Bepaal de doelstellingen en kritieke bedrijfsprocessen

Een red teaming-test begint met de vraag welke systemen, gegevens en bedrijfsprocessen essentieel zijn voor jouw organisatie. Welke onderdelen mogen niet uitvallen en welke informatie mag niet toegankelijk worden voor onbevoegden?

Voor een productiebedrijf kan dat de beschikbaarheid van een productielijn zijn. Bij een zorginstelling gaat het bijvoorbeeld om patiëntgegevens of de continuïteit van digitale zorgsystemen. Een logistieke organisatie kan vooral afhankelijk zijn van transportplanning en leveranciersverbindingen.

Deze kritieke onderdelen worden ook wel de kroonjuwelen van de organisatie genoemd. Binnen het TIBER-raamwerk van De Nederlandsche Bank vormt het vaststellen van kritieke functies een belangrijk onderdeel van de voorbereiding.

Vertaal deze bedrijfsprocessen vervolgens naar concrete en toetsbare doelstellingen. Een algemene vraag zoals hoe veilig onze organisatie is, biedt onvoldoende richting voor een realistisch aanvalsscenario.

Een duidelijk doel helpt om de scope, aanvalsscenario's en gewenste resultaten vast te stellen. Daarmee voorkom je dat het onderzoek zich richt op kwetsbaarheden die weinig invloed hebben op de belangrijkste bedrijfsprocessen.

Controleer of je beveiliging klaar is voor red teaming

Red teaming onderzoekt de samenhang tussen technische beveiliging, medewerkers en beveiligingsprocessen. Om de resultaten goed te kunnen beoordelen, moet de organisatie daarom over een voldoende ontwikkelde basisbeveiliging beschikken.

Dat betekent onder andere dat belangrijke kwetsbaarheden worden aangepakt, toegangsrechten beheerd worden en verdachte activiteiten actief worden gemonitord.

Een red teaming assessment kan bijvoorbeeld onderzoeken of een aanvaller binnen het netwerk aanvullende rechten kan verkrijgen en of het Security Operations Center, SOC, deze activiteiten herkent.

Wanneer niemand beveiligingsmeldingen onderzoekt of kritieke kwetsbaarheden al langere tijd openstaan, is de uitkomst van een deel van de test vooraf te verwachten.

In dat geval kan een penetratietest of baseline assessment een geschiktere eerste stap zijn. Daarmee breng je technische kwetsbaarheden en tekortkomingen in de basisbeveiliging in kaart.

Wanneer deze onderdelen voldoende zijn ingericht, kan red teaming helpen beoordelen of de bestaande verdediging ook tijdens een realistische aanval effectief functioneert.

Stel een klein white team samen voor de begeleiding

Bij een traditionele red teaming-test weet het operationele beveiligingsteam doorgaans niet wanneer en hoe de aanval plaatsvindt. Hierdoor kan worden onderzocht hoe medewerkers en beveiligingssystemen onder normale omstandigheden reageren.

Wel moet een beperkte groep binnen de organisatie op de hoogte zijn. Deze groep wordt het White Team of Control Team genoemd.

Het White Team is verantwoordelijk voor het begeleiden van de test, het goedkeuren van de scenario's en het bewaken van de afgesproken grenzen.

Ook moet het team kunnen ingrijpen wanneer de uitvoering risico's oplevert voor de bedrijfsvoering of wanneer er aanwijzingen zijn voor een daadwerkelijk beveiligingsincident.

Een White Team kan bijvoorbeeld bestaan uit een vertegenwoordiger van de directie, de verantwoordelijke voor informatiebeveiliging en een medewerker met voldoende kennis van de IT-omgeving. De exacte samenstelling hangt af van de organisatie en de complexiteit van de test.

Binnen het TIBER-EU-raamwerk bestaan specifieke richtlijnen voor het White Team en de voorbereiding van de test. Ook bij reguliere red teaming assessments kunnen deze richtlijnen worden gebruikt om verantwoordelijkheden duidelijk vast te leggen.

Leg de scope, aanvalstechnieken en veiligheidsafspraken vast

De scope bepaalt welke onderdelen van de organisatie worden getest en welke aanvalstechnieken het red team mag gebruiken.

Daarbij maak je afspraken over de systemen, netwerken, locaties en medewerkers die binnen het onderzoek vallen.

Mag het red team phishingmails versturen? Is een fysieke toegangstest met een mystery guest toegestaan? Mogen productiesystemen actief worden onderzocht? En welke systemen moeten buiten de scope blijven?

Ook wordt vastgesteld of het team vanaf een externe positie moet proberen binnen te komen of dat het vooraf een beperkte vorm van toegang krijgt.

Bij die laatste aanpak, ook wel assumed breach genoemd, wordt aangenomen dat een aanvaller al toegang heeft verkregen. Het onderzoek richt zich dan op verdere toegang binnen het netwerk en de effectiviteit van detectie en incidentrespons.

Maak afspraken over incidenten en mogelijke verstoringen

Een red teaming-test moet gecontroleerd worden uitgevoerd. Daarom zijn duidelijke afspraken nodig over de veiligheid van systemen, gegevens en bedrijfsprocessen.

Bij organisaties met operationele technologie, OT, is dit extra belangrijk. Een aanvalssimulatie mag niet onnodig leiden tot verstoring van productielijnen, industriële installaties of andere fysieke processen.

Leg daarom vast welke handelingen zijn uitgesloten, op welke momenten bepaalde systemen niet getest mogen worden en wie bevoegd is om de oefening te onderbreken.

Spreek daarnaast af wat er gebeurt wanneer het red team aanwijzingen vindt voor een echte cyberaanval.

In dat geval moet duidelijk zijn wie wordt geïnformeerd, wanneer de test wordt onderbroken en hoe het daadwerkelijke incident wordt onderzocht. De afhandeling van een echt beveiligingsincident krijgt daarbij voorrang.

Regel juridische toestemming, privacy en verantwoordelijkheden

Tijdens red teaming voeren ethische hackers handelingen uit die zonder toestemming niet zijn toegestaan. Daarom moeten de juridische voorwaarden vooraf duidelijk worden vastgelegd.

De organisatie moet schriftelijk toestemming geven voor de afgesproken testactiviteiten. De opdracht moet duidelijk omschrijven welke systemen, locaties en aanvalstechnieken binnen de scope vallen en welke beperkingen gelden.

Bij fysieke beveiligingstesten kan aanvullende toestemming nodig zijn. Denk aan afspraken met de eigenaar van een gebouw, een verhuurder of een extern beveiligingsbedrijf.

Ook privacy speelt een belangrijke rol. Tijdens een red teaming-test kunnen testers in aanraking komen met persoonsgegevens, gebruikersaccounts of vertrouwelijke bedrijfsinformatie.

Leg vooraf vast hoe deze gegevens worden behandeld, opgeslagen, gedeeld en verwijderd. Betrek waar nodig de privacyfunctionaris, juridische afdeling en verantwoordelijken voor informatiebeveiliging.

Wat moet je regelen wanneer medewerkers worden getest?

Wanneer phishing, social engineering of fysieke toegangstesten onderdeel zijn van het scenario, kunnen medewerkers direct betrokken raken bij de oefening.

Daarom moeten vooraf afspraken worden gemaakt over de verwerking van persoonsgegevens, de manier waarop resultaten worden besproken en welke informatie met management wordt gedeeld.

Afhankelijk van de gekozen test en de organisatie kan het nodig zijn om HR, de ondernemingsraad of andere betrokken partijen te raadplegen.

Een red teaming-test is bedoeld om beveiligingsprocessen te onderzoeken en te verbeteren. De uitvoering moet daarom zorgvuldig omgaan met medewerkers en hun privacy.

Verzamel de juiste informatie voor de red teaming-partner

Een red teaming-partner heeft voldoende informatie nodig om het onderzoek veilig en gericht voor te bereiden.

Denk aan de belangrijkste bedrijfsprocessen, relevante systemen, netwerksegmenten, locaties en bestaande beveiligingsmaatregelen.

Ook informatie over leveranciersverbindingen, externe toegang en organisatorische verantwoordelijkheden kan belangrijk zijn.

Dat betekent niet dat het Red Team alle interne informatie moet ontvangen. Welke gegevens worden gedeeld, hangt af van de testmethode en de rolverdeling.

Bij een scenario waarin de positie van een externe aanvaller wordt nagebootst, kan het juist belangrijk zijn dat het aanvallende team weinig voorkennis heeft. Het White Team kan ondertussen beschikken over de informatie die nodig is om de veiligheid van de test te bewaken.

Wanneer efficiëntie belangrijker is dan het volledig zelfstandig verkennen van de omgeving, kunnen aanvullende technische gegevens of een beperkte startpositie worden verstrekt.

Ook het dreigingsbeeld moet aansluiten op de organisatie. Een familiebedrijf in de maakindustrie heeft andere risico's dan een financiële instelling of zorgorganisatie.

Door vooraf relevante informatie en doelstellingen te delen, kan de red teaming-partner passende aanvalsscenario's opstellen en de testtijd gericht inzetten.

Reserveer voldoende tijd en budget voor de uitvoering

Een red teaming assessment bestaat uit meer dan de actieve cyberaanval. Ook voorbereiding, dreigingsanalyse, rapportage en evaluatie maken deel uit van het traject.

De benodigde doorlooptijd hangt af van de omvang van de organisatie, het aantal aanvalsscenario's en de gekozen testmethodiek.

Bij uitgebreide TIBER-trajecten kunnen meerdere maanden nodig zijn. De actieve red team-fase binnen het TIBER-EU-raamwerk duurt minimaal twaalf weken. Daar komen voorbereiding en afsluitende werkzaamheden nog bij.

Een regulier red teaming assessment hoeft niet dezelfde omvang of doorlooptijd te hebben. De planning moet aansluiten op de doelstellingen en de complexiteit van de omgeving.

Houd bij de planning rekening met belangrijke wijzigingen in de IT-omgeving. Een grote migratie, reorganisatie of periode met beperkte personele bezetting kan de uitvoering beïnvloeden.

Soms is zo'n periode juist relevant om de incidentrespons te testen. Wanneer dat het geval is, moet dit bewust worden meegenomen in de doelstellingen en veiligheidsafspraken.

Wanneer is een TLPT onder DORA verplicht?

Voor bepaalde financiële instellingen gelden aanvullende eisen onder de Digital Operational Resilience Act, DORA.

Financiële instellingen die door de bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Voor deze instellingen is een tijdige en gestructureerde voorbereiding belangrijk, omdat het testtraject aan specifieke wettelijke eisen moet voldoen.

Bereid de evaluatie en opvolging van bevindingen voor

De waarde van een red teaming assessment wordt voor een belangrijk deel bepaald door wat je organisatie na de test met de resultaten doet.

Daarom is het verstandig om al tijdens de voorbereiding afspraken te maken over de evaluatie, rapportage en opvolging van verbetermaatregelen.

Bepaal wie verantwoordelijk wordt voor het beoordelen van bevindingen, wie maatregelen uitvoert en hoe de voortgang wordt bewaakt.

Reserveer daarnaast voldoende tijd en budget om noodzakelijke verbeteringen daadwerkelijk door te voeren.

Plan een replay en eventuele purple teaming-sessie

Na de uitvoering kunnen het Red Team en Blue Team gezamenlijk het aanvalsscenario doorlopen. Tijdens deze replay worden de activiteiten van de aanvallers vergeleken met beveiligingsmeldingen en reacties van de verdedigers.

Zo wordt duidelijk welke aanvalstechnieken werden herkend, welke signalen werden gemist en hoe effectief de incidentprocedures functioneerden.

Aanvullend kan purple teaming worden ingezet. Hierbij werken aanvallers en verdedigers samen om detectieregels en beveiligingsmaatregelen te verbeteren.

Een concreet verbeterplan bevat prioriteiten, verantwoordelijken en termijnen. Waar nodig kan een gerichte hertest worden uitgevoerd om te controleren of de genomen maatregelen effectief zijn.

Wanneer kun je red teaming beter uitstellen?

Niet iedere organisatie is direct klaar voor een red teaming assessment. Wanneer belangrijke voorwaarden ontbreken, kan het verstandig zijn om eerst andere beveiligingsmaatregelen te nemen.

Dat geldt bijvoorbeeld wanneer er onvoldoende steun is vanuit het management, geen duidelijk beeld bestaat van kritieke systemen of beveiligingsmeldingen niet actief worden opgevolgd.

Ook wanneer nog veel kritieke technische kwetsbaarheden openstaan, kan een penetratietest of baseline assessment een geschiktere eerste stap zijn.

Wil je vooral onderzoeken hoe medewerkers omgaan met verdachte e-mails, dan kan een afzonderlijke phishingsimulatie voldoende zijn. Voor fysieke toegangsbeveiliging kan een mystery guest onderzoek inzicht bieden.

Binnen Security advisory kan een nulmeting of second opinion helpen om de bestaande beveiliging te beoordelen en prioriteiten vast te stellen.

Door eerst de belangrijkste tekortkomingen aan te pakken, ontstaat een betere basis voor een latere red teaming-test.

Veelgestelde vragen over de voorbereiding op red teaming

Red teaming voorbereiden met Defenced

Een goede voorbereiding zorgt ervoor dat een red teaming assessment aansluit op de belangrijkste beveiligingsrisico's van jouw organisatie.

Door vooraf de doelstellingen, kritieke bedrijfsprocessen, scope, juridische afspraken en veiligheidsmaatregelen vast te leggen, ontstaat een duidelijke basis voor een gecontroleerde test.

Minstens zo belangrijk is de opvolging. Wanneer de bevindingen worden vertaald naar concrete maatregelen, kan de organisatie gericht werken aan verbetering van detectie, incidentrespons en technische beveiliging.