Blue Team vs Red Team: Sự Khác Biệt Là Gì?

Câu trả lời trực tiếp

Blue team bảo vệ - theo dõi, phát hiện và ứng phó các cuộc tấn công trên các hệ thống của một tổ chức. Red team tấn công - mô phỏng các đối thủ thực tế, có sự cho phép, để tìm ra các điểm yếu trước khi những kẻ tấn công thực sự làm được. Chúng là hai mặt của cùng một công việc (làm cho tổ chức an toàn hơn) được tiếp cận từ các hướng đối lập, và hầu hết những người bước vào lĩnh vực này nên bắt đầu ở blue team, bởi vì đó là nơi có phần lớn các vị trí cấp nhập môn thực tế.

Tôi được hỏi điều này liên tục bởi các sinh viên đã xem nội dung pentesting trực tuyến và cho rằng đó là "thực sự" an ninh mạng trong khi công việc bảo vệ bằng cách nào đó là phụ. Nó không phải. Các vai trò blue team như SOC analyst vượt trội hơn các vai trò red team ở thị trường việc làm UK, đặc biệt là ở mức cấp nhập môn, và kinh nghiệm blue team thường là những gì giúp bạn được xem xét nghiêm túc cho công việc red team sau này.

So sánh cạnh nhau

	Blue Team	Red Team
Hoạt động cơ bản	Theo dõi, phát hiện, ứng phó, bảo vệ	Mô phỏng các cuộc tấn công, tìm và báo cáo các điểm yếu
Vai trò nhập môn điển hình	SOC Analyst (Tier 1)	Hiếm khi là cấp nhập môn - thường yêu cầu kinh nghiệm IT/bảo mật trước đó
Công cụ hàng ngày	SIEM, EDR, ticketing systems	Penetration testing frameworks, exploit tools, reporting
Các chứng chỉ phổ biến	CompTIA Security+, BTL1	OSCP, CREST, CHECK (sơ đồ riêng của UK)
Khối lượng việc làm cấp nhập môn ở UK	Cao	Thấp - hầu hết các vai trò red team yêu cầu 2+ năm kinh nghiệm trước đó
Mô hình làm việc điển hình	Thường bao gồm bao phủ ca/rota cho SOCs 24/7	Dựa trên dự án, từ tham gia này đến tham gia khác

Những gì tôi nói với các sinh viên của tôi

Hầu hết mọi sinh viên đến với tôi muốn "bắt đầu hack" thực sự có nghĩa là công việc red team, và gần như không ai trong số họ có thể được thuê trực tiếp vào nó. Có rất ít các vai trò red team thực sự cấp nhập môn ở UK - hầu hết các công việc penetration testing mong đợi bạn đã hiểu về mạng, hệ thống, và thường có một số nền tảng blue team hoặc IT chung trước đó, chính xác vì bạn cần biết những gì "bình thường" và "an toàn" trông như thế nào trước khi bạn có thể tấn công nó một cách thuyết phục.

Lời khuyên chân thành của tôi: bắt đầu blue team. Lấy một vai trò SOC analyst (xem cách trở thành SOC analyst ở UK), dành một hay hai năm thực sự hiểu cách mạng, nhật ký và phát hiện hoạt động từ phía bảo vệ, sau đó chuyển sang công việc red team nếu nó vẫn hấp dẫn sau khi bạn biết thực tế của cả hai. Rất nhiều penetration tester tốt nhất mà tôi biết đã bắt đầu chính xác theo cách này. Đi thẳng vào nội dung red team mà không có nền tảng đó thường có nghĩa là rất nhiều khóa học đắt tiền và không có lời mời làm việc, bởi vì các nhà tuyển dụng có thể nhận thấy sự khác biệt giữa người đã xem video hack và người thực sự hiểu cách hệ thống hoạt động.

Bạn thực sự nên chọn cái nào? Kiểm tra nhanh

1. Bạn thích điều tra và nhận dạng mẫu hơn xây dựng/phá vỡ mọi thứ? → Blue team.
2. Bạn thoải mái với công việc nặng nề về quy trình, đôi khi lặp lại để đổi lấy tính khả dụng của vai trò? → Blue team.
3. Bạn đã có kinh nghiệm IT/mạng vững chắc và muốn chuyên môn hóa trong thử nghiệm tấn công? → Red team là một bước tiếp theo thực tế, không phải bước đầu tiên.
4. Bạn bị anh hùng bởi red team thuần túy từ nội dung hack trực tuyến, mà chưa có nền tảng IT? → Bắt đầu blue team trước và xây dựng những kiến thức cơ bản.
5. Bạn muốn có dải rộng nhất các cơ hội việc làm cấp nhập môn ngay bây giờ? → Blue team, không có tranh cãi.

Cũng có một "purple team" vùng giữa ngày càng phát triển - những người làm việc trên cả hai, chuyển tiếp các phát hiện red team lại vào các quy tắc phát hiện blue team - nhưng đó là một vai trò bạn phát triển bằng kinh nghiệm ở một bên trước, không phải điểm khởi đầu.

Các vai trò thực sự trông như thế nào từng tuần

Công việc Blue team (SOC analyst) được trình bày chi tiết trong SOC analyst làm gì - rộng rãi, triage cảnh báo, điều tra nhật ký và tài liệu, thường có bao phủ ca. Công việc Red team dựa trên dự án: một tham gia có thể kéo dài từ một đến bốn tuần, liên quan đến phạm vi với khách hàng, thử nghiệm tích cực (thường làm việc bên ngoài sự hợp tác bình thường với đội bảo mật của chính mục tiêu, theo thiết kế) và kết thúc bằng một báo cáo chi tiết và đôi khi trình bày các phát hiện. Nó ít quy trình hơn công việc SOC, nhưng ít dự đoán hơn nhiều về khối lượng công việc và du lịch.

Nếu bạn muốn trợ giúp để tìm ra bên nào thực sự phù hợp với phong cách làm việc và nền tảng của bạn trước khi bạn cam kết thời gian học tập cho một trong hai bên, hãy kiểm tra pricing và chúng tôi sẽ nói chuyện nó ra đúng cách.

Câu hỏi thường gặp

Cái nào trả lương nhiều hơn, blue team hay red team?

Các vai trò red team/penetration testing cấp cao hơn có thể trả lương nhiều hơn các vai trò blue team tương đương, phần nào phản ánh nhóm tài năng nhỏ hơn và các chứng chỉ chuyên gia như OSCP. Ở mức cấp nhập môn, khoảng cách không rõ ràng lắm, và blue team có nhiều vai trò khả dụng hơn.

Tôi có thể vào red team ngay như công việc đầu tiên không?

Nó hiếm ở UK. Hầu hết tuyển dụng bảo mật cấp nhập môn là blue team (SOC analyst), và hầu hết các vai trò penetration testing mong đợi kinh nghiệm IT hoặc bảo mật trước đó.

Purple team là gì?

Nó là một phong cách làm việc chứ không phải một tiêu đề công việc riêng biệt ở hầu hết các công ty - các đội blue và red hợp tác, với các phát hiện red team trực tiếp thông báo cho các quy tắc phát hiện blue team. Bạn thường chuyển sang công việc purple team sau khi có kinh nghiệm ở một bên.

Tôi có cần các chứng chỉ khác nhau cho mỗi con đường không?

Nói chung có. Các con đường blue team thường bắt đầu với Security+ và các công cụ như SIEM; các con đường red team nghiêng về các chứng chỉ như OSCP sau này trong sự nghiệp, thường sau khi có nền tảng blue team hoặc IT chung.