الفريق الأحمر

الفريق الأزرق هو مجموعة مسؤولة عن الدفاع ضد عمليات الاختراق.

في مجال الأمن السيبراني ، يتضمن اختبار الاختراق قيام قراصنة أخلاقيين ("مختبري الاختراق") بمحاولة اختراق نظام حاسوبي، دون عنصر المفاجأة. وتكون المنظمة على علم باختبار الاختراق ومستعدة للدفاع عنه. ^{[ 8 ]}

يُضيف فريق الهجوم الأحمر بُعدًا آخر، إذ يُوظّف الاختراق المادي والهندسة الاجتماعية وعنصر المفاجأة. ولا يتلقى الفريق الأزرق أي إنذار مُسبق بوجود فريق هجوم أحمر، وسيتعامل معه على أنه اختراق حقيقي. ^{[ 8 ]} ومن أدوار فريق الهجوم الأحمر الدائم داخل المؤسسة تحسين ثقافة الأمن السيبراني فيها. ^{[ 9 ]}

الفريق الأرجواني هو مزيج مؤقت من الفريقين، ويُمكنه توفير استجابات معلوماتية سريعة أثناء الاختبار. ^{[ 10 ] [ 11 ]} من مزايا العمل ضمن الفريق الأرجواني أن الفريق الأحمر يُمكنه شنّ هجمات مُحددة بشكل مُتكرر، بينما يستغل الفريق الأزرق ذلك لإعداد برامج الكشف ومعايرتها، وزيادة معدل الكشف بشكل مُطرد. ^{[ 12 ]} قد يُشارك الفريق الأرجواني في جلسات "صيد التهديدات"، حيث يبحث كل من الفريق الأحمر والفريق الأزرق عن مُتسللين حقيقيين. كما أن إشراك موظفين آخرين في الفريق الأرجواني مُفيد، على سبيل المثال مهندسو البرمجيات الذين يُمكنهم المُساعدة في تسجيل الأحداث وتنبيهات البرامج، والمدراء الذين يُمكنهم المُساعدة في تحديد السيناريوهات الأكثر ضررًا من الناحية المالية. ^{[ 13 ]} من مخاطر العمل ضمن الفريق الأرجواني التراخي وتطور التفكير الجماعي ، والذي يُمكن مُكافحته من خلال توظيف أشخاص ذوي مهارات مُختلفة أو الاستعانة بمُورّد خارجي. ^{[ 14 ]}

الفريق الأبيض هو مجموعة تشرف على العمليات بين الفريق الأحمر والفريق الأزرق وتديرها. على سبيل المثال، قد يكون هذا الفريق مكونًا من مديري الشركة الذين يحددون قواعد الاشتباك للفريق الأحمر. ^{[ 15 ]}

تُسمى نقطة الدخول الأولية للفريق الأحمر أو الخصم برأس الجسر. غالبًا ما يكون الفريق الأزرق المتمرس بارعًا في إيجاد رأس الجسر وطرد المهاجمين. ومن أدوار الفريق الأحمر رفع مستوى مهارات الفريق الأزرق. ^{[ 16 ]}

عند التسلل، هناك أسلوب "جراحي" خفيّ يبقى بعيدًا عن أنظار الفريق الأزرق ويتطلب هدفًا واضحًا، وأسلوب "قصف شامل" صاخب أشبه بهجوم عنيف. غالبًا ما يكون القصف الشامل أكثر فائدة للفرق الحمراء، لأنه يكشف نقاط ضعف غير متوقعة. ^{[ 17 ]}

تتنوع التهديدات السيبرانية، بدءًا من التهديدات التقليدية كاختراق وحدة تحكم نطاق الشبكة ، وصولًا إلى التهديدات غير التقليدية كإنشاء مناجم عملات مشفرة ، أو منح الموظفين صلاحيات وصول واسعة جدًا إلى معلومات التعريف الشخصية (PII)، مما يعرض الشركة لغرامات بموجب اللائحة العامة لحماية البيانات (GDPR). ^{[ 18 ]} يمكن اختبار أي من هذه التهديدات من خلال فريق الاختراق (Red Team) لتقييم مدى خطورتها. ويمكن استخدام تمارين محاكاة افتراضية، حيث تُجرى عمليات الاختراق على طاولة شبيهة بلعبة لوحية، لمحاكاة عمليات الاختراق المكلفة أو المعقدة أو غير القانونية التي يصعب تنفيذها في الواقع. ^{[ 19 ]} ومن المفيد محاولة اختراق كل من فريق الاختراق (Red Team) وفريق الدفاع (Blue Team)، بالإضافة إلى الأهداف التقليدية. ^{[ 20 ]}

بمجرد الوصول إلى الشبكة، يمكن إجراء عمليات الاستطلاع. تُخزَّن البيانات المُجمَّعة في قاعدة بيانات رسومية ، وهي برنامج يُصوِّر العُقد والعلاقات والخصائص بصريًا. قد تكون العُقد النموذجية أجهزة كمبيوتر أو مستخدمين أو مجموعات صلاحيات. ^{[ 21 ]} عادةً ما تمتلك فرق الهجوم قواعد بيانات رسومية ممتازة خاصة بها، لأنها تستفيد من ميزة التواجد على أرضها ، بما في ذلك التعاون مع فريق الدفاع لإنشاء خريطة شاملة للشبكة، وقائمة شاملة بالمستخدمين والمسؤولين. ^{[ 22 ]} يمكن استخدام لغة استعلام مثل Cypher لإنشاء قواعد البيانات الرسومية وتعديلها. [ 23 ] يُعد ^{أي نوع من} حسابات المسؤولين ذا قيمة لإضافته إلى قاعدة البيانات الرسومية، بما في ذلك مسؤولي أدوات الطرف الثالث مثل Amazon Web Services (AWS). ^{[ 24 ]} في بعض الأحيان، يمكن تصدير البيانات من الأدوات ثم إدراجها في قاعدة البيانات الرسومية. ^{[ 25 ]}

بمجرد أن يتمكن فريق الهجوم من اختراق جهاز كمبيوتر أو موقع ويب أو نظام، تُعدّ تقنية البحث عن بيانات الاعتماد أسلوبًا فعالًا . قد تكون هذه البيانات على شكل كلمات مرور نصية واضحة ، أو نصوص مشفرة ، أو تجزئات ، أو رموز وصول . يحصل فريق الهجوم على إمكانية الوصول إلى جهاز كمبيوتر، ثم يبحث عن بيانات اعتماد يمكن استخدامها للوصول إلى جهاز كمبيوتر آخر، ثم يكرر هذه العملية بهدف الوصول إلى العديد من أجهزة الكمبيوتر. ^{[ 26 ]} يمكن سرقة بيانات الاعتماد من مواقع متعددة، بما في ذلك الملفات، ومستودعات شفرة المصدر مثل Git ، وذاكرة الكمبيوتر ، وبرامج التتبع والتسجيل. يمكن استخدام تقنيات مثل تمرير ملف تعريف الارتباط وتمرير التجزئة للوصول إلى مواقع الويب والأجهزة دون إدخال كلمة مرور. كما يمكن استخدام تقنيات أخرى مثل التعرف الضوئي على الأحرف (OCR)، واستغلال كلمات المرور الافتراضية ، وانتحال مطالبة بيانات الاعتماد، والتصيد الاحتيالي . ^{[ 27 ]}

يمكن لفريق الهجوم الأحمر استخدام برمجة الحاسوب وبرامج واجهة سطر الأوامر (CLI) لأتمتة بعض مهامه. على سبيل المثال، يمكن لبرامج واجهة سطر الأوامر استخدام نموذج كائن المكون (COM) على أجهزة مايكروسوفت ويندوز لأتمتة المهام في تطبيقات مايكروسوفت أوفيس . تشمل هذه المهام المفيدة إرسال رسائل البريد الإلكتروني، والبحث في المستندات، والتشفير، واسترجاع البيانات. كما يمكن لفريق الهجوم الأحمر التحكم في المتصفح باستخدام نموذج كائن المكون (COM) في إنترنت إكسبلورر ، أو ميزة تصحيح الأخطاء عن بُعد في جوجل كروم ، أو إطار عمل الاختبار سيلينيوم . ^{[ 28 ]}

أثناء عملية اختراق حقيقية، يمكن إعادة توظيف الفريق الأحمر للعمل مع الفريق الأزرق للمساعدة في الدفاع. تحديدًا، يمكنهم تقديم تحليل لما يُحتمل أن يحاول المتسللون فعله لاحقًا. خلال عملية الاختراق، يتمتع كل من الفريق الأحمر والفريق الأزرق بميزة الأرض والجمهور لأنهم أكثر دراية بشبكات وأنظمة المنظمة من المتسلل. ^{[ 12 ]}

قد يُمثل فريق الهجوم الأحمر التابع للمؤسسة هدفًا جذابًا للمهاجمين الحقيقيين، إذ قد تحتوي أجهزة أعضائه على معلومات حساسة تخص المؤسسة. ولذلك، غالبًا ما تُؤمَّن هذه الأجهزة. ^{[ 29 ]} تشمل تقنيات تأمين الأجهزة: ضبط جدار حماية نظام التشغيل ، وتقييد الوصول عبر بروتوكول SSH وتقنية Bluetooth ، وتحسين تسجيل الأحداث والتنبيهات، وحذف الملفات بشكل آمن، وتشفير محركات الأقراص الصلبة. ^{[ 30 ]}

تتمثل إحدى التكتيكات في "الدفاع النشط"، والذي يتضمن إنشاء أنظمة وهمية وأنظمة مراقبة لتتبع مواقع المتسللين. ^{[ 31 ]} تُساعد هذه الأنظمة الوهمية في تنبيه فريق الدفاع إلى أي اختراق للشبكة قد يمر دون اكتشافه. يمكن استخدام برامج متنوعة لإعداد ملف نظام المراقبة، وذلك بحسب نظام التشغيل: تتضمن أدوات macOS برنامج OpenBMS، بينما تتضمن أدوات Linux إضافات auditd، وتتضمن أدوات Windows قوائم التحكم في الوصول إلى النظام (SACL). تشمل الإشعارات النوافذ المنبثقة، ورسائل البريد الإلكتروني، والكتابة إلى ملف سجل. ^{[ 32 ]} تُعد المراقبة المركزية، حيث تُرسل ملفات السجل المهمة بسرعة إلى برنامج تسجيل على جهاز آخر، تقنية دفاعية فعّالة للشبكة. ^{[ 33 ]}

يُساعد استخدام قواعد الاشتباك في تحديد الأنظمة المحظورة، ومنع الحوادث الأمنية، وضمان احترام خصوصية الموظفين. ^{[ 34 ]} كما يُسهم استخدام إجراءات التشغيل القياسية (SOP) في ضمان إخطار الأشخاص المعنيين وإشراكهم في التخطيط، وتحسين عملية فريق الاختراق، مما يجعلها أكثر نضجًا وقابلية للتكرار. ^{[ 35 ]} وتتميز أنشطة فريق الاختراق عادةً بإيقاع منتظم. ^{[ 36 ]}

يُساعد تتبّع بعض المقاييس أو مؤشرات الأداء الرئيسية (KPIs) على ضمان تحقيق فريق الهجوم الأحمر للنتائج المرجوة. ومن أمثلة مؤشرات الأداء الرئيسية لفريق الهجوم الأحمر إجراء عدد مُحدد من اختبارات الاختراق سنويًا، أو زيادة عدد مُختبِري الاختراق في الفريق خلال فترة زمنية مُحددة. كما يُمكن أن يكون من المفيد تتبّع عدد الأجهزة المُخترقة، والأجهزة القابلة للاختراق، وغيرها من المقاييس المُتعلقة بالاختراق. يُمكن تمثيل هذه الإحصائيات بيانيًا يوميًا وعرضها على لوحة معلومات في مركز عمليات الأمن (SOC) لتحفيز فريق الدفاع الأزرق على اكتشاف الثغرات الأمنية وإغلاقها. ^{[ 37 ]}

لتحديد أكثر المخترقين خطورة، يمكن تمثيل الاختراقات بيانيًا وتصنيفها حسب موقع اكتشافها في البرنامج، أو موقع مكتب الشركة، أو المسمى الوظيفي، أو القسم. ^{[ 38 ]} يمكن استخدام محاكاة مونت كارلو لتحديد سيناريوهات الاختراق الأكثر احتمالًا، أو الأكثر ضررًا، أو كليهما. ^{[ 39 ]} يمكن استخدام نموذج نضج الاختبار، وهو نوع من نماذج نضج القدرات ، لتقييم مدى نضج فريق الهجوم الأحمر، وتحديد الخطوة التالية لتطويره. ^{[ 40 ]} يمكن الرجوع إلى دليل MITRE ATT&CK Navigator ، وهو قائمة بالتكتيكات والتقنيات والإجراءات (TTPs) بما في ذلك التهديدات المستمرة المتقدمة (APTs)، لمعرفة عدد التكتيكات والتقنيات والإجراءات التي يستغلها فريق الهجوم الأحمر، والحصول على أفكار إضافية لاستخدامها في المستقبل. ^{[ 41 ]}

يُعدّ الاستطلاع جزءًا أساسيًا من عمليات الاختراق الميداني. ^{[ 49 ]} يشمل الاستطلاع عادةً معلومات عن الأشخاص والأماكن والأجهزة الأمنية والطقس. ^{[ 50 ]} للاستطلاع أصول عسكرية، ويمكن تطبيق تقنيات الاستطلاع العسكري على عمليات الاختراق الميداني. قد تشمل معدات الاستطلاع الخاصة بفريق الاختراق ملابس عسكرية نظرًا لمتانتها، وأضواء حمراء للحفاظ على الرؤية الليلية وتقليل احتمالية الكشف، وأجهزة راديو وسماعات أذن، وكاميرا وحامل ثلاثي القوائم، ومنظار، ومعدات رؤية ليلية، ودفتر ملاحظات مقاوم لجميع الأحوال الجوية. ^{[ 51 ]} تتضمن بعض وسائل الاتصال الميداني سماعة بلوتوث متصلة بمكالمة جماعية عبر الهاتف المحمول خلال النهار، وأجهزة راديو ثنائية الاتجاه مع سماعات أذن ليلًا. ^{[ 52 ]} في حالة الاختراق، غالبًا ما يحمل أعضاء فريق الاختراق بطاقة هوية وخطاب تفويض يتضمن بيانات اتصال متعددة خارج ساعات العمل الرسمية، والذين يمكنهم ضمان قانونية وشرعية أنشطة فريق الاختراق. ^{[ 53 ]}

قبل البدء بالاستطلاع الميداني، يمكن جمع المعلومات الاستخباراتية من مصادر مفتوحة (OSINT) عبر البحث عن المواقع والموظفين على الإنترنت، بما في ذلك موقع الشركة الإلكتروني، وحساباتها على مواقع التواصل الاجتماعي، ومحركات البحث، ومواقع الخرائط، وإعلانات الوظائف (التي تُشير إلى التقنيات والبرامج التي تستخدمها الشركة). ^{[ 54 ]} من الممارسات الجيدة إجراء استطلاع على مدى عدة أيام، ليلاً ونهاراً، واصطحاب ثلاثة عناصر على الأقل، واستخدام منطقة تجمع قريبة بعيدة عن أنظار الهدف، وإجراء الاستطلاع والتسلل كرحلتين منفصلتين بدلاً من دمجهما. ^{[ 55 ]}

يمكن لفرق الاستطلاع استخدام تقنيات لإخفاء أنفسهم ومعداتهم. على سبيل المثال، يمكن استئجار سيارة ركاب وتغطية نوافذها بطبقة سوداء لإخفاء التصوير الفوتوغرافي والفيديو للهدف. ^{[ 56 ]} كما يمكن إخفاء فحص وتصوير أقفال المبنى أثناء التجول فيه من خلال تظاهر عنصر الاستطلاع بالتحدث عبر الهاتف. ^{[ 57 ]} في حال حدوث انكشاف، كأن يشك الموظفون، يمكن التدرب على سرد قصة مسبقًا حتى يتمكن الفريق من سردها بثقة. إذا انقسم الفريق، فإن انكشاف أحد العناصر قد يدفع قائد الفريق إلى سحب العناصر الأخرى. ^{[ 58 ]} يمكن استخدام كاميرات فيديو مخفية لتسجيل اللقطات لمراجعتها لاحقًا، ويمكن إجراء جلسات استخلاص المعلومات بسرعة بعد مغادرة المنطقة لتوثيق المعلومات الجديدة على الفور. ^{[ 59 ]}

تُجرى معظم عمليات فرق الاختراق الميدانية ليلاً، نظراً لانخفاض مستوى الأمن في المنشأة، ولأن الظلام يُتيح إخفاء الأنشطة. ^{[ 60 ]} عادةً ما يكون التسلل المثالي غير مرئي خارج المنشأة (لا يكتشفه المارة أو أجهزة الأمن) وداخلها (لا يُلحق أي ضرر ولا يُحرّك أي شيء أو يُترك في غير مكانه)، ولا يُنبه أحداً إلى وجود فريق الاختراق. ^{[ 61 ]}

دخول المنشأة

تشمل أجهزة الأمن الشائعة الأبواب والأقفال والأسوار وأجهزة الإنذار وأجهزة استشعار الحركة وأجهزة الاستشعار الأرضية. غالبًا ما يكون تجاوز الأبواب والأقفال أسرع وأهدأ باستخدام الأدوات والشرائح ، مقارنةً بفتح الأقفال يدويًا . ^{[ 71 ]} تُعد أقفال RFID شائعة في الشركات، ويمكن استخدام قارئات RFID السرية مع الهندسة الاجتماعية أثناء الاستطلاع لنسخ شارة الموظف المُصرَّح له. ^{[ 72 ]} يمكن تجاوز الأسلاك الشائكة على الأسوار بوضع بطانية سميكة فوقها. ^{[ 73 ]} يمكن تجاوز الأسوار المانعة للتسلق باستخدام السلالم. ^{[ 74 ]}

يمكن أحيانًا تعطيل أجهزة الإنذار باستخدام جهاز تشويش لاسلكي يستهدف الترددات التي تستخدمها هذه الأجهزة في اتصالاتها الداخلية والخارجية. ^{[ 75 ]} ويمكن تعطيل مستشعرات الحركة باستخدام درع خاص بحجم الجسم يحجب البصمة الحرارية للشخص. ^{[ 76 ]} وتميل المستشعرات الأرضية إلى إعطاء إنذارات خاطئة، مما قد يدفع أفراد الأمن إلى عدم الثقة بها أو تجاهلها. ^{[ 77 ]}

داخل المنشأة

بمجرد الدخول، إذا ساور الشك بأن المبنى مأهول، فإن التنكر بزي عامل نظافة أو موظف باستخدام الملابس المناسبة يُعد تكتيكًا جيدًا. ^{[ 78 ]} غالبًا ما يكون ضبط الضوضاء مهمًا داخل المبنى، نظرًا لقلة الأصوات المحيطة التي قد تُخفي أصوات الفريق المُهاجم. ^{[ 79 ]}

عادةً ما تحدد فرق الهجوم الأحمر مواقع أهدافها وتخطط مهامها مسبقًا لكل فريق أو عضو فيه، مثل دخول غرفة الخوادم أو مكتب المدير التنفيذي. مع ذلك، قد يصعب تحديد موقع الغرفة مسبقًا، لذا غالبًا ما يتم تحديده بشكل فوري. يمكن أن تساعد قراءة لافتات مخارج الطوارئ واستخدام ساعة مزودة ببوصلة في التنقل داخل المباني. ^{[ 80 ]}

غالبًا ما تُترك بعض الأضواء مضاءة في المباني التجارية. من الممارسات الجيدة عدم تشغيل الأضواء أو إطفائها، لأن ذلك قد يلفت انتباه أحد. بدلًا من ذلك، يُفضّل استخدام المناطق غير المضاءة أصلًا في عمليات الفريق الأحمر، مع استخدام تقنيات الاندفاع والتجميد للتحرك بسرعة عبر المناطق المضاءة. ^{[ 81 ]} غالبًا ما يُتجنب الوقوف بكامل طول الجسم أمام النوافذ ودخول المباني عبر الردهات نظرًا لمخاطر الرؤية. ^{[ 82 ]}

يمكن استخدام المنظار الداخلي للنظر حول الزوايا وتحت الأبواب، للمساعدة في رصد الأشخاص أو الكاميرات أو أجهزة استشعار الحركة. ^{[ 83 ]}

بمجرد الوصول إلى الغرفة المستهدفة، إذا لزم العثور على شيء ما مثل وثيقة معينة أو معدات معينة، يمكن تقسيم الغرفة إلى أقسام، حيث يركز كل عضو من أعضاء الفريق الأحمر على قسم معين. ^{[ 84 ]}

غالبًا ما تُخزَّن كلمات المرور أسفل لوحات المفاتيح. ويمكن استخدام تقنيات لتجنب تغيير أماكن الأشياء في المكاتب، مثل لوحات المفاتيح والكراسي، إذ غالبًا ما يُلاحَظ تغييرها. ^{[ 85 ]} يمكن ترك الأضواء والأقفال في حالتها الأصلية، سواءً كانت مُشغَّلة أو مُطفأة، مُقفلة أو مفتوحة. ^{[ 86 ]} يمكن اتخاذ خطوات لضمان عدم ترك أي معدات، مثل إعداد قائمة بجميع المعدات التي تم إحضارها والتأكد من وجود جميع العناصر. ^{[ 87 ]}

من الممارسات الجيدة إرسال تقارير الوضع عبر الراديو إلى قائد الفريق عند حدوث أي أمر غير معتاد. وبذلك، يستطيع قائد الفريق اتخاذ القرار بشأن استمرار العملية أو إيقافها، أو ما إذا كان ينبغي على أحد أعضاء الفريق الاستسلام بإبراز خطاب التفويض وبطاقة هويته. ^{[ 88 ]} عند مواجهة مدنيين، كالموظفين مثلاً، قد يلجأ أعضاء الفريق الأحمر إلى الهندسة الاجتماعية. أما عند مواجهة جهات إنفاذ القانون، فمن الممارسات الجيدة الاستسلام فوراً لما قد يترتب على ذلك من عواقب قانونية وأمنية. ^{[ 89 ]}

تستخدم الشركات الخاصة أحيانًا فرقًا متخصصة في اختبار الاختراق (Red Teams) لدعم إجراءاتها الأمنية المعتادة وموظفيها. على سبيل المثال، تستخدم مايكروسوفت وجوجل فرقًا متخصصة في اختبار الاختراق للمساعدة في تأمين أنظمتهما. ^{[ 93 ] [ 94 ]} وتستخدم بعض المؤسسات المالية في أوروبا إطار عمل TIBER-EU. ^{[ 95 ]}

عند تطبيقها في العمل الاستخباراتي، يُطلق على فرق المراجعة أحيانًا اسم التحليل البديل . ^{[ 96 ]} يتضمن التحليل البديل إشراك محللين جدد للتحقق من استنتاجات فريق آخر، ومراجعة الافتراضات، والتأكد من عدم إغفال أي شيء. استُخدمت ثلاثة فرق مراجعة لمراجعة المعلومات الاستخباراتية التي أدت إلى مقتل أسامة بن لادن عام 2011، بما في ذلك فرق مراجعة من خارج وكالة الاستخبارات المركزية، نظرًا للعواقب الدبلوماسية والإعلامية الوخيمة المترتبة على شن عملية عسكرية في باكستان، لذا كان من المهم التحقق من معلومات الفريق الأصلي واستنتاجاته. ^{[ 97 ]}

بعد فشل محاولات التنبؤ بحرب يوم الغفران، شكّلت مديرية الاستخبارات في جيش الدفاع الإسرائيلي فريقًا خاصًا يُدعى " إبخا ميستابرا " (على العكس) لإعادة النظر في الافتراضات التي تم التخلي عنها وتجنب التراخي. ^{[ 2 ]} يستخدم حلف شمال الأطلسي (الناتو) أساليب تحليل بديلة. ^{[ 98 ]}

تستخدم الجيوش عادةً فرق الاختراق لإجراء تحليلات بديلة، ومحاكاة، واستكشاف نقاط الضعف. ^{[ 99 ]} في ألعاب الحرب العسكرية ، يُشار إلى القوة المعادية (OPFOR) في صراع مُحاكى باسم "الخلية الحمراء". ^{[ 100 ]} الفكرة الأساسية هي أن الخصم (الفريق الأحمر) يستغل التكتيكات والتقنيات والمعدات المناسبة لمحاكاة الجهة المستهدفة. ويتحدى الفريق الأحمر التخطيط العملياتي من خلال لعب دور الخصم المُدرك.

لدى وزارة الدفاع في المملكة المتحدة برنامج فريق أحمر. ^{[ 101 ]}

ازداد استخدام فرق الاستطلاع الأحمر في القوات المسلحة الأمريكية بشكل ملحوظ بعد توصية مجلس مراجعة العلوم الدفاعية عام 2003 ، وذلك للمساعدة في تجنب أوجه القصور التي أدت إلى هجمات 11 سبتمبر. أنشأ الجيش الأمريكي مكتب الدراسات الموجهة للجيش عام 2004، وكان هذا أول فريق استطلاع أحمر على مستوى الخدمة، وظل حتى عام 2011 الأكبر في وزارة الدفاع الأمريكية. ^{[ 102 ]} تقدم جامعة الدراسات العسكرية والثقافية الأجنبية دورات تدريبية لأعضاء وقادة فرق الاستطلاع الأحمر. تُعقد معظم الدورات الحضورية في فورت ليفنوورث، وتستهدف طلاب كلية القيادة والأركان العامة للجيش الأمريكي أو ما يعادلها من كليات متوسطة وعليا. ^{[ 103 ]} تشمل الدورات موضوعات مثل التفكير النقدي، والحد من التفكير الجماعي، والتعاطف الثقافي، والتأمل الذاتي. ^{[ 104 ]}

بدأ مفهوم الفريق الأحمر في سلاح مشاة البحرية الأمريكية عام ٢٠١٠ عندما حاول قائد سلاح مشاة البحرية، الجنرال جيمس ف. آموس ، تطبيقه. ^{[ ١٠٥ ]} وقد صاغ آموس ورقة بحثية بعنوان " الفريق الأحمر في سلاح مشاة البحرية" . ناقش آموس في هذه الورقة كيف أن مفهوم الفريق الأحمر بحاجة إلى إعادة النظر في عملية التخطيط واتخاذ القرارات من خلال تطبيق التفكير النقدي على المستويين التكتيكي والاستراتيجي. وفي يونيو ٢٠١٣، عيّن سلاح مشاة البحرية أفرادًا لشغل مناصب الفريق الأحمر الموضحة في مسودة الورقة البحثية. وفي سلاح مشاة البحرية، يُكمل جميع جنود المارينز المُعيّنين لشغل مناصب الفريق الأحمر دورات تدريبية مدتها ستة أو تسعة أسابيع تُقدّمها جامعة الدراسات العسكرية والثقافية الأجنبية. ^{[ ١٠٦ ]}

تستخدم وزارة الدفاع الأمريكية فرقًا متخصصة في اختبار الاختراق السيبراني لإجراء تقييمات للهجمات على شبكاتها. ^{[ 107 ]} هذه الفرق معتمدة من قبل وكالة الأمن القومي ومعترف بها من قبل القيادة الاستراتيجية للولايات المتحدة . ^{[ 107 ]}

بدأت إدارة الطيران الفيدرالية الأمريكية (FAA) بتطبيق فرق الاختبار الأمني ​​(Red Teams) منذ حادثة طائرة بان آم الرحلة 103 فوق لوكربي ، اسكتلندا ، التي تعرضت لهجوم إرهابي عام 1988. تُجري هذه الفرق اختبارات في حوالي 100 مطار أمريكي سنويًا. توقفت الاختبارات مؤقتًا بعد هجمات 11 سبتمبر 2001، ثم استؤنفت عام 2003 تحت إدارة أمن النقل (TAS)، التي تولت دور إدارة الطيران الفيدرالية في مجال أمن الطيران بعد أحداث 11 سبتمبر. ^{[ 108 ]} قبل هجمات 11 سبتمبر، كشف استخدام إدارة الطيران الفيدرالية لفرق الاختبار الأمني ​​عن ثغرات أمنية خطيرة في مطار لوغان الدولي في بوسطن، حيث انطلقت اثنتان من الرحلات الأربع المختطفة في 11 سبتمبر. ويرى بعض المحققين السابقين في إدارة الطيران الفيدرالية، الذين شاركوا في هذه الفرق، أن الإدارة تجاهلت نتائج الاختبارات عمدًا، وأن ذلك ساهم جزئيًا في هجمات 11 سبتمبر الإرهابية على الولايات المتحدة . ^{[ 109 ]}

استخدمت إدارة أمن النقل الأمريكية فرق الاختراق في الماضي. في إحدى عمليات فرق الاختراق، تمكن عملاء سريون من خداع ضباط أمن النقل وإدخال أسلحة ومتفجرات مزيفة عبر نقاط التفتيش الأمنية 67 مرة من أصل 70 مرة في عام 2015. ^{[ 110 ]}