Hoe verloopt een red team assessment?
Een red team assessment verloopt in drie hoofdfasen. Eerst worden de doelstellingen, aanvalsscenario's en spelregels bepaald. Vervolgens voeren ethische hackers een gecontroleerde cyberaanval uit. Tot slot wordt onderzocht hoe de organisatie reageerde en welke beveiligingsmaatregelen verbeterd moeten worden.
Tijdens een red teaming-test probeert een aanvallend team kritieke systemen, gegevens of bedrijfsprocessen te bereiken. Daarbij worden aanvalstechnieken gebruikt die aansluiten op het dreigingsbeeld van de organisatie. De verdedigers weten doorgaans niet wanneer en hoe de aanval plaatsvindt.
Het doel is niet alleen om kwetsbaarheden te vinden, maar vooral om te beoordelen of een organisatie een gerichte cyberaanval tijdig detecteert en stopt. Hieronder lees je hoe een red team assessment wordt voorbereid, uitgevoerd en afgerond.
Wat heb je nodig voor een red team assessment?
Een goed uitgevoerd red team assessment vraagt voorbereiding en betrokkenheid vanuit de organisatie. Niet alleen de externe securityspecialisten spelen een rol. Ook management, IT en informatiebeveiliging hebben verantwoordelijkheden.
Voor een effectieve test zijn de volgende onderdelen belangrijk.
- Een opdrachtgever met mandaat. Iemand die de test ondersteunt en beslissingen kan nemen wanneer dat nodig is.
- Een klein control team. Een beperkte groep die op de hoogte is van de test en de uitvoering bewaakt.
- Actieve beveiligingsmonitoring. Een intern securityteam, een Security Operations Center of een combinatie daarvan.
- Capaciteit voor opvolging. Tijd en verantwoordelijkheid om de resultaten te evalueren en verbetermaatregelen door te voeren.
Wanneer deze onderdelen aanwezig zijn, kan het assessment worden ingericht rond de belangrijkste beveiligingsrisico's en bedrijfsprocessen.
Hoe wordt een red team assessment uitgevoerd?
Een red team assessment bestaat uit meerdere stappen. De precieze uitvoering hangt af van de organisatie, het dreigingsbeeld en de afgesproken scope. Onderstaande stappen beschrijven het verloop van voorbereiding tot evaluatie.
Kritieke bedrijfsprocessen en aanvalsdoelen bepalen
Een red team assessment begint met het vaststellen van de systemen, gegevens en bedrijfsprocessen die essentieel zijn voor de organisatie.
Dit worden ook wel de kroonjuwelen genoemd. Voor een productiebedrijf kan dat de beschikbaarheid van een productielijn zijn. Bij een zorginstelling gaat het bijvoorbeeld om patiëntgegevens of kritieke zorgsystemen. Voor een logistieke organisatie kan het planningssysteem een belangrijk doelwit vormen.
Deze bedrijfskritieke onderdelen worden vertaald naar concrete aanvalsdoelen. Het red team krijgt bijvoorbeeld de opdracht om toegang tot een afgeschermde database te verkrijgen of aan te tonen dat het rechten kan verkrijgen waarmee een kritisch systeem beïnvloed kan worden.
Vooraf wordt bepaald hoe het bereiken van zo'n doel veilig kan worden aangetoond. Hiervoor kunnen specifieke bewijsbestanden of andere controleerbare doelstellingen worden gebruikt, ook wel flags genoemd.
Waarom een duidelijke scope belangrijk is
Een te brede scope maakt het moeilijk om resultaten te beoordelen. Een te beperkte scope kan juist belangrijke aanvalspaden uitsluiten. De doelstellingen moeten daarom concreet, relevant en toetsbaar zijn.
Het control team samenstellen en de spelregels vastleggen
Bij een red teaming-test zijn doorgaans drie teams betrokken. Het Red Team voert de aanval uit, het Blue Team verdedigt de organisatie en het Control Team organiseert en bewaakt de test.
Red Team
Ethische hackers die de gesimuleerde cyberaanval uitvoeren.
Blue Team
De verdedigers, zoals interne securitymedewerkers en het SOC.
Control Team
Een kleine groep die de test begeleidt, de veiligheid bewaakt en indien nodig ingrijpt.
Het Control Team legt vooraf vast welke aanvalstechnieken zijn toegestaan. Daarbij worden afspraken gemaakt over bijvoorbeeld phishing, fysieke toegang, het benaderen van medewerkers en het testen van productiesystemen.
Ook wordt bepaald welke systemen buiten de scope vallen en welke handelingen niet zijn toegestaan. Het doel is om realistische aanvallen te simuleren zonder de bedrijfscontinuïteit onnodig in gevaar te brengen.
Daarnaast worden escalatieprocedures en contactpersonen vastgelegd. Wanneer zich een onverwachte situatie voordoet, moet duidelijk zijn wie bereikbaar is en wie bevoegd is de test te onderbreken.
Het Control Team blijft bewust klein. Wanneer te veel medewerkers vooraf weten dat een red teaming-test plaatsvindt, kan dat hun gedrag beïnvloeden en de resultaten minder representatief maken.
Een dreigingsanalyse en realistische aanvalsscenario's opstellen
Een red team assessment wordt gebaseerd op dreigingen die relevant zijn voor de organisatie. Dit onderzoek wordt threat intelligence genoemd.
Bij de dreigingsanalyse wordt onderzocht welke typen aanvallers zich op de organisatie of sector kunnen richten, welke doelstellingen zij hebben en welke technieken zij gebruiken.
Een productiebedrijf met operationele technologie, OT, heeft bijvoorbeeld een ander dreigingsbeeld dan een zorginstelling met grote hoeveelheden persoonsgegevens.
Op basis van de dreigingsinformatie worden aanvalsscenario's opgesteld. Denk aan het misbruiken van een leveranciersaccount, een gerichte phishingaanval of toegang verkrijgen via een kwetsbaar extern systeem.
Binnen het TIBER-raamwerk wordt hiervoor gespecialiseerde dreigingsinformatie gebruikt en zijn de verantwoordelijkheden voor threat intelligence en red teaming gescheiden.
Bij een regulier assessment kan de dreigingsanalyse beperkter worden ingericht. Het belangrijkste is dat de gekozen scenario's aansluiten op de risico's van de organisatie en de doelen van de test.
De digitale omgeving verkennen tijdens reconnaissance
Na de voorbereiding begint het red team met het verkennen van de organisatie. Deze fase wordt reconnaissance genoemd.
De ethische hackers verzamelen informatie die een externe aanvaller ook zou kunnen vinden. Denk aan publiek toegankelijke systemen, subdomeinen, gebruikte technologieën en informatie over medewerkers.
Ook openbare bronnen, zoals vacatureteksten of technische informatie op websites, kunnen aanwijzingen geven over de IT-omgeving.
De verzamelde informatie wordt gebruikt om mogelijke aanvalspaden te identificeren en de uitvoering van het scenario voor te bereiden.
Een zorgvuldige reconnaissance-fase helpt het red team om gericht te werk te gaan. Hierdoor worden aanvalstechnieken gekozen die aansluiten op de organisatie in plaats van willekeurige systemen te onderzoeken.
Proberen toegang te krijgen tot de organisatie
Tijdens de volgende fase probeert het red team een eerste toegangspunt binnen de organisatie te verkrijgen. Dit wordt ook wel de in-fase genoemd.
Afhankelijk van het scenario kan dit gebeuren via een phishingmail, een kwetsbare externe dienst of misbruik van een gebruikersaccount.
Ook fysieke toegang kan onderdeel zijn van de test. Een mystery guest kan bijvoorbeeld proberen een bedrijfslocatie te betreden door zich voor te doen als een externe medewerker of leverancier.
Alle aanvalstechnieken worden uitgevoerd binnen de vooraf afgesproken grenzen. De test moet aantonen welke toegang mogelijk is zonder onnodige verstoring of schade te veroorzaken.
Wanneer een bepaalde aanvalstechniek niet werkt, kan het red team een andere route onderzoeken. Zo wordt beoordeeld welke mogelijkheden een realistische aanvaller heeft om de organisatie binnen te komen.
Binnen het netwerk bewegen en kritieke systemen bereiken
Wanneer het red team toegang heeft verkregen, onderzoekt het welke vervolgstappen mogelijk zijn. Deze fase wordt de through-fase genoemd.
Het team probeert bijvoorbeeld aanvullende gebruikersrechten te verkrijgen, andere systemen te bereiken of toegang te krijgen tot afgeschermde onderdelen van het netwerk.
Daarbij wordt ook duidelijk hoe effectief bestaande beveiligingsmaatregelen zijn. Denk aan netwerksegmentatie, toegangsbeveiliging en detectieregels.
Een voorbeeld is een regulier gebruikersaccount dat onverwacht beheerdersrechten verkrijgt. Wordt deze wijziging opgemerkt? Onderzoekt het SOC de activiteiten? En wordt verdere toegang voorkomen?
Wat wordt er tijdens deze fase getest?
Het red team onderzoekt niet alleen welke systemen bereikbaar zijn. Ook wordt duidelijk of beveiligingsmeldingen worden herkend, hoe snel de verdedigers reageren en welke maatregelen verdere toegang voorkomen.
Het Control Team bewaakt de uitvoering en kan ingrijpen wanneer dat nodig is. Tegelijk moet het Blue Team de ruimte krijgen om zelfstandig op verdachte activiteiten te reageren, zodat de effectiviteit van de incidentrespons kan worden beoordeeld.
Aantonen of het aanvalsdoel is bereikt
In de laatste fase van de actieve aanval probeert het red team het vooraf bepaalde doel te bereiken. Deze fase wordt ook wel de out-fase genoemd.
Dat kan bijvoorbeeld het aantonen van toegang tot een vertrouwelijke database of directiemailbox zijn.
Het bewijs wordt gecontroleerd vastgelegd. Het doel is om aan te tonen wat een aanvaller kan bereiken, zonder daadwerkelijk gevoelige gegevens te verspreiden of bedrijfssystemen te beschadigen.
Tijdens de volledige test registreert het red team welke activiteiten zijn uitgevoerd en op welke momenten deze plaatsvonden.
Die tijdlijn vormt een belangrijk onderdeel van de evaluatie. Hiermee kunnen de acties van het red team worden vergeleken met de beveiligingsmeldingen en reacties van de organisatie.
De aanval evalueren met replay en purple teaming
Na de actieve test worden de resultaten gedeeld met de betrokken beveiligingsteams.
Tijdens een gezamenlijke replay wordt het aanvalsscenario stap voor stap doorgenomen. Het Red Team laat zien welke activiteiten zijn uitgevoerd en het Blue Team onderzoekt welke signalen daarbij werden geregistreerd.
Hierdoor ontstaat inzicht in de momenten waarop een aanval werd opgemerkt, welke meldingen onvoldoende aandacht kregen en hoe effectief incidentprocedures functioneerden.
Aanvullend kan purple teaming worden ingezet. Daarbij werken het Red Team en Blue Team samen om aanvalstechnieken en detectiemogelijkheden verder te onderzoeken.
Bepaalde technieken kunnen onder gecontroleerde omstandigheden opnieuw worden uitgevoerd, zodat de verdedigers kunnen beoordelen of aangepaste detectieregels en beveiligingsmaatregelen werken.
Waarom is de gezamenlijke evaluatie belangrijk?
De evaluatie is bedoeld om beveiligingsprocessen te verbeteren, niet om individuele medewerkers te beoordelen. Door aanvallers en verdedigers gezamenlijk naar de resultaten te laten kijken, ontstaat een duidelijker beeld van de verbeterpunten.
Binnen formele TLPT-trajecten onder DORA gelden specifieke vereisten voor de replay en purple teaming. Bij reguliere red team assessments wordt de omvang van deze activiteiten afgestemd op de opdracht.
Bevindingen vertalen naar een verbeterplan
Na de evaluatie worden de bevindingen vertaald naar concrete verbetermaatregelen.
Het rapport beschrijft welke aanvalspaden succesvol waren, welke beveiligingsmaatregelen onvoldoende functioneerden en hoe de organisatie reageerde.
Vervolgens wordt bepaald welke maatregelen prioriteit hebben. Sommige verbeteringen kunnen relatief snel worden doorgevoerd, zoals het aanpassen van toegangsrechten of detectieregels.
Andere bevindingen vragen een structurele aanpassing van de beveiligingsarchitectuur, incidentrespons of het securitybeleid.
Binnen Security advisory kunnen deze verbeterpunten worden vertaald naar een roadmap met prioriteiten, verantwoordelijken en vervolgstappen.
Wanneer belangrijke kwetsbaarheden zijn opgelost, kan een gerichte hertest helpen om vast te stellen of de genomen maatregelen effectief zijn.
Wat gebeurt er als het red team geen toegang krijgt?
Het kan voorkomen dat het red team tijdens de afgesproken testperiode geen toegang tot de organisatie krijgt.
Dat kan betekenen dat bepaalde beveiligingsmaatregelen effectief zijn. Tegelijk blijft dan onduidelijk wat er zou gebeuren wanneer een aanvaller op een andere manier wel toegang zou verkrijgen.
Daarom kan vooraf worden afgesproken dat het red team onder bepaalde omstandigheden toegang krijgt tot een beperkte testpositie. Dit wordt ook wel een leg-up genoemd.
Het red team kan bijvoorbeeld een regulier gebruikersaccount of een gecontroleerde werkplek krijgen. Vanuit die positie wordt onderzocht welke verdere toegang mogelijk is en of beveiligingsmaatregelen verdachte activiteiten herkennen.
Zo kunnen ook de latere aanvalsfases en de incidentrespons worden getest wanneer de oorspronkelijke toegangspogingen niet succesvol waren.
Wanneer is een red team assessment nog niet geschikt?
Een red team assessment levert vooral nieuwe inzichten op wanneer de basisbeveiliging voldoende is ingericht.
Wanneer er nog veel kritieke kwetsbaarheden openstaan of beveiligingsmeldingen niet actief worden opgevolgd, kan een andere vorm van onderzoek een logischere eerste stap zijn.
Een penetratietest kan helpen om technische kwetsbaarheden in specifieke systemen of netwerken te identificeren. Een security assessment of nulmeting geeft inzicht in het algemene beveiligingsniveau van de organisatie.
Ontbreekt actieve beveiligingsmonitoring, dan is het verstandig om eerst te bepalen hoe verdachte gebeurtenissen worden gedetecteerd en onderzocht.
Zodra deze basis beter is ingericht, kan red teaming worden gebruikt om te onderzoeken hoe de afzonderlijke beveiligingsmaatregelen gezamenlijk functioneren tijdens een realistische aanval.
Hoe lang duurt een red team assessment?
De doorlooptijd van een red team assessment hangt af van de omvang van de organisatie, het aantal aanvalsscenario's, de complexiteit van de omgeving en de gekozen testmethodiek.
Een beperkt assessment met één afgebakend doel heeft doorgaans minder voorbereiding en uitvoeringstijd nodig dan een uitgebreid traject waarbij meerdere systemen, locaties en aanvalstechnieken worden onderzocht.
De test bestaat niet alleen uit de actieve aanval. Ook de voorbereiding, dreigingsanalyse, rapportage en gezamenlijke evaluatie maken deel uit van de doorlooptijd.
Voor formele TIBER-EU-tests gelden uitgebreidere eisen en minimale tijdsperioden. Binnen dat raamwerk duurt de actieve red team-fase minimaal twaalf weken.
Bij een regulier red team assessment worden de tijdvakken vooraf afgestemd op de doelstellingen en de scope. Daardoor is duidelijk wanneer de verschillende onderdelen worden uitgevoerd en welke inzet van de organisatie wordt verwacht.
Wat levert een red team assessment jouw organisatie op?
Een red team assessment maakt inzichtelijk hoe een gerichte aanvaller kritieke systemen en bedrijfsprocessen kan bereiken en hoe de organisatie daarop reageert.
De resultaten laten zien welke beveiligingsmaatregelen effectief zijn, welke aanvalspaden risico's vormen en waar detectie en incidentrespons verbeterd kunnen worden.
Door de bevindingen om te zetten naar concrete acties ontstaat een basis om de cyberweerbaarheid verder te versterken.
Red team assessment bij Defenced
Defenced ondersteunt organisaties bij het onderzoeken van cyberrisico's, het testen van beveiligingsmaatregelen en het verbeteren van hun digitale weerbaarheid.
Een professioneel uitgevoerd red team assessment maakt duidelijk welke aanvalspaden relevant zijn voor jouw organisatie en hoe effectief de bestaande verdediging daarop reageert. Door vooraf doelstellingen, scope en veiligheidsafspraken vast te leggen, kan het onderzoek worden afgestemd op de kritieke bedrijfsprocessen en de gewenste resultaten.