วิธีวางแผน Purple Team Exercise แบบมีโครงสร้างตามมาตรฐาน NIST และ MITRE ATT&CK

ทำไมต้องมีกรอบการทำงาน

การทำ Purple Team Exercise โดยไม่มีกรอบชัดเจนมักจบลงด้วยการทดสอบแบบ ad-hoc ที่ไม่สามารถวัดผลหรือทำซ้ำได้ การยึดตามมาตรฐานเช่น NIST SP 800-115 (Technical Guide to Information Security Testing and Assessment) และ MITRE ATT&CK Framework ช่วยให้การทดสอบมีโครงสร้าง วัดได้ และเทียบเคียงกับมาตรฐานสากล

ขั้นตอนการวางแผน Purple Team Exercise แบบมีโครงสร้าง

ขั้นที่ 1: กำหนดวัตถุประสงค์และขอบเขต

ก่อนเริ่มต้องตอบให้ได้ว่า

• ภัยคุกคามใดที่องค์กรให้ความสำคัญสูงสุด (เช่น Ransomware, Insider Threat, Credential Theft)
• ระบบหรือเนื้อที่ใดที่จะอยู่ในขอบเขตการทดสอบ (เช่น Active Directory, Cloud Workload, Endpoint)
• Metrics ที่จะวัดคืออะไร (MTTD, MTTR, Detection Coverage Rate)

ขั้นที่ 2: จัดทำ Threat Scenario ตาม MITRE ATT&CK

ใช้ MITRE ATT&CK เป็นภาษากลางในการอธิบายเทคนิคโจมตี เลือกเทคนิคที่เกี่ยวข้องกับภัยคุกคามเป้าหมาย เช่น

• Initial Access — T1566 Phishing
• Execution — T1059 Command and Scripting Interpreter
• Persistence — T1547 Boot or Logon Autostart Execution
• Credential Access — T1003 OS Credential Dumping
• Lateral Movement — T1021 Remote Services

กำหนด Emulation Plan โดยระบุขั้นตอนการจำลองแต่ละเทคนิคอย่างละเอียด เพื่อให้ Red Team และ Blue Team เข้าใจตรงกัน

ขั้นที่ 3: กำหนด Success Criteria

กำหนดให้ชัดเจนว่าอะไรคือความสำเร็จของแต่ละฝ่าย เช่น

| ฝ่าย | Success Criteria ตัวอย่าง | |---|---| | Red Team | สามารถ execute TTP ที่กำหนดได้ครบทุกขั้นตอน | | Blue Team | ตรวจจับเทคนิคได้ภายใน X นาที และสร้าง alert ที่ถูกต้อง | | Joint | มีการแชร์ข้อมูลระหว่างทีมระหว่างการทดสอบ และปรับปรุง detection ได้ภายในรอบการทดสอบ |

ขั้นที่ 4: เตรียม Environment และ Logging

ตรวจสอบว่า

• ระบบ SIEM/EDR เก็บ log ครบตามที่ต้องใช้ในการตรวจจับ
• มี isolated environment สำหรับการทดสอบหากจำเป็น
• มีการ sync เวลา (NTP) ระหว่างระบบทั้งหมดเพื่อให้การ timeline analysis ถูกต้อง
• มีการ backup configuration ปัจจุบันก่อนเริ่ม เผื่อต้อง rollback

ขั้นที่ 5: ดำเนินการทดสอบ

ระหว่างการทดสอบให้มี sync point ทุกช่วง เช่น ทุก 30 นาที โดย Red Team แจ้งเทคนิคที่ใช้ และ Blue Team แจ้งสิ่งที่ตรวจจับได้ การ sync นี้คือหัวใจของ Purple Team ที่ทำให้เกิดการเรียนรู้ทันที

ขั้นที่ 6: บันทึกและวิเคราะห์ผล

บันทึก

• เทคนิคที่ Red Team ใช้และเส้นทางการโจมตี
• จุดที่ Blue Team ตรวจจับได้และเวลาที่ใช้
• จุดที่ Blue Team พลาดและสาเหตุ
• การตอบสนองที่เกิดขึ้นและผลลัพธ์

วิเคราะห์ด้วยกรอบเช่น Cyber Kill Chain หรือ MITRE ATT&CK Navigator เพื่อเห็น coverage และช่องว่าง

ขั้นที่ 7: ปรับปรุงและทำซ้ำ

ผลลัพธ์ที่ได้ต้องนำไปสู่

• การสร้างหรือปรับ detection rule ใหม่
• การปรับ playbook ของ Blue Team
• การปรับ control ของระบบ (เช่น hardening, network segmentation)
• การจัดทำ knowledge base ภายในองค์กร

แล้วจัดทำซ้ำในรอบถัดไปด้วย TTPs ที่ซับซ้อนขึ้น เพื่อยกระดับอย่างต่อเนื่อง

บทสรุป

การมีกรอบการทำงานที่ชัดเจนทำให้ Purple Team Exercise สามารถวัดผล เทียบเคียง และปรับปรุงได้อย่างเป็นระบบ การยึดมาตรฐาน NIST และ MITRE ATT&CK ไม่เพียงทำให้การทดสอบมีคุณภาพ แต่ยังทำให้ผลลัพธ์สามารถนำเสนอต่อผู้บริหารและผู้ตรวจรับรองได้อย่างน่าเชื่อถือ