Red Teaming: محاكاة هجمات قائمة على TTP

يبحث اختبار الاختراق في نظام مستهدف محدد بوضوح وضمن إطار زمني ثابت عن أكبر عدد ممكن من الثغرات الأمنية القابلة للاستغلال؛ فالاتساع مقدَّم على التخفي، وفريق الدفاع على علم في الغالب. أما Red Teaming فقائم على الأهداف والسيناريوهات: إذ يحاكي جهة تهديد محددة، ويعمل بشكل خفي، ويقيس في المقام الأول القدرة على الاكتشاف والاستجابة – ولا يُبلَّغ فريق الدفاع Blue Team مسبقًا في العادة. ويجمع Purple Teaming الطرفين عن قصد: يعمل المختبِرون والمدافعون بشكل تعاوني لتحسين الاكتشاف والاستجابة بشكل موجّه. ولا تتنافس هذه المناهج الثلاثة، بل يخاطب كل منها مستويات نضج وأسئلة مختلفة.

تنظّم فرق Red Team عملها وفق تكتيكات المهاجمين الحقيقيين وتقنياتهم وإجراءاتهم. ويُعد MITRE ATT&CK قاعدة المعرفة الراسخة والمتاحة للعموم لهذا الغرض: إذ تصنّف مصفوفة Enterprise سلوك المهاجمين المرصود ضمن تكتيكات («لماذا» الخطوة) وتحتها تقنيات محددة. وفي الإصدار v19 (أبريل 2026) قُسّم التكتيك السابق «Defense Evasion» إلى «Stealth» (TA0005) و«Defense Impairment» (TA0112)؛ وبذلك تضم مصفوفة Enterprise 15 تكتيكًا. ويخدم ATT&CK تخطيط سيناريوهات واقعية وربط الإجراءات المنفَّذة بمنطق الاكتشاف ربطًا كاملًا – ويجعل تغطية الاختبار قابلة للتتبع.

تتبع عملية Red Team دورة حياة الهجوم: الاستطلاع (Reconnaissance)، والوصول الأولي (Initial Access)، وتوسيع الصلاحيات والحركة الجانبية (Lateral Movement)، وصولًا إلى تحقيق الأهداف المتفق عليها (Objectives، وكثيرًا ما تُعرَّف بوصفها «Flags»). ولأن الوصول الأولي مكلف وحساس للوقت، يُستعاض عنه بشكل متزايد بسيناريوهات Assume-Breach: إذ يبدأ الاختبار من نقطة مخترَقة مسبقًا – كمحطة عمل قياسية – ويفحص بشكل موجّه إلى أي مدى يمكن للمهاجم الانتشار داخليًا قبل اكتشافه. وهذا ينقل التركيز من المحيط الخارجي إلى المرونة الداخلية.

يجمع الاختبار الموجَّه بالتهديدات (Threat-led Testing) بين Red Teaming وتحليل تهديدات محدد للمؤسسة المختبَرة. وفي القطاع المالي تجعل لائحة DORA (EU) 2022/2554 ذلك إلزاميًا: فبموجب المادة 26(1) تجري المؤسسات المالية المحدَّدة اختبار اختراق موجَّهًا بالتهديدات (TLPT) مرة كل ثلاث سنوات على الأقل، ووفق المادة 26(2) على أنظمة الإنتاج الحية التي تدعم وظائف حرجة أو مهمة. ويشكّل إطار TIBER-EU التابع للبنك المركزي الأوروبي، الذي وُوئم مع DORA في 11.02.2025، الأساس التشغيلي؛ وفي ألمانيا يطبّقه Deutsche Bundesbank بصيغة TIBER-DE (الإصدار 4.0، يوليو 2025)، بينما تتولى BaFin المهام الرقابية. وتحدد اللائحة المفوَّضة (EU) 2025/1190 الصادرة في 13.02.2025 النطاق والمنهجية والمراحل – وتبلغ مرحلة اختبار Red Team النشطة بموجبها اثني عشر أسبوعًا على الأقل.

لا تُقاس قيمة تمرين Red Team بعدد الثغرات المكتشفة، بل بمدى جودة استجابة فريق الدفاع. ومن المؤشرات المعبّرة الوقت حتى الاكتشاف، والوقت حتى الاحتواء، وأي التكتيكات والتقنيات المنفَّذة أطلقت إنذارات أصلًا. ومن خلال ربط إجراءات المهاجم بتقنيات MITRE ATT&CK يمكن إظهار ثغرات الاكتشاف بشكل منهجي. وبذلك ينشأ، بدلًا من لقطة آنية، تقييم موثوق للقدرة الفعلية للمؤسسة على الاكتشاف والاستجابة.

يحسن أن تلي عملية Red Team الخفية مرحلة Purple Teaming يستعرض فيها المختبِرون والمدافعون الإجراءات المنفَّذة معًا. وهذا تحديدًا ما تفرضه اللائحة المفوَّضة (EU) 2025/1190 للمرحلة الختامية من TLPT: إذ يعيد Blue Team والمختبِرون الإجراءات الهجومية والدفاعية ويعالجون نقاط الضعف المكتشفة في تمارين Purple Teaming. والهدف ليس تقييم الأشخاص، بل التحسين الموجّه لقواعد الاكتشاف والعمليات ومسارات الاستجابة – لتتحول كل نتيجة إلى خطوة تحصين ملموسة.