Wat is red teaming en hoe werkt het?
Red teaming is een geavanceerde cybersecuritytest waarbij ethische hackers een realistische cyberaanval op een organisatie simuleren. Het doel is om te onderzoeken of aanvallers kritieke systemen, gegevens of bedrijfsprocessen kunnen bereiken en of de organisatie deze aanval tijdig detecteert en stopt.
Anders dan bij een reguliere penetratietest kijkt red teaming niet alleen naar technische kwetsbaarheden. Ook medewerkers, beveiligingsprocessen, fysieke toegang en de reactie van het securityteam kunnen onderdeel zijn van de test.
Een red teaming assessment geeft daarmee inzicht in de werkelijke cyberweerbaarheid van een organisatie. Niet alleen de vraag of beveiligingsmaatregelen aanwezig zijn staat centraal, maar vooral of ze in de praktijk werken.
Wat is het verschil tussen red teaming en een pentest?
Een penetratietest, ook wel pentest genoemd, richt zich op het identificeren en aantonen van kwetsbaarheden in systemen, applicaties of netwerken. Een ethische hacker onderzoekt welke beveiligingsproblemen aanwezig zijn en in hoeverre deze misbruikt kunnen worden.
Red teaming heeft een ander uitgangspunt. Hierbij krijgt het aanvallende team een concreet doel, bijvoorbeeld toegang verkrijgen tot vertrouwelijke bedrijfsinformatie of een kritisch productiesysteem. Vervolgens onderzoekt het team hoe een realistische aanvaller dat doel zou kunnen bereiken.
Pentest
Welke kwetsbaarheden zijn aanwezig in een systeem of applicatie?
Red teaming
Kan een aanvaller kritieke bedrijfsprocessen bereiken en merkt de organisatie dat op?
Bij red teaming kunnen verschillende aanvalstechnieken worden gecombineerd. Denk aan phishing, misbruik van gebruikersaccounts, technische kwetsbaarheden en fysieke toegang tot een gebouw.
Heb je nog nooit een penetratietest laten uitvoeren of staan er veel bekende kwetsbaarheden open, dan is het verstandig om eerst die basis op orde te brengen. Red teaming levert meer op wanneer je niet alleen beveiligingsproblemen wilt vinden, maar ook wilt beoordelen hoe goed je organisatie gerichte aanvallen kan weerstaan.
Hoe verloopt een red teaming-test?
Een red teaming-test bestaat uit verschillende fasen. De precieze uitvoering hangt af van de organisatie, het dreigingsbeeld en de systemen of processen die onderzocht worden.
Kritieke bedrijfsprocessen en doelstellingen bepalen
Een red teaming-test begint met het vaststellen van de bedrijfsprocessen die beschermd moeten worden.
Voor een productiebedrijf kan dat de beschikbaarheid van een productielijn zijn. Voor een zorginstelling gaat het bijvoorbeeld om patiëntgegevens of de continuïteit van zorgsystemen. Bij een logistieke organisatie kunnen planningssystemen en leveranciersverbindingen een belangrijke rol spelen.
Deze kritieke onderdelen worden ook wel de kroonjuwelen van de organisatie genoemd.
Vooraf wordt bepaald wat het red team moet proberen te bereiken. Dat kan het verkrijgen van toegang tot een afgeschermd systeem zijn, het aantonen dat vertrouwelijke gegevens bereikbaar zijn of het verkrijgen van rechten waarmee een kritiek proces beïnvloed kan worden.
De doelstellingen moeten concreet en toetsbaar zijn. Tegelijk worden duidelijke afspraken gemaakt om ongewenste verstoringen van de bedrijfsvoering te voorkomen.
Realistische cyberdreigingen en aanvalsscenario's onderzoeken
Een goede red teaming-test is gebaseerd op dreigingen die relevant zijn voor de organisatie. Daarom wordt gekeken naar mogelijke aanvallers, hun doelstellingen en de technieken die zij gebruiken.
Een organisatie in de maakindustrie met operationele technologie, ook wel OT genoemd, heeft bijvoorbeeld een ander risicoprofiel dan een zorginstelling met grote hoeveelheden gevoelige persoonsgegevens.
Op basis van deze informatie worden aanvalsscenario's opgesteld. Een aanvaller kan bijvoorbeeld proberen toegang te krijgen via een phishingmail aan een medewerker van de financiële afdeling. Een ander scenario is het misbruiken van een leveranciersaccount of het verkrijgen van fysieke toegang tot een bedrijfslocatie.
Het belangrijkste is dat de scenario's aansluiten op het werkelijke dreigingsbeeld. Een technisch ingewikkelde aanval heeft weinig toegevoegde waarde wanneer een eenvoudiger aanvalspad veel relevanter is voor de organisatie.
De cyberaanval gecontroleerd uitvoeren
Na het bepalen van de doelstellingen en aanvalsscenario's begint het red team met de uitvoering.
De ethische hackers proberen binnen de vooraf afgesproken grenzen hun doel te bereiken. Daarbij kunnen verschillende technieken worden ingezet, afhankelijk van de toegestane scope.
Een aanval kan bijvoorbeeld beginnen met toegang tot een gebruikersaccount. Van daaruit onderzoekt het red team of verdere toegang binnen het netwerk mogelijk is en of kritieke systemen bereikbaar zijn.
Tijdens de uitvoering wordt vastgelegd welke stappen succesvol zijn, welke beveiligingsmaatregelen de aanval tegenhouden en waar mogelijkheden ontstaan om verder binnen te dringen. Het doel is niet om schade aan te richten, maar om aan te tonen wat een aanvaller onder realistische omstandigheden kan bereiken.
Detectie en reactie van het beveiligingsteam beoordelen
Een belangrijk onderdeel van red teaming is onderzoeken of de organisatie de gesimuleerde aanval detecteert.
Daarom weet het operationele beveiligingsteam doorgaans niet wanneer en hoe de aanval plaatsvindt. Zo ontstaat een realistischer beeld van het detectie- en reactievermogen.
Stel dat het red team toegang verkrijgt tot een gebruikersaccount en vervolgens afwijkende activiteiten uitvoert. Detecteert het Security Operations Center, ook wel SOC genoemd, deze activiteiten? Wordt de melding onderzocht? En worden passende maatregelen genomen voordat de aanvaller het doel bereikt?
Een organisatie kan technische kwetsbaarheden hebben en toch effectief reageren op verdachte activiteiten. Andersom kan een organisatie beschikken over uitgebreide beveiligingstechnologie zonder een aanval tijdig te herkennen. Red teaming maakt deze verschillen zichtbaar.
Bevindingen vertalen naar concrete verbetermaatregelen
Na de uitvoering worden de resultaten geanalyseerd. Daarbij gaat het niet alleen om de gebruikte aanvalstechnieken, maar ook om de vraag waarom bepaalde stappen succesvol waren en hoe de organisatie daarop reageerde.
De uitkomsten kunnen aanleiding geven tot technische verbeteringen, scherpere toegangscontroles, betere monitoring of aanpassingen in incidentresponsprocessen.
Een bruikbaar verbeterplan bevat concrete acties, verantwoordelijken en prioriteiten. Het uiteindelijke doel is niet een uitgebreid rapport, maar aantoonbare verbetering van de cyberweerbaarheid.
Welke teams zijn betrokken bij red teaming?
Bij een red teaming-test worden doorgaans drie teams onderscheiden. Ieder team heeft een eigen verantwoordelijkheid.
Red Team
Het Red Team bestaat uit ethische hackers die de gesimuleerde aanval uitvoeren. Zij proberen binnen de gemaakte afspraken de vooraf bepaalde doelstellingen te bereiken.
Blue Team
Het Blue Team verdedigt de organisatie. Dit kan bestaan uit interne IT-medewerkers, securityspecialisten, een SOC of een externe beveiligingspartner.
Control Team
Het Control Team organiseert en bewaakt de test. Deze beperkte groep kent het scenario en controleert of de afspraken en veiligheidsprocedures worden nageleefd.
Tijdens een traditionele red teaming-test is het Blue Team niet op de hoogte van het exacte aanvalsscenario. Hierdoor kan worden onderzocht hoe het team onder normale omstandigheden verdachte activiteiten detecteert, onderzoekt en opvolgt.
Het aantal mensen dat vooraf van de test weet, wordt bewust beperkt. Wanneer te veel medewerkers op de hoogte zijn, kan dat hun gedrag beïnvloeden en daarmee de betrouwbaarheid van de resultaten verminderen.
Welke onderdelen van een organisatie kunnen worden getest?
Red teaming kan zich richten op verschillende onderdelen van de beveiliging. Welke onderdelen worden meegenomen, hangt af van het doel en de afgesproken scope.
Technische omgevingen vormen vaak een belangrijk onderdeel. Denk aan interne netwerken, cloudomgevingen, applicaties, identiteitsbeheer en externe toegangspunten.
Daarnaast kan het gedrag van medewerkers worden getest. Een phishingsimulatie kan bijvoorbeeld aantonen of een aanvaller via misleiding toegang tot een account kan verkrijgen.
Ook fysieke beveiliging kan onderdeel zijn van een scenario. Denk aan een mystery guest die probeert zonder de juiste toestemming een bedrijfslocatie binnen te komen.
Bij organisaties met industriële systemen kan de beveiliging van IT- en OT-omgevingen worden meegenomen. Daarbij zijn aanvullende veiligheidsmaatregelen nodig om te voorkomen dat de test invloed heeft op fysieke processen.
De kracht van red teaming zit in de combinatie van deze onderdelen. Een aanvaller beperkt zich immers niet tot één systeem of beveiligingslaag.
Wanneer is red teaming geschikt voor jouw organisatie?
Red teaming is vooral relevant voor organisaties die hun basisbeveiliging al op een redelijk niveau hebben ingericht en willen onderzoeken hoe effectief hun verdediging in de praktijk is.
Dat betekent niet dat iedere organisatie eerst een complexe securityafdeling nodig heeft. Wel moeten er voldoende beveiligingsmaatregelen, processen en verantwoordelijkheden aanwezig zijn om de resultaten goed te kunnen beoordelen.
Een red teaming-test is met name geschikt wanneer je wilt weten of een gerichte aanvaller kritieke bedrijfsprocessen kan bereiken, of beveiligingsmeldingen tijdig worden opgevolgd en of medewerkers en technische maatregelen samen voldoende bescherming bieden.
Wanneer is red teaming nog te vroeg?
Wanneer je organisatie nog onvoldoende inzicht heeft in bestaande kwetsbaarheden, is een penetratietest of security assessment vaak een logischere eerste stap. Ontbreekt structurele monitoring, dan kan het verstandig zijn om eerst de detectiecapaciteit te verbeteren.
Red teaming levert de meeste waarde op wanneer de organisatie de bevindingen daadwerkelijk kan vertalen naar verbetermaatregelen.
Is red teaming verplicht onder DORA?
Voor de meeste organisaties is red teaming geen algemene wettelijke verplichting. In de financiële sector gelden onder bepaalde omstandigheden wel specifieke eisen.
Sinds 17 januari 2025 is de Europese Digital Operational Resilience Act, DORA, van toepassing. Deze verordening stelt eisen aan de digitale operationele weerbaarheid van financiële instellingen.
Een deel van de financiële instellingen moet op basis van DORA minimaal iedere drie jaar een Threat-Led Penetration Test, afgekort TLPT, uitvoeren.
Welke instellingen hiervoor worden aangewezen, hangt af van de wettelijke criteria. De Nederlandsche Bank, DNB, heeft hierin een toezichthoudende rol voor instellingen die onder haar bevoegdheid vallen.
Een TLPT simuleert realistische cyberaanvallen op kritieke of belangrijke functies en ondersteunende productiesystemen. De uitvoering moet voldoen aan specifieke eisen voor onder andere voorbereiding, controle, uitvoering en rapportage.
Het Europese TIBER-EU-raamwerk ondersteunt de uitvoering van deze tests.
DNB ontwikkelde in 2016 het Nederlandse TIBER-NL-raamwerk. Daarnaast bestaat het Advanced Red Teaming-raamwerk, ART, voor organisaties die een passende, dreigingsgerichte test willen uitvoeren.
Ook organisaties die niet onder de TLPT-verplichting vallen, kunnen dergelijke raamwerken gebruiken als uitgangspunt voor het beoordelen en verbeteren van hun cyberweerbaarheid.
Wat levert een red teaming-test op?
Een red teaming-test geeft inzicht in de vraag hoe kwetsbaar een organisatie daadwerkelijk is voor gerichte cyberaanvallen.
Daarbij worden niet alleen afzonderlijke kwetsbaarheden zichtbaar, maar vooral de manieren waarop een aanvaller verschillende zwakke plekken kan combineren.
Ook wordt duidelijk welke beveiligingsmaatregelen effectief zijn en waar de detectie of reactie tekortschiet.
De resultaten kunnen helpen bij het stellen van prioriteiten voor cybersecurity-investeringen. Wanneer blijkt dat een aanval via een leveranciersaccount mogelijk is, kan verbetering van toegangsbeheer bijvoorbeeld meer prioriteit krijgen dan het aanschaffen van aanvullende beveiligingssoftware.
Hetzelfde geldt voor monitoring en incidentrespons. Als verdachte activiteiten niet worden herkend of meldingen onvoldoende worden opgevolgd, ligt de verbeterbehoefte niet uitsluitend bij de technische beveiliging.
Red teaming biedt daarmee concrete aanknopingspunten om mensen, processen en technologie beter op elkaar af te stemmen.
Hoe zet je de volgende stap met red teaming?
Voordat je een red teaming-test laat uitvoeren, is het belangrijk om helder te hebben welke bedrijfsprocessen essentieel zijn en welke risico's je wilt onderzoeken.
Bepaal welke systemen en gegevens beschermd moeten worden, hoe je organisatie verdachte activiteiten detecteert en wie verantwoordelijk is voor de opvolging van beveiligingsincidenten.
Met die informatie kan worden beoordeeld of red teaming de juiste vervolgstap is, of dat eerst andere beveiligingsmaatregelen nodig zijn.
Red teaming bij Defenced
Defenced helpt organisaties om cyberrisico's inzichtelijk te maken, beveiligingsmaatregelen te beoordelen en hun digitale weerbaarheid te versterken. Daarbij staan niet alleen technische bevindingen centraal, maar vooral de gevolgen voor kritieke bedrijfsprocessen en de maatregelen die nodig zijn om deze te beschermen.
Een professioneel uitgevoerd red teaming assessment helpt vaststellen of de bestaande verdediging voldoende bestand is tegen realistische cyberaanvallen.
Neem contact op met Defenced