نقل استعمال کریں

صرف دائرے کی ٹیسٹنگ فرض کرتی ہے کہ حملہ آور باہر سے شروع کرتا ہے، مگر حقیقی خلاف ورزیاں اکثر پہلے سے اندر فش شدہ سند یا سمجھوتا شدہ لیپ ٹاپ سے شروع ہوتی ہیں۔ Assumed breach مشق ٹیسٹر کو قدم جماؤ کے ساتھ شروع کرتی ہے، جیسے معیاری ملازم کے طور پر رسائی، اور پوچھتی ہے وہاں سے وہ کتنا آگے جا سکتے ہیں۔ یہ آپ کی اندرونی علیحدگی، پتا لگانے، اور دھماکے کے دائرے کے کنٹرولز کو براہ راست آزماتی ہے، بجائے سب کچھ ایسے دائرے پر لگانے کے جو آخرکار پار ہو گا۔ یہ عموماً red team کے وقت کا بہتر استعمال ہے بنسبت انہیں مضبوط کنارے کے خلاف زور لگاتے دیکھنے کے۔

مہم کو حقیقی حریف کے برتاؤ میں MITRE ATT&CK سے جڑائیں، ان حربوں اور تکنیکوں کا عوامی علمی ذخیرہ جو حملہ آور واقعی استعمال کرتے ہیں، ابتدائی رسائی سے ڈیٹا نکالنے تک ترتیب دیا ہوا۔ حریف کی نقل ایسا خطرے کا کردار چنتی ہے جو آپ کے شعبے کو ہدف بنانے کے لیے معروف ہو، اس کی دستاویزی تکنیکیں دہراتی ہے، اور آزماتی ہے کہ آپ ہر قدم کا پتا لگاتے اور روکتے ہیں یا نہیں۔ یہ عمومی حملے سے کہیں زیادہ مفید ہے، کیونکہ یہ آپ کے دفاع کو ان مخصوص حریفوں کے مقابل نقشہ کرتی ہے جن کا آپ سامنا کرتے ہیں اور ایسے نتائج دیتی ہے جنہیں آپ کی خطرے کی انٹیلی جنس ترجیح دے سکتی ہے۔

نتائج blue team اور detection engineering کو کھلائیں

جارحیت کا مقصد بہتر دفاع ہے۔ ہر red team کا عمل پوچھنے کا موقع ہے: کیا ہماری ٹولنگ نے اشارہ پیدا کیا، کیا کسی نے دیکھا، اور کیا انہوں نے درست جواب دیا۔ مہمیں یوں چلائیں کہ ہر تکنیک ایسی شناخت سے نقشہ ہو جو آپ کے پاس ہے، بنانی ہے، یا ٹیون کرنی ہے۔ یہ detection engineering ہے: حملہ آور کے برتاؤ کو قابل اعتماد الرٹس میں بدلنا، اور یہی جگہ ہے جہاں red team کی قدر مرکب ہوتی ہے۔ نتیجہ کہ “lateral movement کے دوران ہم پکڑے نہیں گئے” نیا شناخت کا اصول بننا چاہیے، تکنیک دوبارہ چلا کر ٹیسٹ شدہ۔

Tabletop مشقیں اسے فیصلہ سازی تک بڑھاتی ہیں۔ ان لوگوں کو اکٹھا کریں جو حقیقی واقعے کا جواب دیں گے اور حقیقت پسندانہ منظرنامے سے کاغذ پر گزریں: واقعہ کون اعلان کرتا ہے، قانونی ٹیم سے کون بات کرتا ہے، نظام آف لائن کرنے کا فیصلہ کون کرتا ہے۔ Tabletops سستی ہیں، کرداروں اور رابطے کے وہ خلا ظاہر کرتی ہیں جو تکنیکی ٹیسٹ چوک جاتے ہیں، اور ان انسانوں کو تیار کرتی ہیں جو باب 9.3 کے واقعے کے انتظام کے چالو ہونے پر سب سے اہم ہیں۔ تکنیکی red teaming کو باقاعدہ tabletops سے جوڑیں تاکہ آپ کی ٹولنگ اور لوگ دونوں مشق میں آئیں۔

اصلاح ٹریک کریں اور دوبارہ ٹیسٹ کریں

کمزوری کی رپورٹ جس پر کوئی عمل نہ کرے ذمہ داری ہے، کیونکہ آپ اب جان بوجھ کر ایسا نقص چلا رہے ہیں جسے آڈیٹر نقل کر سکتا ہے۔ ہر نتیجے کو اپنے عام کام کے ٹریکنگ سسٹم میں مالک، شدت، اور خطرے سے بندھی ڈیڈ لائن کے ساتھ ڈالیں۔ نازک نتائج کو ہنگامی سلوک ملتا ہے؛ کم والے ایماندار ترجیح کے ساتھ بیک لاگ میں شامل ہوتے ہیں۔ جو میٹرک اہم ہے وہ اصلاح کا وقت ہے، رپورٹ کا وقت نہیں۔

دوبارہ ٹیسٹنگ چکر بند کرتی ہے۔ اصلاح بھیجنے کے بعد ٹیسٹر (یا خودکار جانچ) تصدیق کرتا ہے کہ کمزوری واقعی ختم ہے اور اصلاح نے نیا سوراخ نہیں کھولا۔ دوبارہ ٹیسٹنگ کے بغیر “ٹھیک ہو گیا” امید ہے، حقیقت نہیں، اور بہت سے نتائج دہراتے ہیں کیونکہ اصلاح ادھوری تھی یا regression نے انہیں واپس لایا۔ PCI DSS جیسے معیار یہ چکر واضح طور پر مانگتے ہیں۔ دوبارہ ٹیسٹنگ کو مہم کے معاہدے میں بنائیں تاکہ یہ بھولا ہوا بعد کا خیال نہ ہو۔

سمجھوتے: فوائد اور نقصانات

طریقہ	کس کے لیے بہترین	فوائد	نقصانات
کمزوری کی اسکیننگ	معلوم نقائص کی مسلسل کوریج	سستی، وسیع، خودکار، بار بار	شور والی؛ استحصال کی صلاحیت ثابت نہیں کر سکتی
Penetration testing	متعین ہدف پر اثر ثابت کرنا	گہری، انسانی بصیرت؛ حقیقی استحصال کی زنجیریں	ایک لمحے کی؛ تنگ دائرہ؛ مہنگی
Red teaming	پتا لگانے اور جواب کی ٹیسٹنگ	حقیقت پسندانہ؛ لوگوں اور عمل کو آزماتی ہے	مہنگی؛ سست؛ پختہ blue team چاہیے
Purple teaming	شناخت کو تیزی سے بہتر بنانا	فی ڈالر زیادہ سیکھنا؛ تعاون پر مبنی	کم حقیقت پسندانہ؛ دونوں ٹیموں کی دستیابی چاہیے
Bug bounty	جاری ہجوم سے دریافت	فی نتیجہ ادائیگی؛ متنوع مہارتیں	ناہموار کوریج؛ چھانٹی کا بوجھ؛ عمل چاہیے

بنیادی کھنچاؤ حقیقت پسندی اور سیکھنے کی رفتار کے درمیان ہے۔ خفیہ red team سب سے حقیقت پسندانہ ٹیسٹ ہے جو آپ چلا سکتے ہیں، مگر اس کے سبق آہستہ آتے ہیں اور پوری مہم کے بعد ہی، اور ناپختہ blue team خاموشی سے ہرائے جانے سے کم سیکھتی ہے۔ Purple teaming حیرت قربان کرتی ہے تاکہ دفاع کرنے والوں کی بہتری کی رفتار بڑھائے۔ دوسرا کھنچاؤ وسعت بمقابلہ گہرائی ہے: اسکیننگ سب کچھ اتھلا ڈھکتی ہے، جبکہ pen test ایک پتلی پٹی گہرائی سے۔ پختہ پروگرام ان میں سے ایک چننے کی بجائے انہیں تہہ دار کرتے ہیں، وقتاً فوقتاً گہری ٹیسٹنگ کے نیچے مسلسل اسکیننگ، اور کبھی کبھار مکمل دائرے کی red team کی مہمیں چلاتے ہیں۔ غلط چال یہ ہے کہ ایک سالانہ pen test خرید کر رپورٹ فائل کر دیں اور مسئلہ حل کہہ دیں۔

اپنی ٹیم کے ساتھ بحث کے سوالات

جب ہم جارحانہ ٹیسٹنگ کراتے ہیں تو کیا ہمیں واضح ہے کہ ہم دراصل کون سا سوال پوچھ رہے ہیں، اور کیا مہم اس سے ملتی ہے؟ بہت سے ادارے “penetration test” خریدتے ہیں اور انسانی لکھی خلاصے کے ساتھ کمزوری کا اسکین پاتے ہیں، پھر مانتے ہیں کہ انہوں نے اپنے دفاع آزمائے جبکہ انہوں نے صرف معلوم نقائص جانچے۔ دوسرے red team کراتے ہیں جب ان کی پتا لگانے کی صلاحیت اتنی ناپختہ ہوتی ہے کہ مشق صرف وہ ثابت کرتی ہے جو سب پہلے سے جانتے تھے۔ اپنی پچھلی تین مہموں کے دائرے اور نتیجے کی رپورٹیں لائیں، اور پوچھیں کیا ہر ایک نے وہ سوال حل کیا جس کا جواب آپ کو چاہیے تھا: معلوم کمزوریوں کی کوریج، مخصوص ہدف کے استحصال کی صلاحیت، یا دراندازی کا پتا لگانے اور جواب دینے کی صلاحیت۔ جواب کو اسکیننگ، pen testing، اور red یا purple teaming کے دانستہ مرکب کی شکل دینی چاہیے جو آپ کی پختگی سے ملے۔
رپورٹ آنے کے بعد نتیجے کا کیا ہوتا ہے، اور ہم کیسے ثابت کریں گے کہ ٹھیک ہوا؟ جارحانہ سلامتی کی قدر مکمل اصلاح میں ہے، مگر بہت سے پروگرام کامیابی کو خطرے کے سکڑنے کی بجائے رپورٹ کے حجم سے ناپتے ہیں۔ اپنی پچھلی مہم کے حقیقی نتیجے کا سراغ لگائیں: مالک کون تھا، فیچر کے کام کے مقابل اسے کیسے ترجیح دی گئی، کب ٹھیک ہوا، اور کیا کسی نے تصدیق کی کہ اصلاح واقعی کام کی۔ اگر آپ وہ نشان پیش نہیں کر سکتے تو آپ کی ٹیسٹنگ وہ علم پیدا کر رہی ہے جس پر آپ عمل نہیں کر رہے، جو نہ جاننے سے بدتر ہے، کیونکہ اب آپ جانتے بوجھتے بے نقاب ہیں۔ اس بحث کا نتیجہ مالکوں، خطرے پر مبنی ڈیڈ لائنز، اور ہر معاہدے میں بنی لازمی دوبارہ ٹیسٹنگ کے ساتھ ٹریک شدہ اصلاح کا ورک فلو ہونا چاہیے۔
کیا ہماری red team ہماری blue team کو بہتر بنا رہی ہے، یا صرف اسکور رکھ رہی ہے؟ red team جو غیر دریافت شدہ جیتوں کا جشن مناتی اور اپنی تکنیکیں چھپاتی ہے تفریحی اور بیکار ہے۔ تعلق حریفانہ سطح کے نیچے تعاون پر مبنی ہونا چاہیے: ہر تکنیک جو پتا نہ چلی نئی شناخت کا اصول بنے، ہر کامیاب راستہ علیحدگی کو آگاہ کرے، اور دونوں ٹیمیں مل کر debrief کریں۔ اپنے دفاع کرنے والوں سے پوچھیں انہوں نے آخری red team مہم سے کیا سیکھا اور کیا اس کے نتیجے میں کوئی ٹھوس شناخت یا کنٹرول بدلا۔ اگر ایماندار جواب کچھ نہیں ہے تو آپ تھیٹر کے لیے ادائیگی کر رہے ہیں، اور آپ کو purple teaming اور detection engineering سے صاف بندھی حریف کی نقل کی طرف جانا چاہیے۔
ہماری اگلی مہم سے پہلے کیا ہمارے پاس دائرے کے ہر اثاثے کی تحریری اجازت ہے، بشمول وہ جن کے ہم مالک نہیں؟ اجازت penetration test اور کمپیوٹر کے جرم کے واقعے کے درمیان لکیر ہے، اور بڑے ادارے میں جن نظاموں کو ٹیسٹر چھوئے گا وہ شاذ ہی ملکیت کی ایک حد کے اندر ہوتے ہیں: وہ کلاؤڈ tenancies، software-as-a-service پلیٹ فارمز، منظم نیٹ ورکس، اور مشترک انفراسٹرکچر پر پھیلے ہیں جسے شراکت دار یا فروخت کنندہ کنٹرول کرتا ہے۔ متصادم دباؤ رفتار ہے، کیونکہ دستخط شدہ اجازت اور فراہم کنندہ کی ٹیسٹنگ کی پالیسیوں کا پیچھا سست ہے اور ڈیڈ لائن قریب ہونے پر چھوڑنا لبھاتا ہے۔ مہم کے قواعد کا مسودہ، ہر نظام کے مقابل نام زد مالک کے ساتھ اثاثوں کی فہرست، متعلقہ کلاؤڈ اور فروخت کنندہ کی ٹیسٹنگ پالیسیاں، اور دستخط شدہ اجازت کا خط لائیں جو ٹیسٹر مہم کے درمیان روکے جانے پر پیش کر سکے۔ انٹرپرائز اور سرکاری کام کے لیے نمائش شدید ہے: مشترک پلیٹ فارم پر غیر مجاز ٹٹولنا معاہدے توڑ سکتا ہے، ضابطے کی رپورٹنگ ٹرگر کر سکتا ہے، یا عوامی ایجنسی کے لیے ایسی سرخی بن سکتا ہے کہ حکومت ان نظاموں پر حملہ کر رہی تھی جنہیں چھونے کا اسے حق نہ تھا، اس لیے کسی کے شروع کرنے سے پہلے قانونی مشیر کو منظوری دینی چاہیے۔
کیا ہم اندرونی red team، بیرونی فرموں، یا دونوں میں سرمایہ لگا رہے ہیں، اور کیا وہ تقسیم ہماری اصل ضرورت سے ملتی ہے؟ یہ حقیقی رقم اور کئی سال کے نتائج کے ساتھ بنانے بمقابلہ خریدنے کا فیصلہ ہے: اندرونی ٹیم تنخواہوں اور ٹولنگ کی لاگت لیتی ہے اور مسلسل حریف کی نقل اور گہرا ماحولیاتی علم دیتی ہے، جبکہ بیرونی فرمیں فی مہم زیادہ لاگت لیتی ہیں مگر تازہ نظر، مخصوص مہارتیں، اور وہ آزادی لاتی ہیں جو آڈیٹر اور ضابطہ ساز مانگتے ہیں۔ کھنچاؤ یہ ہے کہ ہر ایک دوسرے کا اندھا مقام ڈھکتی ہے، اس لیے انہیں تکملہ کی بجائے متبادل سمجھنا عموماً خلا چھوڑتا ہے۔ ہر ایک پر اپنا موجودہ خرچ، کام کرنے والوں کی تصدیقات اور ثابت شدہ ریکارڈ، مہموں کی تال، اور آپ کے معیاروں کے آزادی کے تقاضے لائیں۔ ضابطے کے پابند انٹرپرائز میں PCI DSS اور ایسے نظام بیرونی آزاد ٹیسٹنگ پر مجبور کر سکتے ہیں چاہے آپ کی اندرونی ٹیم کتنی ہی اچھی ہو؛ حکومت میں خریداری کے قواعد اور operate کی اجازت سے پہلے فاصلے پر تخمینہ دکھانے کی ضرورت اکثر تسلیم شدہ تیسری پارٹی کو اختیاری کی بجائے لازمی بنا دیتی ہے۔
کیا ہمارے پاس بیرونی محققین کے لیے کمزوریاں رپورٹ کرنے کا محفوظ چینل ہے، اور کیا ہم آنے والی چیز سنبھالنے کو تیار ہیں؟ بڑا عوامی طرف والا ادارہ پہلے ہی محققین سے ٹٹولا جا رہا ہے چاہے وہ انہیں دعوت دے یا نہیں، اور واحد سوال یہ ہے کہ وہ آپ کو محفوظ طور پر بتا سکتے ہیں یا جو پایا اسے شائع یا بیچنے پر مجبور ہیں۔ متصادم غور تیاری ہے: مربوط افشا کی پالیسی یا ادا شدہ bug bounty کھولنا آنے والی رپورٹیں اور چھانٹی کا بوجھ پیدا کرتا ہے، اور ایسا پروگرام جو ان نتائج کی ادائیگی کرے جنہیں کبھی ٹھیک نہ کرے کسی پروگرام کے نہ ہونے سے بدتر ہے۔ اپنی موجودہ security.txt فائل اور رپورٹنگ کا پتہ اگر کوئی ہو، اپنا intake اور چھانٹی کا عمل، جواب کی وہ مدتیں جن کا آپ ایمانداری سے وعدہ کر سکتے ہیں، اور جو آئے اسے ٹھیک کرنے کی بیک لاگ کی گنجائش لائیں۔ سرکاری ایجنسیوں کے لیے عوامی نظاموں پر کمزوری کے افشا کی پالیسی بڑھتی طور پر شائستگی کی بجائے ہدایت ہے، اور انٹرپرائزز کے لیے اچھی چلی bounty تخلیقی نتائج کا ماخذ اور گاہک کی due diligence کے دوران پختگی کی شہادت دونوں ہے، اس لیے فیصلہ چینل رکھنے کا کم اور یہ زیادہ ہے کہ آیا آپ اسے نبھانے کے لیے عملے سے لیس ہیں۔

شعبہ جاتی نقطۂ نظر

اسٹارٹ اپ۔ آپ اندرونی red team کی استطاعت نہیں رکھتے، اس لیے سستی کوریج کو تہہ دار کریں۔ کمزوری کی اسکیننگ کو اپنی تعیناتی کی پائپ لائن میں جوڑیں تاکہ ہر بلڈ پر معلوم dependency کے نقائص پکڑیں، security.txt فائل اور سادہ مربوط افشا کی پالیسی شائع کریں تاکہ محققین آپ تک پہنچ سکیں، اور اپنے پہلے انٹرپرائز سودے سے پہلے معتبر فرم سے ایک grey-box penetration test کروائیں، ہر نتیجے کو تصدیق شدہ اصلاح تک ٹریک کرتے ہوئے۔ رفتار وسیع پروگرام سے زیادہ اہم ہے: وہ ایک ٹیسٹ چنیں جو فروخت کھولے یا آپ کا سب سے بڑا خطرہ بند کرے اور باقی کو اس وقت تک چھوڑ دیں جب تک آپ بڑے نہ ہوں۔

چھوٹا کاروبار۔ عملے پر سلامتی کے ماہر کے بغیر اور تنگ بجٹ کے ساتھ، بنانے کی بجائے خریدیں۔ منظم اسکیننگ سروس استعمال کریں اور کوئی اندرونی صلاحیت قائم کرنے کی بجائے معمولی تال پر بیرونی pen test کی فرم کرائے پر لیں، اور یقینی بنائیں کہ آپ کے معاہدے میں دوبارہ ٹیسٹ شامل ہے تاکہ “ٹھیک ہوا” ثابت ہو، فرض نہ ہو۔ آپ کی سب سے زیادہ قدر، کم ترین لاگت کی چال یہ ہے کہ کمزوری رپورٹ کرنے کا شائع شدہ راستہ ہو اور جلد پیچ کرنے کا نظم و ضبط، کیونکہ آپ کے سائز کے کاروبار کا زیادہ تر حقیقی سمجھوتا معلوم، غیر پیچ شدہ کمزوریوں سے آتا ہے۔

بڑا ادارہ۔ پیمانے پر چیلنج بہت سی ٹیموں میں نظم و نسق ہے۔ PCI DSS جیسے معیار پورے کرنے والے وقتاً فوقتاً آزاد بیرونی pen tests کے نیچے مسلسل اسکیننگ چلائیں، مسلسل حریف کی نقل اور purple teaming کے لیے اندرونی red team رکھیں، اور اصلاح کو مالکوں، خطرے پر مبنی ڈیڈ لائنز، اور لازمی دوبارہ ٹیسٹنگ کے ساتھ ٹریک شدہ پورٹ فولیو کے طور پر منظم کریں۔ ہر غیر دریافت شدہ تکنیک کو detection engineering میں کھلائیں، اور وہ آڈٹ کی شہادت، کوریج، ٹائم لائنز، اور بند ہونے کی شرحیں بنائیں جو تعمیل اور آپ کا بورڈ توقع کرتے ہیں۔

حکومت۔ خریداری کے قواعد، شفافیت، اور عوامی جوابدہی پورے پروگرام کو شکل دیتے ہیں۔ عوامی طرف والے نظاموں پر کمزوری کے افشا کی پالیسی رکھیں جیسا کہ ہدایات بڑھتی طور پر مانگتی ہیں، اس penetration testing کے لیے تسلیم شدہ آزاد تخمینہ کار استعمال کریں جو نظام کے authorisation to operate کا دروازہ ہے، اور اپنی حریف کی نقل کو ان مخصوص ریاستی کرداروں پر ماڈل کریں جن کی آپ کے انٹیلی جنس شراکت دار نشاندہی کریں۔ اجازت، دائرے، اور ڈیٹا کی ہینڈلنگ کو اضافی سختی سے لیں کیونکہ نظام انتخابات، فوائد، اور اہم انفراسٹرکچر چلاتے ہیں، اور کسی بھی نظام کو چالو رکھنے کی پیشگی شرط دوبارہ ٹیسٹنگ بنائیں۔

مثالیں

اسٹارٹ اپ۔ بیس افراد کا fintech اسٹارٹ اپ اندرونی red team کی استطاعت نہیں رکھتا، اس لیے جو کر سکتا ہے اسے تہہ دار کرتا ہے۔ خودکار کمزوری کی اسکیننگ اس کی پائپ لائن کے ذریعے ہر deploy پر چلتی ہے، معلوم dependency کے نقائص جلد پکڑتی ہے۔ وہ security.txt فائل اور سادہ مربوط افشا کی پالیسی شائع کرتا ہے، پھر پروڈکٹ مستحکم ہونے پر عوامی پلیٹ فارم پر معمولی bug bounty کھولتا ہے، حقیقی نقائص کے لیے حقیقی محققین کو ادائیگی کرتے ہوئے۔ اپنے پہلے انٹرپرائز گاہک پر دستخط سے پہلے وہ معتبر فرم سے ایپلیکیشن کا grey-box penetration test کرواتا ہے، ہر نتیجے کو اپنے عام issue tracker میں بند ہونے تک ٹریک کرتا ہے، اور اصلاحات کی تصدیق کے لیے دوبارہ ٹیسٹ کی ادائیگی کرتا ہے۔ یہ تہہ دار طریقہ ایسی لاگت پر معتبر سلامتی کی کوریج دیتا ہے جو اسٹارٹ اپ برداشت کر سکتا ہے، اور pen test کی رپورٹ وہ شہادت بنتی ہے جو وہ گاہک کی due diligence کے دوران شیئر کر سکتا ہے۔

بڑا ادارہ۔ کارڈ کی ادائیگیاں پروسیس کرنے والا کثیر قومی خوردہ فروش PCI DSS پوری کرتا ہے، جو کم از کم سالانہ اور اہم تبدیلیوں کے بعد اندرونی اور بیرونی دونوں penetration testing مانگتا ہے، ساتھ علیحدگی کی ٹیسٹنگ یہ ثابت کرنے کو کہ کارڈ ہولڈر کا ماحول الگ ہے۔ وہ ہزاروں اثاثوں پر مسلسل اسکیننگ چلاتا ہے، معیار پورا کرنے کو آزاد بیرونی pen tests کراتا ہے، اور اندرونی red team رکھتا ہے جو خوردہ کو ہدف بنانے کے لیے معروف خطرے کے کرداروں کے مقابل MITRE ATT&CK پر مبنی assumed-breach مشقیں چلاتی ہے۔ red team باب 4.4 کے سلامتی کے آپریشنز کے شعبے کے ساتھ قریب سے کام کرتی ہے: ہر غیر دریافت شدہ تکنیک detection engineering کا ٹکٹ بنتی ہے، اور سہ ماہی purple team کی بیٹھکیں الرٹنگ ٹیون کرتی ہیں۔ اصلاح خطرے پر مبنی ڈیڈ لائنز کے ساتھ ٹریک ہوتی ہے، اور پورا پروگرام وہ آڈٹ کی شہادت پیدا کرتا ہے جو باب 4.6 کی تعمیل کو چاہیے۔

حکومت۔ شہری فوائد کے نظام چلانے والی قومی ایجنسی ریاستی حریفوں اور حساس ذاتی ڈیٹا کی حفاظت کے عوامی مینڈیٹ کا سامنا کرتی ہے۔ وہ تمام عوامی طرف والے نظاموں پر کمزوری کے افشا کی پالیسی رکھتی ہے، جیسا کہ سرکاری ہدایات بڑھتی طور پر مانگتی ہیں، محققین کو نقائص رپورٹ کرنے کا محفوظ چینل دیتی ہوئی۔ آزاد تیسری پارٹی کے تخمینہ کار کسی نظام کے لائیو ہونے سے پہلے اجازت کے عمل کے حصے کے طور پر penetration tests کرتے ہیں، اور مسلسل نگرانی میں جاری اسکیننگ شامل ہے۔ ایجنسی ان مخصوص خطرے کے گروہوں پر ماڈل کی گئی حریف کی نقل چلاتی ہے جن کی اس کے انٹیلی جنس شراکت دار نشاندہی کرتے ہیں، اور باقاعدہ tabletop مشقیں واقعے کے جواب اور قانونی ہم آہنگی کی مشق کرتی ہیں جو حقیقی خلاف ورزی مانگے گی۔ نتائج لازمی ٹائم لائنز کے ساتھ رسمی اصلاح کے پروگرام کو کھلاتے ہیں، اور دوبارہ ٹیسٹنگ نظام کے authorisation to operate کو برقرار رکھنے کی پیشگی شرط ہے۔

کاروباری جواز: محرکات، ROI اور TCO

جارحانہ سلامتی پر واپسی وہ خلاف ورزی ہے جو آپ نے نہیں جھیلی۔ سنگین ڈیٹا کی خلاف ورزی براہ راست جواب، ضابطے کے جرمانوں، قانونی ذمہ داری، گاہکوں کے جانے، اور ساکھ کے نقصان میں لاکھوں لاگت لیتی ہے، اور واحد سب سے مہنگا عنصر یہ ہے کہ دراندازی کتنی دیر غیر دریافت رہی۔ Red teaming اور purple teaming اس عدد پر براہ راست حملہ کرتے ہیں، سمجھوتے اور پتا لگانے کے درمیان خلا سکیڑ کر۔ Penetration test جو آپ کے گاہک کے ڈیٹا بیس تک قابل استحصال راستہ ڈھونڈے، حملہ آور کے ڈھونڈنے سے پہلے ٹھیک ہو، ایک ہی ٹلا ہوا واقعہ پورے پروگرام کی کئی گنا ادائیگی کر دیتا ہے۔

سخت محرکات بھی ہیں۔ PCI DSS کارڈ کا ڈیٹا سنبھالنے والوں کے لیے penetration testing لازمی کرتا ہے۔ فریم ورکس اور سرکاری اجازت کے نظام آپریشن سے پہلے اور دوران آزاد تخمینہ مانگتے ہیں۔ انٹرپرائز گاہک معاہدوں کی شرط کے طور پر حالیہ pen test کی رپورٹیں مانگتے ہیں۔ ان معاملات میں ٹیسٹنگ اختیاری نہیں، اور سوال صرف یہ ہے کہ آیا آپ اس پیسے سے حقیقی سلامتی کی قدر نکالتے ہیں جو آپ کو ویسے بھی خرچ کرنا ہے۔

ملکیت کی کل لاگت میں مہم کی فیس سے زیادہ شامل ہے۔ اندرونی ٹیم بنائیں تو اس کی ٹولنگ اور عملے، bug bounty کی چھانٹی کا بوجھ، اور سب سے بڑھ کر نتائج سے پیدا ہونے والے اصلاح کے کام کا بجٹ بنائیں، جہاں حقیقی خرچ اترتا ہے۔ پروگرام جو ٹیسٹ کراتا ہے مگر اصلاح کو کم فنڈ کرتا ہے دونوں کا بدترین ہے: یہ بری خبر کی ادائیگی کرتا ہے اور پھر دوبارہ ادا کرتا ہے جب نظر انداز نتیجہ استحصال ہو۔ قیادت کے سامنے دلیل رکھنے کے لیے ٹیسٹنگ کو ان میٹرکس سے جوڑیں جو وہ ٹریک کرتی ہے: پتا لگانے کا اوسط وقت، اصلاح کا اوسط وقت، بند ہوئے آڈٹ کے نتائج، اور آپ کے اہم ترین اثاثوں پر خطرے میں کمی۔

ضد نمونے اور خامیاں

اسکین-اور-نام بدلو: کمزوری کا اسکین penetration test کے طور پر بیچنا، ٹول کی آؤٹ پٹ بغیر انسانی توثیق یا استحصال کی زنجیروں کے دینا۔
رپورٹ اور بھول جاؤ: ڈیلیوری ایبل کو ہدف سمجھنا، نتائج فائل کر دینا، اور اصلاح یا دوبارہ ٹیسٹنگ کبھی ٹریک نہ کرنا۔
پاس ہونے کے لیے دائرہ: مہم تنگ کرنا تاکہ جن نظاموں کے ناکام ہونے کا سب سے زیادہ امکان ہے وہ سہولت سے حد کے باہر ہوں، صاف رپورٹ دینا جس کا کوئی مطلب نہیں۔
اسکور بورڈ کے طور پر red team: حریفانہ ٹیم جو تکنیکیں چھپاتی اور دفاع کرنے والوں کو بہتر بنانے کی بجائے جیتوں کا جشن مناتی ہے۔
ناپختہ blue team کو خفیہ طور پر ٹیسٹ کرنا: پتا لگانے کی کوئی صلاحیت ہونے سے پہلے خفیہ red team چلانا، تاکہ مشق صرف وہ ثابت کرے جو آپ پہلے سے جانتے تھے۔
کوئی اجازت نہیں یا مبہم دائرہ: تحریری اجازت کے بغیر کام شروع کرنا، یا دائرے کو ان نظاموں تک پھسلنے دینا جن کے آپ مالک نہیں، قانونی تباہی کو دعوت دیتے ہوئے۔
دائرے کا جنون: صرف بیرونی کنارے کی ٹیسٹنگ اور assumed-breach کی حقیقت نظر انداز کرنا کہ حملہ آور اندر سے شروع کرتے ہیں۔
افشا کے چینل کو نظر انداز کرنا: بیرونی محققین کے نقائص رپورٹ کرنے کا کوئی محفوظ طریقہ نہ ہونا، اس لیے وہ عوامی طور پر شائع یا بیچ دیتے ہیں۔
تھیٹر کی میٹرکس: ملی کمزوریاں گننا بجائے کم ہوا خطرہ، بہتر ہوا پتا لگانا، اور مختصر ہوا اصلاح کا وقت۔

پختگی کا ماڈل

سطح 1، آغاز: ٹیسٹنگ کبھی کبھار اور ردعملی ہے، اکثر ایک سالانہ pen test جو خانہ پری کے لیے ہو، یا صرف واقعے کے بعد ٹرگر ہو۔ رپورٹیں تھوڑی پیروی کے ساتھ فائل ہوتی ہیں، اصلاح غیر ٹریک شدہ ہے، کوئی افشا کا چینل نہیں، اور حقیقی دراندازی کا پتا لگانا غیر ٹیسٹ شدہ اور غالباً غائب ہے۔
سطح 2، ترقی: کمزوری کی اسکیننگ اور penetration testing موجود ہیں مگر ٹیموں میں غیر مستقل، کچھ گروہ مسلسل اسکین کرتے اور دوسرے بالکل نہیں۔ نتائج کہیں ریکارڈ ہوتے ہیں، اگرچہ مالک اور ڈیڈ لائنز ادھوری ہیں، دوبارہ ٹیسٹنگ فی البدیہہ ہے، اور مربوط افشا کا چینل کچھ نظاموں کے لیے ہو سکتا ہے مگر پوری ملکیت کے لیے نہیں۔
سطح 3، معیار بندی: جارحانہ ٹیسٹنگ دستاویزی پروگرام ہے جو ادارے بھر میں نافذ ہے، واقعہ نہیں۔ شیڈول شدہ penetration tests کے نیچے اسکیننگ مسلسل چلتی ہے جو متعین تال پر اور بڑی تبدیلیوں کے بعد کرائے جاتے ہیں، مہم کے قواعد اور اجازت معیاری عمل ہیں، ہر نتیجہ مالک اور خطرے پر مبنی ڈیڈ لائن کے ساتھ بند ہونے تک ٹریک ہوتا ہے، دوبارہ ٹیسٹنگ لازمی ہے، اور مربوط افشا کی پالیسی تمام عوامی طرف والے نظاموں کو ڈھکتی ہے۔
سطح 4، انتظام: پروگرام بنیادی خطوط کے مقابل ناپا اور کنٹرول کیا جاتا ہے۔ آپ پتا لگانے کا اوسط وقت اور اصلاح کا اوسط وقت، red team کی تکنیکوں کا فیصد جنہوں نے اشارہ پیدا کیا، آپ کے شعبے سے متعلقہ MITRE ATT&CK تکنیکوں کے مقابل شناخت کی کوریج، نتائج کے دہرانے کی شرحیں، اور افشا کے جواب کے اوقات ٹریک کرتے ہیں، اور ہر میٹرک ہدف کے مقابل رکھتے اور بھٹکنے پر عمل کرتے ہیں۔ Assumed-breach مشقیں اور حریف کی نقل معمول ہیں، red team مسلسل کام کرتی ہے، نتائج detection engineering کو کھلاتے ہیں، اور آگے بڑھنے یا نہ بڑھنے کے فیصلے رائے کی بجائے شہادت پر ٹکتے ہیں۔
سطح 5، ہم آہنگی: Red اور purple teaming ادارے بھر میں مربوط اور ڈھلنے والی ہیں۔ ہر تکنیک ٹیسٹ شدہ شناخت سے نقشہ ہے، حریف کی نقل ان مخصوص خطرے کے کرداروں کا پیچھا کرتی ہے جو انٹیلی جنس بدلنے پر اس وقت آپ کے شعبے کو ہدف بنا رہے ہیں، اور پروگرام سیکھتے ہوئے اپنا دائرہ، تکنیکیں، اور میٹرکس مسلسل بہتر کرتا ہے۔ جارحانہ ٹیسٹنگ، سلامتی کے آپریشنز، detection engineering، اور واقعے کا جواب ایک چکر کے طور پر چلتے ہیں جو وقت کے ساتھ سمجھوتے اور پتا لگانے کے درمیان خلا ناپ کر سکیڑتا ہے۔

بحث کے لیے خیالات

اگر حقیقی حملہ آور آج معیاری ملازم کے طور پر قدم جما لے تو کسی کے نوٹس کرنے سے پہلے وہ کتنی دور پہنچ سکتا ہے، اور آپ کو کیسے پتا؟
آپ کی پچھلی مہموں میں سے کون سی واقعی حقیقت پسندانہ تھیں، اور کون سی یوں دائرہ طے ہوئیں کہ ممکنہ ناکامیاں سہولت سے حد کے باہر تھیں؟
آپ کے پچھلے ٹیسٹ کے کتنے نتائج اب بھی کھلے ہیں، اور یہ کیا بتاتا ہے کہ ٹیسٹنگ یا اصلاح آپ کی حقیقی رکاوٹ ہے؟
کیا بیرونی محققین کے پاس آپ کو کمزوری رپورٹ کرنے کا محفوظ، واضح طریقہ ہے، اور جب رپورٹ آتی ہے تو کیا ہوتا ہے؟
آپ کے واقعے کا جواب دینے والوں نے آخری بار کب کاغذ پر خلاف ورزی کی مشق کی، اور کیا tabletop نے وہ خلا ظاہر کیے جو آپ کے تکنیکی ٹیسٹ چوک گئے؟
کیا آپ ملی کمزوریاں ناپ رہے ہیں، یا بہتر ہوا پتا لگانا اور کم ہوا خطرہ ناپ رہے ہیں؟

اہم نکات

جارحانہ سلامتی سلسلہ ہے: اسکیننگ معلوم نقائص ڈھونڈتی ہے، pen testing استحصال کی صلاحیت ثابت کرتی ہے، اور red teaming پتا لگانے اور جواب کو آزماتی ہے۔ مہم کو سوال سے ملائیں۔
تحریری اجازت اور مہم کے واضح قواعد سلامتی کی ٹیسٹنگ اور جرم کے درمیان لکیر ہیں؛ انہیں کبھی نہ چھوڑیں، خاص طور پر ان نظاموں پر جن کے آپ پوری طرح مالک نہیں۔
قدر اصلاح اور دوبارہ ٹیسٹنگ میں ہے، رپورٹ میں نہیں۔ ہر نتیجہ مالک، خطرے پر مبنی ڈیڈ لائن، اور تصدیق شدہ اصلاح کے ساتھ ٹریک کریں۔
red team blue team کو بہتر بنانے کے لیے ہے۔ نتائج detection engineering کو کھلائیں، purple teaming اور assumed-breach مشقوں کو ترجیح دیں، اور مہموں کو MITRE ATT&CK کے ذریعے حقیقی حریف کی تکنیکوں میں جڑائیں۔
پتا لگانے اور جواب کو ناپیں، صرف کمزوریوں کی گنتی کو نہیں، اور پاس ہونے کے لیے دائرہ طے کی گئی مہموں سے ہوشیار رہیں، جو سلامتی کے بغیر تسلی پیدا کرتی ہیں۔

حوالہ جات اور مزید مطالعہ

Georgia Weidman, Penetration Testing: A Hands-On Introduction to Hacking
Peter Kim, The Hacker Playbook 3: Practical Guide to Penetration Testing
Jim O’Gorman, Devon Kearns, and Mati Aharoni, Metasploit: The Penetration Tester’s Guide
Joe Vest and James Tubberville, Red Team Development and Operations: A Practical Guide
MITRE, MITRE ATT&CK framework and knowledge base
Payment Card Industry Security Standards Council, PCI DSS Requirements and Testing Procedures and Penetration Testing Guidance
National Institute of Standards and Technology, NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
Dafydd Stuttard and Marcus Pinto, The Web Application Hacker’s Handbook