Red Teaming: ein Ziel über Wochen
Ein vereinbartes Ziel, jeder Weg erlaubt, jeder Schritt protokolliert. Gemessen wird, was Ihre Erkennung davon bemerkt hat.
Ein Ziel, mehrere Wochen, keine Vorwarnung
Ein Red Team verfolgt ein vereinbartes Ziel: an eine bestimmte Datenbank kommen, eine bestimmte Steuerung erreichen, Domänenadministrator werden. Der Weg dorthin steht offen, über Technik, über Menschen und über den Weg durch die Tür.
Das prüft etwas anderes als ein Penetrationstest. Ein Test sucht in einem festgelegten Bereich möglichst viele Schwachstellen und meldet sie. Ein Red Team nimmt einen Weg und lässt vieles ungeprüft, dafür läuft die Verteidigung unter echten Bedingungen mit.
Am Anfang steht die offene Recherche, OSINT: wer arbeitet wo, welche Technik ist im Einsatz, welche Dienstleister haben Zugang, wann sind welche Abläufe verwundbar. Daraus entsteht der Plan, nicht aus einem Werkzeug.
Die Frage ist die Erkennung
Wir protokollieren jeden Schritt mit Zeitstempel und Technik-Kennung aus MITRE ATT&CK. Ihre Verteidigung protokolliert unabhängig davon, was in den Werkzeugen ankam. Der Abgleich am Ende zeigt, an welchen Schritten etwas bemerkt wurde und an welchen nicht.
Zwei von sechs bemerkten Schritten sind ein Anfang. Wichtiger als die Zahl ist die Frage dahinter: Gab es kein Protokoll, gab es eines ohne Regel, war die Regel zu eng, oder gab es einen Alarm, den niemand bearbeitet hat. Das sind vier Probleme mit vier verschiedenen Lösungen.
Wann ein Red Team sich lohnt
Ein Red Team setzt voraus, dass die Grundlagen stehen. Sonst bestätigt es nur, was ein einfacherer Test schneller gezeigt hätte.
Erkennung ist vorhanden
Es gibt ein SOC oder zumindest jemanden, der Alarme bearbeitet. Ohne Gegenseite misst die Übung nichts.
Die erreichbaren Dienste sind geprüft
Wo ein externer Test noch offene Dienste findet, ist der Weg zu kurz für eine aussagekräftige Übung.
Ein Ziel ist benannt
Was genau soll geschützt sein. Ohne diese Festlegung wird aus der Übung eine unbegrenzte Suche.
Wie ein Red Teaming abläuft
Vier bis acht Wochen, mit Pausen. Wer in drei Tagen durch ist, hat einen Penetrationstest gemacht und ihn anders genannt.
Ziel und Regeln
Ein vereinbartes Ziel, ein kleiner Kreis von Eingeweihten, Abbruchkriterien und die Frage, wie wir uns im Ernstfall ausweisen. Alles schriftlich, bevor etwas beginnt.
Aufklärung
Offene Recherche: wer arbeitet wo, welche Technik ist im Einsatz, welche Dienstleister haben Zugang, wann sind welche Abläufe verwundbar. Daraus entsteht der Plan, nicht aus einem Werkzeug.
Durchführung
Der Weg zum Ziel, über Technik, über Menschen und über den Weg durch die Tür. Jeder Schritt mit Zeitstempel und Technik-Kennung aus MITRE ATT&CK, damit er später auffindbar ist.
Abgleich und Auswertung
Ihre Verteidigung protokolliert unabhängig, was in den Werkzeugen ankam. Der Vergleich zeigt, an welchen Schritten etwas bemerkt wurde und an welchen nicht und warum.
Häufige Fragen zum Red Teaming
Ein kleiner Kreis, damit die Reaktion echt ist. Wir legen vorher schriftlich fest, wer eingeweiht ist, wie wir uns im Ernstfall ausweisen und wie die Übung abgebrochen wird.
Vier bis acht Wochen, mit Pausen. Wer in drei Tagen durch ist, hat einen Penetrationstest gemacht und ihn anders genannt.
Wir arbeiten mit Abbruchkriterien und melden alles, was hätte schiefgehen können. Produktive Eingriffe stimmen wir ab und in OT-Umgebungen laufen sie grundsätzlich am Ersatzaufbau.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.