1. Red teaming behandelen als een examen

Een red teaming-test wordt soms benaderd als een beoordeling waarvoor de organisatie moet slagen. Wanneer het Red Team toegang krijgt tot kritieke systemen, wordt dat gezien als een mislukking. Lukt het niet om binnen te komen, dan wordt geconcludeerd dat de beveiliging voldoende is.

Die benadering gaat voorbij aan het belangrijkste doel van red teaming: inzicht krijgen in de effectiviteit van de bestaande beveiliging.

De Nederlandsche Bank benadrukt binnen het TIBER-raamwerk dat organisaties niet kunnen slagen of zakken voor een red teaming-test. Het doel is om sterke en zwakke punten zichtbaar te maken en daarvan te leren.

Wanneer een test als examen wordt behandeld, kan dat het gedrag van medewerkers beïnvloeden. Beheerders kunnen bijvoorbeeld vlak voor de test extra maatregelen nemen omdat ze weten dat er een oefening aankomt. Daarmee wordt niet meer onderzocht hoe de organisatie onder normale omstandigheden reageert.

Hoe voorkom je dat red teaming een beoordeling wordt?

Leg vooraf vast wat je wilt leren. Denk aan de snelheid waarmee een aanval wordt gedetecteerd, hoe beveiligingsmeldingen worden opgevolgd en welke maatregelen verdere toegang voorkomen.

Maak ook aan management en betrokken securitymedewerkers duidelijk dat een succesvol aanvalsscenario waardevolle informatie kan opleveren.

Door de test als leermoment te behandelen, ontstaat meer ruimte om tekortkomingen bespreekbaar te maken en gerichte verbetermaatregelen te formuleren.

2. Red teaming uitvoeren zonder voldoende basisbeveiliging

Red teaming is vooral waardevol wanneer de belangrijkste technische beveiligingsmaatregelen al zijn ingericht. De test onderzoekt namelijk niet alleen kwetsbaarheden, maar ook hoe effectief de organisatie een gerichte aanval detecteert en tegenhoudt.

Wanneer belangrijke beveiligingsmaatregelen ontbreken, kan een aanvaller relatief eenvoudig toegang verkrijgen.

Denk aan systemen zonder actuele beveiligingsupdates, standaardwachtwoorden, onvoldoende toegangsbeveiliging of een netwerk waarin systemen nauwelijks van elkaar zijn gescheiden.

Dergelijke problemen kunnen vaak ook met een reguliere penetratietest of beveiligingsassessment worden geïdentificeerd.

Als het red team via een bekende kwetsbaarheid snel zijn doel bereikt, kan de test minder inzicht opleveren in de werking van andere beveiligingsmaatregelen, zoals netwerksegmentatie, monitoring en incidentrespons.

Wanneer eerst een pentest uitvoeren?

Laat eerst de belangrijkste technische kwetsbaarheden onderzoeken en oplossen wanneer je nog onvoldoende inzicht hebt in de beveiliging van je IT-omgeving.

Een penetratietest kan helpen om kwetsbaarheden in specifieke systemen, applicaties of netwerken aan te tonen. Een baseline assessment geeft breder inzicht in het bestaande beveiligingsniveau.

Wanneer kritieke kwetsbaarheden worden aangepakt en er actieve beveiligingsmonitoring aanwezig is, kan red teaming helpen beoordelen of de totale verdediging effectief is tegen een realistische aanval.

3. Geen duidelijke aanvalsdoelen en realistische scenario's bepalen

Een red teaming-test zonder concreet doel levert vaak onvoldoende inzicht in de risico's die voor de organisatie het belangrijkst zijn.

Wanneer het Red Team alleen de opdracht krijgt om ergens binnen te komen, ontbreekt de koppeling met kritieke bedrijfsprocessen. Daardoor wordt mogelijk een aanvalspad onderzocht dat weinig zegt over de gevolgen van een daadwerkelijke cyberaanval.

Een goede test begint daarom met het vaststellen van de belangrijkste systemen, gegevens en bedrijfsprocessen. Deze onderdelen worden ook wel de kroonjuwelen van de organisatie genoemd.

Voor een productiebedrijf kan dat het OT-netwerk zijn dat de productielijnen ondersteunt. Bij een zorginstelling gaat het bijvoorbeeld om patiëntgegevens of kritieke zorgsystemen.

Vervolgens wordt bepaald welke aanvallers en aanvalstechnieken relevant zijn. Hiervoor wordt gebruikgemaakt van threat intelligence: informatie over dreigingen, aanvallers en hun werkwijzen.

Hoe formuleer je een bruikbaar aanvalsscenario?

Vertaal een belangrijk bedrijfsrisico naar een concreet en toetsbaar doel. Bijvoorbeeld de vraag of een aanvaller via een gecompromitteerd leveranciersaccount toegang kan verkrijgen tot systemen die de productie ondersteunen.

Het red team onderzoekt vervolgens welke stappen nodig zijn om dit doel te bereiken en of beveiligingsmaatregelen de aanval herkennen en stoppen.

Een duidelijke doelstelling maakt het eenvoudiger om de scope te bepalen, resultaten te beoordelen en verbetermaatregelen te prioriteren.

4. Onvoldoende afspraken maken over geheimhouding en escalatie

Bij een traditionele red teaming-test weet het operationele beveiligingsteam doorgaans niet wanneer en hoe de aanval plaatsvindt.

Hierdoor kan worden onderzocht of verdachte activiteiten onder normale omstandigheden worden herkend en opgevolgd.

Wanneer te veel medewerkers vooraf worden geïnformeerd, kan de test minder representatief worden. Beheerders of securitymedewerkers kunnen hun gedrag aanpassen omdat ze weten dat een aanvalssimulatie plaatsvindt.

Tegelijk mag geheimhouding niet betekenen dat niemand bevoegd is om in te grijpen wanneer zich een onverwachte situatie voordoet.

Een beveiligingsmelding kan bijvoorbeeld worden opgeschaald terwijl onduidelijk is of deze verband houdt met de oefening. Ook kan een tester tijdens een fysieke toegangstest worden aangesproken door een beveiligingsmedewerker.

Zonder duidelijke afspraken kunnen zulke situaties leiden tot onnodige verstoring of verwarring.

Welke afspraken moet het white team maken?

Stel een klein White Team of Control Team samen dat op de hoogte is van de test en voldoende beslissingsbevoegdheid heeft.

Dit team legt vast wie tijdens de test bereikbaar is, wanneer de oefening onderbroken moet worden en hoe een mogelijk werkelijk beveiligingsincident wordt afgehandeld.

Ook moet kunnen worden vastgesteld of activiteiten daadwerkelijk onderdeel zijn van de geautoriseerde test. Bij fysieke beveiligingstesten kan een schriftelijke autorisatie hiervoor noodzakelijk zijn.

Door geheimhouding en veiligheid zorgvuldig te combineren, blijft de aanvalssimulatie realistisch zonder dat de organisatie onnodige risico's loopt.

5. Menselijke en fysieke beveiligingsrisico's buiten de scope houden

Een red teaming-test richt zich niet uitsluitend op technische kwetsbaarheden. Ook menselijk gedrag en fysieke beveiliging kunnen een rol spelen bij een realistische cyberaanval.

Wanneer deze onderdelen zonder duidelijke risicoafweging buiten de scope worden gehouden, kan een belangrijk deel van het aanvalsoppervlak ongetest blijven.

Een aanvaller kan bijvoorbeeld proberen medewerkers te misleiden met een gerichte phishingmail. Ook kan iemand proberen een bedrijfslocatie binnen te komen door zich voor te doen als een leverancier of externe medewerker.

Wanneer een test uitsluitend naar netwerken en applicaties kijkt, wordt niet duidelijk of medewerkers verdachte situaties herkennen en of toegangsprocedures effectief zijn.

Wanneer neem je phishing en fysieke toegang mee?

Social engineering en fysieke toegang moeten onderdeel zijn van een test wanneer deze aanvalstechnieken aansluiten op het dreigingsbeeld van de organisatie.

Een phishingsimulatie kan inzicht geven in de manier waarop medewerkers omgaan met verdachte berichten. Een mystery guest onderzoek kan aantonen of bezoekers voldoende worden gecontroleerd voordat zij toegang krijgen tot afgeschermde locaties.

Maak vooraf duidelijke afspraken over toestemming, privacy en de grenzen van de test. Wanneer medewerkers onderdeel zijn van het scenario, moet zorgvuldig worden omgegaan met individuele resultaten.

Door relevante menselijke, fysieke en technische aanvalsmogelijkheden te combineren, ontstaat een realistischer beeld van de totale cyberweerbaarheid.

6. Bevindingen uit red teaming niet opvolgen

Een red teaming assessment heeft beperkte waarde wanneer de bevindingen na de presentatie niet worden omgezet naar concrete verbetermaatregelen.

Het rapport kan bijvoorbeeld aantonen dat een aanvaller via een gebruikersaccount aanvullende rechten kon verkrijgen, dat beveiligingsmeldingen niet werden onderzocht of dat bepaalde netwerksegmenten onvoldoende gescheiden zijn.

Wanneer deze problemen niet worden aangepakt, kunnen dezelfde aanvalspaden bij een volgende test opnieuw succesvol zijn.

Daarom begint na de actieve aanval een belangrijk onderdeel van het traject: het analyseren van de resultaten en het verbeteren van de bestaande beveiliging.

Van red team rapport naar concrete verbetermaatregelen

Bespreek de aanval na afloop met het Red Team en Blue Team. Tijdens een gezamenlijke replay wordt de volledige aanvalsketen doorgenomen en vergeleken met de beveiligingsmeldingen en reacties van de verdedigers.

Hierdoor wordt duidelijk waar de aanval had kunnen worden herkend, welke logging ontbrak en welke incidentprocedures verbeterd moeten worden.

Vertaal de bevindingen vervolgens naar een verbeterplan met duidelijke prioriteiten, verantwoordelijken en termijnen.

Een gerichte hertest of pentest kan helpen om vast te stellen of belangrijke kwetsbaarheden daadwerkelijk zijn opgelost.

Ook periodiek beveiligingsonderzoek blijft belangrijk. Wanneer de IT-omgeving verandert, kunnen nieuwe kwetsbaarheden ontstaan en kunnen bestaande beveiligingsmaatregelen minder effectief worden.

Binnen de financiële sector gelden aanvullende eisen. Onder DORA moeten aangewezen financiële instellingen in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren. Dit betekent niet dat organisaties tussen deze tests geen andere beveiligingsonderzoeken hoeven uit te voeren.

Hoe voorkom je deze fouten bij de voorbereiding van red teaming?

De meeste fouten bij red teaming ontstaan doordat doelstellingen, verantwoordelijkheden of verwachtingen onvoldoende duidelijk zijn.

Begin daarom met het vaststellen van de belangrijkste bedrijfsrisico's. Welke systemen en processen mogen niet worden verstoord? Welke gegevens moeten beschermd blijven? En wat wil je leren over de effectiviteit van je verdediging?

Controleer vervolgens of de basisbeveiliging voldoende is ingericht. Wanneer kritieke kwetsbaarheden nog openstaan of monitoring ontbreekt, kan een pentest of security assessment meer directe verbeterpunten opleveren.

Maak daarnaast duidelijke afspraken over de scope, toegestane aanvalstechnieken, geheimhouding en escalatieprocedures. Hiermee kan het red team realistische scenario's uitvoeren binnen gecontroleerde grenzen.

Reserveer tot slot tijd en budget voor de evaluatie en het uitvoeren van verbetermaatregelen. Een red teaming-test is niet afgerond zodra het rapport is opgeleverd. De resultaten moeten daadwerkelijk worden gebruikt om de cyberweerbaarheid te versterken.

Door deze onderdelen vooraf goed te organiseren, vergroot je de kans dat de test relevante inzichten oplevert en dat je organisatie daar ook op kan handelen.

Welke vervolgstap past bij jouw organisatie?

Red teaming is vooral geschikt voor organisaties die de belangrijkste technische beveiligingsmaatregelen al hebben ingericht en willen onderzoeken hoe effectief hun verdediging reageert op een gerichte aanval.

Wanneer nog onvoldoende inzicht bestaat in de bestaande kwetsbaarheden, kan een penetratietest of baseline assessment een geschiktere eerste stap zijn.

Beschikt je organisatie al over actieve beveiligingsmonitoring en incidentrespons, dan kan red teaming helpen om te beoordelen hoe deze onderdelen gezamenlijk functioneren.

Defenced ondersteunt organisaties met het onderzoeken van cyberrisico's, het testen van beveiligingsmaatregelen en het verbeteren van hun digitale weerbaarheid.