红蓝对抗演练评分系统（RTASS）目前公布的是 preview 版，主要向大家征集建议，大家有好的意见或想法，欢迎到github去提issue或PR：https://github.com/JDArmy/RTASS
在线评分计算机器：https://jd.army/RTASS/?lang=cn
1. 红蓝对抗演练评分系统（RTASS）的背景
2. RTASS框架理念与评分方法
-
进攻能量是攻击方在单次演练中做的有效输出，可代表攻防方之于本次演练的水平；
-
防守能量是防守方在单次演练中的有效输出，可代表防守方之于本次演练的水平； -
业务风险指业务在安全上暴露的风险程度，可代表参演业务方在本次演练中的安全水平； -
企业风险指企业在安全上暴露的风险程度，可代表企业整体上在本次演练中表现出的安全水平。
-
进攻实力指攻击方在单场次红蓝对抗演练中，在关键渗透路径上使用攻击技术的最高水平 -
防守实力指防守方在单场次红蓝对抗演练中，在关键渗透路径上使用防守技术的最高水平 -
漏洞风险指在单场次红蓝对抗演练中，在演练的关键渗透路径上对最关键漏洞的风险性评价
-
“进攻能量”与“进攻实力”、“防守实力”、“企业影响”有正向关系。 -
“防守能量”与“防守实力”有正向关系，与“漏洞风险”、“企业影响”有反向关系。 -
“业务风险”与“技术影响”、“企业影响”有正向关系，与“业务实力”有反向关系。 -
“企业风险”与“防守实力”有反向关系，与“漏洞风险”、“企业影响”有正向关系。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
a) 进攻能量
-
进攻能量 = ( 进攻实力 * 系数 + 防守实力 * 系数 + 企业影响 * 系数 ) / 3
b) 防守能量
-
防守能量 = ( 防守实力 * 系数 + ( 10 – 漏洞因素 * 系数 ) + ( 10 – 企业影响 * 系数 ) ) / 3
c) 业务风险
-
业务风险 = ( 技术影响 * 系数 + 企业影响 * 系数 + ( 10 – 业务实力 * 系数 ) ) /3
d) 企业风险
-
企业风险 = ( ( 10 – 防守实力 * 系数 ) + 漏洞风险 * 系数 + 企业影响 * 系数 ) / 3
3. RTASS过程评分与评分因子
a) 进攻实力
-
进攻实力 = ( 进攻水平 * 系数 + 进攻难度 * 系数 + 目标达成 * 系数 ) / 3
-
0 – N/A -
1 – 相当于入门级黑客 -
2 – 相当于普通水平黑客或工具、脚本黑客 -
3 – 等同精通渗透技术的黑客 -
4 – 需要较为专业的团队配合 -
5 – 相当于国家级APT黑客团队
-
0 – N/A -
1 – 几乎没有难度 -
2 – 有点难度 -
3 – 较大难度 -
4 – 很难搞定 -
5 – 几乎不能搞定
-
0 – N/A -
1 – 基本没达成 -
2 – 少量达成 -
3 – 中量达成 -
4 – 大量达成 -
5 – 完全达成
b) 防守实力
-
防护实力 = ( 防护水平 * 系数 + 监测水平 * 系数 + 响应水平 * 系数 + 反制水平 * 系数 ) / 4
-
0 – N/A -
1 – 几乎没有拦截 -
2 – 轻微的拦截 -
3 – 较强的拦截 -
4 – 非常强的拦截 -
5 – 几乎难以突破
-
0 – N/A -
1 – 几乎监测不到威胁 -
2 – 监测到周边攻击威胁 -
3 – 监测到少量关键路径威胁 -
4 – 监测到大量关键路径威胁 -
5 – 几乎监测到全部威胁
-
0 – N/A -
1 – 几乎难以推进（一周以上） -
2 – 响应较为缓慢（24小时以上） -
3 – 响应较为及时（24小时内） -
4 – 响应接近实时（2小时内） -
5 – 实时响应（30分钟内）
-
0 – N/A -
1 – 几乎不能有效溯源 -
2 – 可以找到攻击者使用的DNS、C2等信息 -
3 – 可以溯源到攻击者横向移动路径 -
4 – 可以找到攻击者的部分真实IP或虚拟身份 -
5 – 可以对攻击者进行成功溯源反制
C) 漏洞风险
-
漏洞风险 = ( 漏洞可发现性 * 系数 + 漏洞可利用性 * 系数 + 漏洞杀伤力 ) / 3
-
0 – N/A -
1 – 几乎难以发现 -
2 – 困难 -
3 – 中等 -
4 – 简单 -
5 – 可用的自动化工具
-
0 – N/A -
1 – 几乎难以利用 -
2 – 困难 -
3 – 中等 -
4 – 简单 -
5 – 可用的自动化工具
-
0 – N/A -
1 – 几乎没有危害 -
2 – 较低的杀伤力 -
3 – 中等规模的杀伤力 -
4 – 大范围的杀伤力 -
5 – 极其广泛的杀伤力
d) 技术影响
-
技术影响 = ( 失去保密性 * 系数 + 失去完整性 * 系数 + 失去可用性 * 系数 ) / 3
-
0 – N/A -
1 – 可泄露少量的非敏感数据 -
2 – 可泄露少量的敏感数据 -
3 – 可泄露中量的敏感数据 -
4 – 可泄露大量的敏感数据 -
5 – 可泄露全部的敏感数据
-
0 – N/A -
1 – 可损坏少量非核心数据 -
2 – 可损坏少量的核心数据 -
3 – 可损坏大量非核心数据 -
4 – 可损坏大量核心数据 -
5 – 可损坏全部数据
-
0 – N/A -
1 – 可导致企业少量的非核心业务中断 -
2 – 可导致企业少量的核心业务中断 -
3 – 可导致企业中量的核心业务中断 -
4 – 可导致企业大量核心业务中断 -
5 – 可中断企业几乎所有重要业务
e) 企业影响
-
企业影响 = ( 经济损失 * 系数 + 商誉损失 * 系数 + 合规影响 * 系数) / 3
-
0 – N/A -
1 – 低于修复漏洞的成本 -
2 – 不会对企业年利润有明显影响 -
3 – 可以影响一定的企业年利润 -
4 – 对企业年度利润有显著影响 -
5 – 对企业年利润影响重大
-
0 – N/A -
1 – 轻微的伤害 -
2 – 大客户或大量客户流失 -
3 – 商誉损失 -
4 – 品牌损害 -
5 – 品牌重大损害
-
0 – N/A -
1 – 几乎不违规 -
2 – 轻微违规 -
3 – 明显违规 -
4 – 高调违规 -
5 – 严重违规或违法
f) 业务实力
-
业务实力 = ( 开发生命周期 * 系数 + 运维生命周期 * 系数 + 员工安全意识 ) / 3
-
0 – N/A -
1 – 基本没有考虑安全问题 -
2 – 有大量的安全流程问题 -
3 – 有中量的安全流程问题 -
4 – 有少量的安全流程问题 -
5 – 几乎没有安全流程问题
-
0 – N/A -
1 – 基本没有考虑安全问题 -
2 – 有大量的安全流程问题 -
3 – 有中量的安全流程问题 -
4 – 有少量的安全流程问题 -
5 – 几乎没有安全流程问题
-
0 – N/A -
1 – 几乎全员没有安全意识 -
2 – 大部分关键岗位员工安全意识较弱 -
3 – 少部分关键岗位员工安全意识较弱 -
5 – 大部分关键岗位员工安全意识较高 -
6 – 全部员工都有极高的安全意识
4. RTASS向量字符串与用法
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
5. RTASS框架贡献与现阶段局限性
{
“defaultLang”: “cn”,
“cnTitle”: “红蓝对抗演练评分系统（RTASS）“,
“enTitle”: “Red Teaming Assessment Scoring System (RTASS)”,
“version”: “0.2.1”,
“factors”: {
“OL”: {
“enName”: “Offensive Level”,
“cnName”: “进攻水平“,
“enDesc”: “The highest level of technology used in the assessment path?”,
“cnDesc”: “攻击者在评估路径中使用的最高技术水平？“,
“cnOptions”: [
“0 – N/A”,
“1 – 相当于入门级黑客“,
“2 – 相当于普通水平黑客或工具、脚本黑客“,
“3 – 等同精通渗透技术的黑客“,
“4 – 需要较为专业的团队配合“,
“5 – 相当于国家级APT黑客团队“
],
“enOptions”: […]
},
…
},
“factorCategories”: {…},
“processScores”: {
“AS”: {
“enName”: “Offensive Strength”,
“cnName”: “进攻实力“,
“vectors”: [
“OL”,
“OD”,
“TR”
],
“algorithm”: “(OL+OD+TR)*2/3”
},
…
},
“finalScores”: {
“AE”: {
“enName”: “Offensive Energy”,
“cnName”: “进攻能量分值“,
“vectors”: [
“OS”,
“DS”,
“EI”
],
“algorithm”: “(OS+DS+EI)/3”
},
…
},
“levels”: [
{
“index”: 0,
“enName”: “None”,
“cnName”: “无“,
“className”: “None”
},
…
]
}
红蓝对抗演练评分系统（RTASS）目前公布的是 preview 版，主要向大家征集建议，大家有好的意见或想法，欢迎到github去提issue或PR：https://github.com/JDArmy/RTASS
在线评分计算机器：https://jd.army/RTASS/?lang=cn
[1]关于CVSS的版本演变及历史参见：https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System
[2] CVSS通用漏洞评分系统，https://www.first.org/cvss/v3.1/specification-document
[3] OWASP风险评级方法：https://owasp.org/www-community/OWASP_Risk_Rating_Methodology
[4]注：本框架部分评分因子如“漏洞风险”、“企业影响”等参考借鉴了OWASP风险评级方法中相关因子。详见：https://owasp.org/www-community/OWASP_Risk_Rating_Methodology
原文始发于微信公众号（梦之光芒的电子梦）：“红蓝对抗演练评分系统”开源框架 (preview)
