”위협도 투표권을 가집니다”
redteam.guide에 의해 규정되고 군사 교리에서 상속된 원칙은 간단합니다: 인게이지먼트는 방어자가 계획하는 위협이 아니라 실제로 존재하는 위협에 기반해야 합니다. 자신이 갖고 싶은 위협을 준비하지만 실제로 존재하는 위협을 준비하지 않는 블루팀은 아무것도 준비하지 않은 것입니다. Decepticon은 OPPLAN을 생성하기 전에 명시적인 위협 프로파일을 요구함으로써 이 원칙을 강제합니다.위협 프로파일
Decepticon은 업계 전반에서 사용되는 7개 필드 위협 프로파일 구조를 채택합니다. 각 인게이지먼트는 프로파일을 선택하거나 작성하는 것으로 시작됩니다:위협 프로파일은 위시리스트가 아닙니다 — 제약 조건입니다. Decepticon은 프로파일 외의 기법을 사용하지 않습니다. 왜냐하면 에뮬레이션의 가치는 정확히 블루팀이 그 적대자를 인식하는 방법을 배우는 것이기 때문입니다.
Decepticon이 위협 프로파일을 소비하는 방식
인게이지먼트를 시작할 때, Soundwave 계획 에이전트는 운영자와 면담하고 다음을 생산합니다:1
임베드된 위협 프로파일을 포함한 ConOps 초안
Soundwave는 7개 필드 템플릿에서 프로파일을 선택하거나 구성한 후 이를 Concept of Operations에 인게이지먼트의 “공식 적대자”로 직조합니다.
2
프로파일 내 TTP로 제한된 OPPLAN 목표
각 목표는 MITRE ATT&CK ID로 태그됩니다. 오케스트레이터는 TTP가 프로파일 범위를 벗어나는 목표를 실행하기를 거부합니다.
3
프로파일 일치로 필터링된 스킬 로딩
Decepticon의 프로그레시브 디스클로저 스킬 시스템은
mitre_attack 태그가 프로파일과 겹치는 스킬만 로드합니다. 프로파일 외 스킬은 에이전트의 워킹 세트에서 제외됩니다.4
프로파일별 C2 채널 선택
C2 계층 및 채널 선택(Sliver mTLS, HTTPS, DNS)은 프로파일의 실제 트레이드크래프트를 반영하도록 선택되므로 블루팀의 탐지가 올바른 형태에 대해 작동합니다.
위협 프로파일 vs. 모의해킹 범위
모의해킹 범위는 *“이 IP들, 이 앱들, 이 날짜들”*을 말합니다. 위협 프로파일은 *“이 적대자, 이러한 역량으로, 이러한 목표에 의해 동기부여됨”*을 말합니다. 둘은 상호교환 가능하지 않습니다.커스텀 프로파일 작성
커스텀 프로파일은 Soundwave 스킬 디렉토리의 기본값들과 함께 저장됩니다. 최소 프로파일은 YAML 프론트매터와 산문입니다:스킬 시스템
프로그레시브 디스클로저 스킬 로더가 활성 위협 프로파일과의 ATT&CK 겹침에 따라 어떻게 필터링하는지 확인하세요.