Blue Team در مقابل Red Team: تفاوت چیست؟

پاسخ مستقیم

Blue team دفاع می‌کند - نظارت، تشخیص و پاسخ به حملات روی سیستم‌های یک سازمان. Red team حمله می‌کند - شبیه‌سازی حریفان واقعی، با اجازه، برای یافتن نقاط ضعف قبل از اینکه حملگران واقعی آن‌ها را بیابند. آن‌ها دو طرف همان کار هستند (امن‌تر کردن یک سازمان) که از جهات متضاد مورد نزدیکی قرار می‌گیرند، و اکثر افرادی که وارد این حوزه می‌شوند باید از blue team شروع کنند، چون اکثر جایگاه‌های ورودی در آنجا هستند.

من این سؤال را بارها از دانشجویانی می‌شنوم که محتوای penetration testing را آنلاین دیده‌اند و فرض کرده‌اند آن "واقعی" cyber security است در حالی که کار دفاعی نوعی ثانویه است. اینطور نیست. نقش‌های blue team مثل SOC analyst بسیار بیشتر از نقش‌های red team در بازار شغلی انگلستان وجود دارند، به خصوص در سطح ورودی، و تجربه blue team اغلب همان چیزی است که شما را برای کار red team بعداً جدی‌تر می‌کند.

مقایسه کنار هم

	Blue Team	Red Team
فعالیت اصلی	نظارت، تشخیص، پاسخ، دفاع	شبیه‌سازی حملات، یافتن و گزارش نقاط ضعف
نقش ورودی معمول	SOC Analyst (Tier 1)	به ندرت ورودی - معمولاً نیاز به تجربه قبلی IT/security دارد
ابزارهای روزمره	SIEM, EDR, ticketing systems	Penetration testing frameworks, exploit tools, reporting
گواهینامه‌های رایج	CompTIA Security+, BTL1	OSCP, CREST, CHECK (طرح خاص انگلستان)
حجم شغل سطح ورودی در انگلستان	بالا	کم - بیشتر نقش‌های red team نیاز به 2+ سال تجربه قبلی دارند
الگوی کار معمول	اغلب شامل shift/rota coverage برای 24/7 SOCs	پروژه‌محور، از یک engagement تا engagement دیگر

آنچه به دانشجویانم می‌گویم

تقریباً هر دانشجویی که برای من می‌آید و می‌خواهد "وارد hacking شود" در واقع منظورش کار red team است، و تقریباً هیچ یک از آن‌ها نمی‌تواند مستقیماً برای آن استخدام شود. در انگلستان نقش‌های red team واقعی ورودی بسیار کم وجود دارند - اکثر شغل‌های penetration testing انتظار دارند که شما قبلاً شبکه‌ها و سیستم‌ها را درک کنید و اغلب ابتدا تجربه blue team یا IT عمومی داشته باشید، دقیقاً برای اینکه باید بدانید "عادی" و "ایمن" چگونه است قبل از اینکه بتوانید آن را قانع‌کننده حمله کنید.

نصیحت صادقانه من: با blue team شروع کنید. یک نقش SOC analyst پیدا کنید (مراجعه کنید چگونه یک SOC analyst در انگلستان شوید)، یک یا دو سال صرف درک واقعی نحوه کارکرد شبکه‌ها، log‌ها و تشخیص از طرف دفاعی کنید، سپس اگر هنوز جذاب است پس از اینکه واقعیت هر دو را می‌شناسید به سمت کار red team حرکت کنید. بسیاری از بهترین penetration tester هایی که می‌شناسم دقیقاً به این صورت شروع کردند. رفتن مستقیم به محتوای red team بدون آن بنیاد معمولاً به معنای دوره‌های گران و بدون پیشنهاد شغلی است، چون کارفرمایان می‌توانند تفاوت بین کسی را تشخیص دهند که ویدیوهای hacking تماشا کرده و کسی که واقعاً درک می‌کند سیستم‌ها چگونه کار می‌کنند.

کدام یک را واقعاً باید انتخاب کنید؟ یک بررسی سریع

1. بیشتر از تحقیق و تشخیص pattern لذت می‌برید یا ساختن/شکستن چیزها؟ → Blue team.
2. راحت هستید با کار فراوان فرایند، گاهی تکراری در ازای دسترسی نقش؟ → Blue team.
3. در حال حاضر تجربه solid IT/networking دارید و می‌خواهید در offensive testing تخصص پیدا کنید؟ → Red team یک مرحله بعدی واقع‌بینانه است، نه اولین مرحله.
4. به red team فقط از محتوای hacking آنلاین جذب می‌شوید، هنوز IT background ندارید؟ → ابتدا blue team را شروع کنید و بنیادها را بسازید.
5. می‌خواهید بیشترین تعداد فرصت شغلی سطح ورودی را درست الان داشته باشید؟ → Blue team، بدون شک.

یک "purple team" میانی رو به رشد نیز وجود دارد - افرادی که در هر دو سو کار می‌کنند، یافته‌های red team را به قوانین تشخیص blue team بازخوری می‌دهند - اما این نقشی است که با تجربه در یک طرف به آن رشد می‌کنید، نه یک نقطه شروع.

نقش‌ها واقعاً هفته به هفته چگونه به نظر می‌رسند

کار blue team (SOC analyst) به تفصیل در یک SOC analyst چه می‌کند پوشش داده شده است - به طور کلی، alert triage، log investigation و مستندات، اغلب با shift coverage. کار red team پروژه‌محور است: یک engagement ممکن است یک تا چهار هفته طول بکشد، شامل scoping با یک client است، testing فعال (اغلب کار خارج از collaboration معمولی با تیم security خود target، طراحی شده است)، و به یک گزارش تفصیلی و گاهی ارائه یافته‌ها ختم می‌شود. کمتر از کار SOC routine است، اما در بخش workload و سفر بسیار کمتر قابل پیش‌بینی است.

اگر قبل از اینکه زمان مطالعه را برای یکی از این دو متعهد کنید، کمک می‌خواهید تشخیص دهید کدام طرف واقعاً با سبک کاری و background شما مطابقت دارد، pricing را بررسی کنید و ما آن را به درستی مورد بحث قرار می‌دهیم.

FAQ

کدام یک حقوق بیشتری دارد، blue team یا red team؟

نقش‌های senior red team/penetration testing می‌توانند بیشتر از نقش‌های معادل blue team پرداخت کنند، تا حدی منعکس کننده talent pool کوچک‌تر و گواهینامه‌های متخصص مثل OSCP. در سطح ورودی، تفاوت کمتر واضح است، و blue team نقش‌های در دسترس بسیار بیشتری دارد.

آیا می‌توانم مستقیماً به red team به عنوان اولین کار برم؟

در انگلستان نادر است. اکثر استخدام security سطح ورودی blue team (SOC analyst) است، و اکثر نقش‌های penetration testing ابتدا تجربه قبلی IT یا security را انتظار می‌کشند.

purple team چیست؟

یک سبک کاری است بیشتر تا یک عنوان شغلی جداگانه در اکثر شرکت‌ها - blue و red teams با هم کار می‌کنند، با یافته‌های red team مستقیماً قوانین تشخیص blue team را اطلاع می‌دهند. شما معمولاً پس از تجربه در یک طرف به کار purple team می‌روید.

آیا برای هر مسیر به گواهینامه‌های متفاوت نیاز دارم؟

به طور کلی بله. مسیرهای blue team اغلب با Security+ و ابزارهایی مثل SIEM شروع می‌شوند؛ مسیرهای red team به سمت گواهینامه‌هایی مثل OSCP متمایل می‌شوند بعداً در مسیر کاری، معمولاً پس از اینکه بنیادهای blue team یا IT عمومی جایگزین شده‌اند.