Red teaming uitvoeren zonder voldoende basisbeveiliging

Een red team probeert via een realistisch aanvalspad een vooraf bepaald doel te bereiken. Zijn er eenvoudig te misbruiken kwetsbaarheden aanwezig, dan kan de aanvaller mogelijk snel toegang verkrijgen.

Denk aan een verouderde VPN-server, ontbrekende multifactorauthenticatie op belangrijke accounts of medewerkers met onnodige lokale beheerdersrechten. Zulke kwetsbaarheden kunnen een aanvaller relatief eenvoudig toegang geven tot de organisatie.

Wanneer deze problemen al bekend zijn, kan een red teaming-test vooral bevestigen wat een reguliere pentest of nulmeting ook had aangetoond. Je krijgt dan minder inzicht in de effectiviteit van andere beveiligingsmaatregelen, zoals netwerksegmentatie, detectie en incidentrespons.

Red teaming wordt interessanter wanneer de belangrijkste technische kwetsbaarheden zijn aangepakt en je wilt weten welke aanvalsmogelijkheden daarna overblijven.

Red teaming kiezen terwijl je een kwetsbaarhedenonderzoek nodig hebt

Een pentest en een red teaming-test beantwoorden verschillende beveiligingsvragen. Daarom is het belangrijk om vooraf te bepalen welk resultaat je verwacht.

Een pentest richt zich op het vinden en aantonen van kwetsbaarheden binnen een afgebakend onderdeel van de IT-omgeving, zoals een webapplicatie, netwerksegment of infrastructuur.

Een red team werkt vanuit een specifiek doel. Dat kan bijvoorbeeld toegang verkrijgen tot een productieomgeving of vertrouwelijke klantgegevens zijn. Het team probeert dit doel te bereiken via aanvalstechnieken die passen bij het dreigingsbeeld van de organisatie.

Een red team onderzoekt doorgaans alleen kwetsbaarheden en aanvalspaden die relevant zijn voor het afgesproken doel. Het eindrapport is daardoor geen volledige inventarisatie van alle beveiligingsproblemen.

Verwacht je een uitgebreide lijst met technische kwetsbaarheden, dan past een pentest beter bij je vraag. Wil je juist onderzoeken hoe verschillende zwakke plekken kunnen worden gecombineerd en hoe je verdediging daarop reageert, dan is een red teaming assessment een passende vervolgstap.

Red teaming uitvoeren zonder actieve monitoring en incidentrespons

Een belangrijk onderdeel van red teaming is beoordelen of de organisatie een aanval herkent en adequaat reageert.

Tijdens de test wordt onderzocht of verdachte activiteiten worden gedetecteerd, hoe snel een beveiligingsmelding wordt opgevolgd en welke maatregelen worden genomen om verdere toegang te voorkomen.

Denk aan een aanvaller die toegang krijgt tot een gebruikersaccount en vervolgens probeert andere systemen te bereiken. Worden die activiteiten opgemerkt? Onderzoekt iemand de melding? En wordt het account op tijd geblokkeerd?

Wanneer je organisatie geen actieve beveiligingsmonitoring heeft, blijft een belangrijk deel van deze vragen onbeantwoord. Als loggegevens wel worden opgeslagen maar niemand ze onderzoekt, weet je vooraf al dat detectie en opvolging onvoldoende zijn ingericht.

Red teaming kan worden uitgevoerd met een intern beveiligingsteam of een extern SOC. Voor beide situaties geldt dat de verdedigers tijdens een traditionele test doorgaans niet op de hoogte zijn van het exacte aanvalsscenario.

Maak vooraf duidelijke afspraken over wie de test begeleidt, wie op de hoogte is en hoe wordt ingegrepen wanneer de veiligheid of bedrijfscontinuïteit in gevaar komt. Zo blijft de oefening realistisch en gecontroleerd.

Te laat beginnen met verplichte red teaming onder DORA

Voor de meeste organisaties is red teaming een vrijwillige keuze. Voor bepaalde financiële instellingen gelden onder de Europese Digital Operational Resilience Act, DORA, specifieke verplichtingen.

Sinds 17 januari 2025 is DORA van toepassing. Financiële instellingen die door de bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Deze tests simuleren realistische cyberaanvallen op kritieke of belangrijke functies en de ondersteunende productiesystemen. Daarbij wordt gebruikgemaakt van het TIBER-EU-raamwerk.

De Nederlandsche Bank, DNB, heeft een rol bij de aanwijzing en begeleiding van instellingen die onder haar toezicht vallen.

Een TLPT vraagt om voorbereiding. Er moeten afspraken worden gemaakt over de scope, betrokken partijen, kritieke functies, veiligheid en uitvoering. Wanneer organisaties pas kort voor een verplichte test beginnen, blijft minder tijd over om deze onderdelen zorgvuldig in te richten.

Het is daarom verstandig om vroegtijdig vast te stellen welke verplichtingen voor jouw organisatie gelden en welke voorbereidingen nodig zijn.

Naast TIBER ontwikkelde DNB het Advanced Red Teaming-raamwerk, ART. Dit modulaire raamwerk maakt het mogelijk om de omvang en frequentie van een test af te stemmen op het beveiligingsniveau en de leerdoelen van een organisatie.

Ook organisaties die niet verplicht zijn een TLPT uit te voeren, kunnen onderdelen van deze raamwerken gebruiken om hun digitale weerbaarheid gestructureerd te testen.

Red teaming behandelen als een examen in plaats van een leermoment

Red teaming is bedoeld om inzicht te krijgen in de sterke en zwakke punten van de beveiliging. Toch wordt een test soms benaderd als een examen waarvoor de organisatie moet slagen.

Dat uitgangspunt kan de resultaten beïnvloeden. Wanneer de scope te beperkt wordt gemaakt of medewerkers vooraf uitgebreide informatie krijgen over het aanvalsscenario, ontstaat geen representatief beeld van de normale beveiligingssituatie.

Ook bij TIBER- en ART-testen staat leren centraal. De Nederlandsche Bank benadrukt dat deze tests niet bedoeld zijn als een beoordeling waarvoor een organisatie kan slagen of zakken.

Het is daarom belangrijk om vooraf concrete leerdoelen vast te stellen. Wil je weten of het SOC verdachte netwerkactiviteiten detecteert? Of wil je onderzoeken of een aanvaller via een leveranciersaccount toegang tot kritieke systemen kan krijgen?

Het eindrapport moet vervolgens duidelijk maken hoe de aanval verliep, op welke momenten de verdediging reageerde en welke verbetermaatregelen nodig zijn.

De waarde van red teaming wordt uiteindelijk bepaald door wat je met de resultaten doet. Concrete verbetermaatregelen, duidelijke verantwoordelijkheden en opvolging zijn belangrijker dan een positief rapportcijfer.

Alleen technische kwetsbaarheden testen en menselijke risico's uitsluiten

Cyberaanvallen richten zich niet uitsluitend op technische kwetsbaarheden. Aanvallers kunnen ook medewerkers misleiden, misbruik maken van toegangsprocedures of proberen fysieke toegang tot een locatie te verkrijgen.

Red teaming onderzoekt daarom de samenhang tussen mensen, processen en technologie. Afhankelijk van het dreigingsbeeld kunnen social engineering, phishing en fysieke beveiliging onderdeel zijn van de test.

Wanneer deze onderdelen zonder inhoudelijke afweging buiten de scope blijven, kan een belangrijk deel van het aanvalsoppervlak ongetest blijven.

Denk aan een aanvaller die zich voordoet als externe monteur en probeert toegang te krijgen tot een technische ruimte. Of aan een phishingmail waarmee een medewerker wordt verleid inloggegevens af te geven.

Zulke scenario's kunnen aantonen of procedures voor toegangscontrole, identiteitsverificatie en beveiligingsbewustzijn effectief zijn.

Het meenemen van medewerkers en fysieke locaties vraagt wel om duidelijke afspraken. Denk aan toestemming, privacy, veiligheid en de grenzen waarbinnen testers mogen handelen. Afhankelijk van de test kunnen ook interne vertegenwoordigers of andere betrokken partijen moeten worden geraadpleegd.

Wanneer je organisatie nog weinig ervaring heeft met het testen van menselijke en fysieke beveiliging, kan een afzonderlijke phishingsimulatie of een mystery guest onderzoek een geschikte eerste stap zijn.

Hoe weet je of jouw organisatie klaar is voor red teaming?

Red teaming levert vooral nieuwe inzichten op wanneer de belangrijkste onderdelen van je beveiliging al zijn ingericht. Met onderstaande aandachtspunten kun je beoordelen of jouw organisatie toe is aan deze vorm van cybersecuritytesting.

Herken je de meeste van deze punten, dan kan red teaming een logische vervolgstap zijn. De test helpt je onderzoeken hoe de bestaande beveiligingsmaatregelen reageren op een doelgerichte aanval.

Ontbreken meerdere onderdelen, dan is het verstandig eerst te investeren in basisbeveiliging, kwetsbaarhedenbeheer of monitoring. Daarmee vergroot je de kans dat een latere red teaming-test nieuwe informatie oplevert.

Welke cybersecuritytest past bij jouw organisatie?

De keuze tussen een pentest, security assessment en red teaming hangt af van je huidige beveiligingsniveau en de vragen die je wilt beantwoorden.

Wil je weten welke kwetsbaarheden aanwezig zijn in een specifieke omgeving, dan is een pentest doorgaans geschikt. Heb je onvoldoende zicht op de algemene beveiligingssituatie, dan kan een baseline assessment helpen om de belangrijkste risico's vast te stellen.

Wanneer je beveiligingsmaatregelen, monitoring en incidentrespons hebt ingericht, kun je met red teaming onderzoeken of deze onderdelen gezamenlijk bestand zijn tegen een realistische cyberaanval.

Defenced ondersteunt organisaties bij het in kaart brengen van cyberrisico's, het onderzoeken van kwetsbaarheden en het verbeteren van hun digitale weerbaarheid. Vanuit die inzichten kan worden bepaald welke test aansluit op de risico's, kritieke bedrijfsprocessen en beveiligingsdoelen van jouw organisatie.