атака, защита и обмен знаниями между нимиattack, defense, and the knowledge exchange between them

Red team / Blue team

Red team: pentest-методология, эмуляция реального противника. Blue team: detection engineering, threat hunting. Purple teaming — обмен знаниями вместо чистого соревнования. Пример внутрикорпоративной атаки/защиты друг на друга. Каркас: 10 карточек, страницы ещё не написаны.Red team: pentest methodology, emulating a real adversary. Blue team: detection engineering, threat hunting. Purple teaming — knowledge exchange instead of pure competition. An example of internal teams attacking and defending against each other. Skeleton: 10 cards, pages not yet written.

Red teamRed team

эмуляция реального противникаemulating a real adversary

Методология пентестаPentest methodologyЭтапы: разведка, сканирование, эксплуатация, пост-эксплуатация, отчёт. Разница между pentest, vulnerability assessment и red team engagement.Phases: recon, scanning, exploitation, post-exploitation, reporting. The difference between a pentest, a vulnerability assessment, and a red team engagement. Эмуляция противника vs сканер уязвимостейAdversary emulation vs a vuln scannerПочему red team не сводится к прогону автоматических сканеров: цель — повторить поведение конкретного класса атакующих end-to-end.Why red teaming isn't just running automated scanners: the goal is to replicate a specific class of attacker's behavior end-to-end.interview MITRE ATT&CK как плейбук as a playbookМатрица тактик и техник как общий язык планирования атаки и последующего сопоставления с тем, что заметила защита.The tactics-and-techniques matrix as a shared language for planning an attack and later mapping it against what the defense actually caught. Rules of engagementГраницы полномочий, scope, что запрещено даже в рамках согласованного red team engagement, эскалация в случае непредвиденного воздействия.Authorization boundaries, scope, what's off-limits even within an agreed red team engagement, escalation procedure for unintended impact.

Blue teamBlue team

строить детекции, а не только смотреть на алертыbuilding detections, not just watching alerts

Detection engineeringПроектирование и написание детекций под конкретные техники атаки, а не пассивный мониторинг готовых правил вендора.Designing and writing detections for specific attack techniques, instead of passively watching a vendor's out-of-the-box rules. Threat huntingПроактивный поиск признаков компрометации до срабатывания алертов — гипотезы на основе TTP, а не ожидание сигнала.Proactively searching for signs of compromise before an alert fires — hypothesis-driven, based on TTPs, instead of waiting for a signal. MTTD / MTTRСреднее время обнаружения и реагирования как ключевые метрики зрелости blue team, как они считаются и почему легко исказить.Mean time to detect / respond as key blue-team maturity metrics, how they're calculated, and how easily they get gamed.interview

Purple teaming и внутренние ученияPurple teaming & internal exercises

обмен знаниями вместо чистого соревнованияknowledge exchange instead of pure competition

Purple teamingСтруктурированное сотрудничество red и blue: атака выполняется с открытой обратной связью защите в реальном времени, цель — закрыть пробел в детекции, а не выиграть раунд.Structured red/blue collaboration: the attack runs with open real-time feedback to defense, the goal is closing a detection gap, not winning a round. Tabletop exercisesРазбор гипотетического инцидента за столом переговоров без реального воздействия на инфраструктуру — проверка процессов и коммуникации, не техники.Walking through a hypothetical incident at the table without touching real infrastructure — testing process and communication, not technique. Пример внутреннего ученияA walkthrough of an internal exerciseКак обычно проходит атака/защита между двумя внутренними командами компании: постановка scope, симуляция атаки, разбор детекций, lessons learned.How an attack/defense exercise between two internal company teams typically runs: scoping, attack simulation, detection review, lessons learned.

статусstatus

Это каркас: 10 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 10 cards are locked in, pages not yet written.