Red teaming:
når spørgsmålet er, om forsvaret virker

En sikkerhedsfunktion kan have styr på sårbarhederne og alligevel mangle svar på det spørgsmål, direktionen stiller efter et stort angreb i nyhederne: ville vi have set det i tide? Red teaming besvarer det med en aftalt øvelse: et lille hold med skriftlig tilladelse forfølger et bestemt mål, og imens arbejder overvågning, drift og beredskab som på enhver anden dag. Resultatet er ikke en liste over huller, men et billede af, hvad organisationen så, hvem der fik besked, og hvad der blev besluttet undervejs.

Sitet er skrevet til CISO’er og sikkerhedsfunktioner i større organisationer, også i finanssektoren, og til bestyrelser, direktioner og leverandører, der møder red teaming fra deres side af bordet. Det forudsætter, at I kender penetrationstest, og handler om det, der kommer bagefter: hvordan en øvelse bestilles, styres, afgrænses, måles og omsættes til forbedringer. → Hvad er red teaming?

Hvad øvelsen kan svare på

En øvelse er bygget op om et mål, som en modstander ville gå efter, fx betalingsflowet, kundedata eller direktionens postkasse. Scenariet bestemmer, hvor holdet begynder, og hvilken type angriber det efterligner. Undervejs registreres, hvad forsvaret opdager, og hvordan det reagerer.

Svarene gælder de scenarier, der blev afprøvet. En øvelse, der ikke når målet, beviser ikke, at målet er sikkert, og en øvelse, der når det, siger ikke alt om resten af forsvaret. Den grænse er værd at sige højt, før resultatet præsenteres for ledelsen. → Det, red teaming afprøver, som en pentestrapport ikke viser

Før I bestiller

Red teaming giver mest, når de kendte svagheder er under kontrol, og når forsvaret har en reel chance for at opdage noget. Et skarpt formål er vigtigere end et bredt omfang: det spørgsmål, ledelsen vil have besvaret, styrer både scenarie, varighed og måling.

• Modenhed · har organisationen overvågning og et beredskab, der kan afprøves? → Er organisationen klar til red teaming?
• Formål · hvad skal øvelsen afgøre, og for hvem skal svaret bruges?
• Leverandør · erfaring, risikostyring og håndtering af fortrolige oplysninger. → Valg af leverandør til red teaming

Styring, mennesker og bygninger

En øvelse, hvor forsvaret ikke er orienteret, kræver en kontrolgruppe, der kender til den og kan stoppe den. White team ejer reglerne, holder kontakten til holdet og sørger for, at en ægte hændelse aldrig forveksles med øvelsen. Tilladelserne rækker ud over IT: udlejere, vagtselskaber, driftsleverandører og HR kan skulle sige ja.

→ White team · Tilladelser til en red team-øvelse

Social engineering og fysisk adgang tager medarbejdere og lokaler med i øvelsen. Det er en beslutning om etik, samtykke og opfølgning lige så meget som om sikkerhed. Målet er at lære af forløbet, ikke at udstille kolleger. Tiden er også en del af testen: en længerevarende simulering viser, om små tegn bliver opdaget, før de bliver til et alvorligt forløb.

→ Social engineering i en red team-øvelse · Fysisk adgang i red teaming · Længerevarende angrebssimulering

Måling, rapport og læring

Opdagelse, eskalering og reaktion skal være aftalt som målepunkter, før øvelsen går i gang. Bagefter lægges holdets handlinger og forsvarets observationer på én tidslinje, så blinde vinkler bliver synlige. Purple teaming, hvor red og blue gennemgår forløbet sammen, gør fundene til konkrete forbedringer med en ejer.

→ Opdagelse, eskalering og reaktion · Purple teaming

Til bestyrelse og direktion

En øvelse angriber organisationen med vilje, mens driften kører. Derfor skal ledelsen vide, hvilket spørgsmål øvelsen besvarer, hvilken risiko den accepterer, og hvordan resultatet kommer tilbage. Ledelsen skal også kunne svare på indvendingerne: at organisationen er for lille, at driften forstyrres, eller at SOC’en nok skal opdage det.

→ Bestyrelsens spørgsmål om red teaming · Vi er for små til red teaming · Red teaming for bestyrelse og direktion

Når kunden kræver red teaming

Leverandører møder red teaming som et krav: kunden skriver det ind i kontrakten, vil have jer med i sin øvelse eller vil lade sit eget hold angribe jeres systemer og medarbejdere. For IKT-udbydere til finanssektoren kan kundens TLPT omfatte jeres tjeneste. Før I svarer, skal I vide, hvad I har forpligtet jer til, og hvilke rammer I selv skal kræve.

→ Kravet om red teaming står i kontrakten · Kunden vil red teame jer · Leverandører og kundekrav om red teaming

Sektorer og regler

En øvelse på et hospital, i en kommune eller tæt på et produktionsanlæg kræver andre fredede områder og stopregler end en øvelse i et kontormiljø. Uden for finanssektoren kræver hverken NIS2, ISO/IEC 27001 eller PCI DSS red teaming, men de kræver, at organisationen kan vise, om foranstaltningerne virker.

→ Red teaming i sektorerne · Regler og standarder uden for finanssektoren

TIBER-DK og DORA-TLPT

Finansielle virksomheder møder red teaming gennem TIBER-DK, Danmarks Nationalbanks ramme for trusselsbaserede red team-test, og gennem kravet om trusselsbaseret penetrationstest (TLPT) i DORA. Nationalbanken udpeger de virksomheder, der skal gennemføre TLPT. Sitet forklarer rammerne efter primærkilderne. → TIBER-DK forklaret · DORA-TLPT forklaret

Nielco IT er ikke udbyder under TIBER-DK eller DORA-TLPT og gennemfører hverken TIBER-test eller TLPT. Red teaming uden for den ramme kan også give mening i en finansiel virksomhed, men den erstatter ikke en TLPT. → Red teaming uden for TIBER-rammen

Om Nielco IT

red-teaming.dk er en del af Nielco IT. Bag sitet står John Nielsen, der har drevet Nielco IT som selvstændig siden 2009 og har arbejdet med IT-sikkerhed i over 30 år, bl.a. i finanssektoren, hos offentlige myndigheder og i kritisk infrastruktur. Nielco IT tilbyder red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering. Ved større opgaver tilknyttes konsulenter, som arbejder i Nielco IT’s regi. Der sælges ingen produkter, og der er ingen leverandørpartnerskaber.

→ Alle artikler · Spørgsmål og svar

→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT