Wat moet je vooraf bepalen om van red teaming te leren?

De leeropbrengst van red teaming begint al tijdens de voorbereiding. Door vooraf vast te leggen wat je verwacht en wat je wilt onderzoeken, kun je na afloop beoordelen welke aannames klopten en waar verrassingen ontstonden.

Leg je verwachtingen en leerdoelen vast

Beschrijf welke aanvalsroutes volgens jou het meest waarschijnlijk zijn en op welke momenten de beveiligingsmaatregelen een aanvaller zouden moeten tegenhouden.

Verwacht je bijvoorbeeld dat een aanvaller via gestolen inloggegevens toegang probeert te krijgen? Of denk je dat een aanval vooral via een kwetsbare server of een leverancier zal verlopen?

Formuleer vervolgens enkele concrete leerdoelen. Denk aan de vraag of het SOC verdachte aanmeldingen herkent, of afwijkende netwerkactiviteiten worden onderzocht en hoe snel een gecompromitteerd account kan worden geblokkeerd.

Met zulke leerdoelen wordt vooraf duidelijk welke resultaten belangrijk zijn en waarop de evaluatie zich moet richten.

Kies aanvalsscenario's die aansluiten op jouw risico's

Een realistisch aanvalsscenario wordt gebaseerd op relevante dreigingen en de kritieke bedrijfsprocessen van je organisatie.

Voor een productiebedrijf kan een scenario gericht zijn op toegang tot de productieomgeving. Bij een zorginstelling kan het gaan om patiëntgegevens en voor een logistieke organisatie om systemen die de transportplanning ondersteunen.

Een beperkt aantal goed gekozen aanvalsscenario's biedt vaak meer ruimte voor diepgaand onderzoek dan veel verschillende scenario's die slechts oppervlakkig worden uitgevoerd.

Zorg daarnaast voor een klein White Team of Control Team dat de test begeleidt, de veiligheidsafspraken bewaakt en kan ingrijpen wanneer dat nodig is. Het operationele beveiligingsteam blijft bij een traditionele red team oefening doorgaans onwetend over het exacte aanvalsscenario.

Welke aanvalspaden en kwetsbaarheden worden zichtbaar?

Een van de belangrijkste inzichten uit een red team oefening is hoe een aanvaller verschillende zwakke plekken kan combineren om een kritisch doel te bereiken.

Een aanval kan bijvoorbeeld beginnen met een phishingmail waarmee toegang tot een gebruikersaccount wordt verkregen. Vervolgens onderzoekt het red team of dat account toegang biedt tot andere systemen en of aanvullende rechten kunnen worden verkregen.

Een afzonderlijke kwetsbaarheid hoeft niet direct een groot risico te vormen. In combinatie met onvoldoende toegangsbeveiliging, beperkte netwerksegmentatie of ontbrekende detectie kan dezelfde kwetsbaarheid onderdeel worden van een succesvol aanvalspad.

Daarom is het belangrijk om niet alleen het eindresultaat vast te leggen, maar de volledige route die de aanvaller heeft afgelegd.

Een red team rapport moet daarom inzicht geven in de gebruikte toegangspunten, de vervolgstappen binnen het netwerk en de systemen of gegevens die uiteindelijk bereikbaar waren.

Hoe effectief detecteert jouw organisatie een cyberaanval?

Red teaming maakt zichtbaar of beveiligingssystemen en securitymedewerkers verdachte activiteiten daadwerkelijk herkennen.

Dat is belangrijk omdat het aanwezig zijn van monitoringsoftware niet automatisch betekent dat een aanval tijdig wordt ontdekt.

Tijdens de oefening kan bijvoorbeeld worden onderzocht of een afwijkende aanmelding, een onverwachte rechtenwijziging of ongebruikelijk netwerkverkeer een beveiligingsmelding veroorzaakt.

Vervolgens wordt gekeken wanneer het Blue Team voor het eerst een verdachte activiteit signaleerde en hoe de melding werd behandeld.

Wat zegt de detectietijd over je cyberweerbaarheid?

De tijd tussen het begin van een aanval en het moment waarop de organisatie deze ontdekt, geeft inzicht in het detectievermogen.

Hoe langer een aanvaller onopgemerkt actief blijft, hoe meer mogelijkheden er kunnen ontstaan om aanvullende systemen te onderzoeken of kritieke gegevens te bereiken.

Daarbij is niet alleen de snelheid belangrijk. Ook moet worden vastgesteld welke activiteiten werden gedetecteerd en welke signalen ontbreken in de logging of monitoring.

De bevindingen kunnen aanleiding geven om logbronnen uit te breiden, detectieregels aan te passen of de prioritering van beveiligingsmeldingen te verbeteren.

Wat leer je over incidentrespons en de opvolging van meldingen?

Een beveiligingsmelding is pas waardevol wanneer deze op de juiste manier wordt onderzocht en opgevolgd.

Een red team oefening kan aantonen dat verdachte activiteiten technisch werden geregistreerd, maar dat de organisatie niet of te laat ingreep.

Een melding kan bijvoorbeeld onvoldoende prioriteit krijgen, als vals positief worden beoordeeld of bij de verkeerde verantwoordelijke terechtkomen.

Ook kan blijken dat onduidelijk is wie bevoegd is om een gebruikersaccount te blokkeren, een systeem te isoleren of andere maatregelen te nemen.

Door deze situaties te onderzoeken, ontstaat inzicht in de werking van incidentresponsprocedures. Daarbij zijn ook de overdracht tussen teams, escalatieafspraken en beschikbaarheid buiten kantooruren relevant.

Red teaming helpt daardoor niet alleen om technische tekortkomingen te vinden, maar ook om de samenwerking tussen beveiligingsteams en andere betrokken afdelingen te verbeteren.

Welke inzichten geeft red teaming over medewerkers en beveiligingsbewustzijn?

Menselijk gedrag kan een belangrijke rol spelen bij een cyberaanval. Daarom kunnen social engineering, phishing en fysieke toegang onderdeel zijn van een red team oefening.

Tijdens een phishingsimulatie kan bijvoorbeeld worden onderzocht of medewerkers verdachte berichten herkennen en volgens de afgesproken procedure melden.

Bij een fysieke toegangstest kan worden beoordeeld of medewerkers onbekende bezoekers aanspreken en bestaande toegangsprocedures naleven.

Het gaat daarbij niet uitsluitend om fouten. Ook het gedrag van medewerkers die een verdachte situatie herkennen en melden, levert waardevolle informatie op.

Een melding van een medewerker kan bijvoorbeeld voorkomen dat een aanval verdergaat, zelfs wanneer een eerdere beveiligingsmaatregel niet effectief was.

Gebruik de resultaten om beveiligingsbewustzijn, meldprocedures en toegangscontroles te verbeteren. De oefening moet gericht zijn op het versterken van de organisatie, niet op het aanwijzen van individuele schuldigen.

Welke beveiligingsmaatregelen blijken juist effectief?

Een red team oefening maakt niet alleen tekortkomingen zichtbaar. Ook beveiligingsmaatregelen die een aanval succesvol vertragen, detecteren of stoppen, moeten onderdeel zijn van de evaluatie.

Denk aan multifactorauthenticatie die ongeautoriseerde toegang voorkomt, netwerksegmentatie die verdere verspreiding beperkt of een SOC dat verdachte activiteiten snel onderzoekt.

Deze resultaten laten zien welke onderdelen van de beveiliging bijdragen aan de weerbaarheid van de organisatie.

Dat inzicht is belangrijk bij het stellen van prioriteiten. Wanneer bepaalde maatregelen aantoonbaar effectief zijn, kan de organisatie daar rekening mee houden bij toekomstige investeringen en wijzigingen in de beveiligingsarchitectuur.

Hoe helpt een gezamenlijke evaluatie om de verdediging te verbeteren?

Na de uitvoering van een red team oefening worden de bevindingen besproken met de betrokken beveiligingsteams.

Tijdens een gezamenlijke replay doorlopen het Red Team en Blue Team de aanval stap voor stap. Daarbij wordt de tijdlijn van de aanvallers vergeleken met de beveiligingsmeldingen en acties van de verdedigers.

Zo ontstaat inzicht in de momenten waarop verdachte activiteiten werden herkend, welke signalen werden gemist en welke andere beslissingen mogelijk waren geweest.

Wat is de rol van purple teaming na de oefening?

Bij purple teaming werken het aanvallende en verdedigende team samen om de beveiliging verder te verbeteren.

Het Red Team kan bijvoorbeeld een gebruikte aanvalstechniek opnieuw demonstreren, terwijl het Blue Team onderzoekt welke logging of detectieregels nodig zijn om deze activiteit beter te herkennen.

Hierdoor kunnen technische verbeteringen direct worden geëvalueerd en ontstaat meer inzicht in de werking van beveiligingssystemen.

Een gezamenlijke evaluatie helpt daarnaast om kennis te delen tussen securityspecialisten, systeembeheerders en andere betrokken medewerkers.

Hoe vertaal je de resultaten naar concrete verbetermaatregelen?

De belangrijkste opbrengst van red teaming is een overzicht van verbetermaatregelen waarmee de organisatie haar cyberweerbaarheid kan versterken.

Daarbij is het belangrijk om bevindingen niet uitsluitend op technische ernst te beoordelen, maar ook te kijken naar hun invloed op kritieke bedrijfsprocessen.

Een kwetsbaarheid die onderdeel vormt van een aanvalspad naar belangrijke bedrijfsgegevens kan bijvoorbeeld meer prioriteit hebben dan meerdere minder relevante technische bevindingen.

Leg voor iedere verbetering vast welke maatregel nodig is, wie verantwoordelijk is en wanneer deze moet zijn uitgevoerd.

Neem de maatregelen op in de bestaande securityroadmap en bewaak de voortgang. Zo voorkom je dat de bevindingen in een afzonderlijk rapport blijven staan zonder verdere opvolging.

Waar nodig kan een gerichte pentest of hertest worden uitgevoerd om te controleren of belangrijke kwetsbaarheden daadwerkelijk zijn opgelost.

Waarom moet de directie betrokken zijn bij de evaluatie?

De resultaten van red teaming zijn niet uitsluitend relevant voor IT- en securitymedewerkers. Een deel van de verbetermaatregelen vraagt beslissingen op management- of directieniveau.

Denk aan het beschikbaar stellen van budget voor aanvullende beveiligingsmaatregelen, het vastleggen van verantwoordelijkheden of het aanpassen van afspraken met leveranciers.

Ook kunnen tijdens de oefening vragen ontstaan over de bevoegdheden bij een ernstig incident. Wie mag besluiten een kritiek systeem tijdelijk uit te schakelen? Wanneer wordt de directie geïnformeerd? En welke bedrijfsprocessen krijgen voorrang bij herstel?

Dit zijn organisatorische keuzes die niet uitsluitend door het beveiligingsteam gemaakt kunnen worden.

Een evaluatie op directieniveau moet daarom duidelijk maken welke risico's zijn aangetoond, welke gevolgen deze kunnen hebben en welke besluiten nodig zijn om ze te beperken.

Door de uitkomsten te bespreken met zowel het beveiligingsteam als de directie, kunnen technische verbeteringen worden verbonden aan de bredere bedrijfsdoelstellingen.

Wanneer moet je een red team oefening herhalen?

Hoe vaak een red team oefening nodig is, hangt af van de risico's, de ontwikkeling van de IT-omgeving en het beveiligingsniveau van de organisatie.

Een nieuwe test kan bijvoorbeeld zinvol zijn wanneer belangrijke systemen zijn gewijzigd, de organisatie nieuwe kritieke diensten levert of eerdere bevindingen zijn opgelost en je de verbeterde verdediging opnieuw wilt beoordelen.

De Nederlandsche Bank heeft met Advanced Red Teaming, ART, een modulair raamwerk ontwikkeld waarmee de omvang en frequentie van dreigingsgerichte testen kunnen worden afgestemd op de cybervolwassenheid en leerdoelen van een organisatie.

Voor bepaalde financiële instellingen geldt een wettelijke verplichting. Onder de Digital Operational Resilience Act, DORA, moeten aangewezen instellingen in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Voor organisaties zonder deze verplichting is het verstandig om eerst de belangrijkste verbetermaatregelen uit de vorige oefening af te ronden en waar nodig te controleren voordat een nieuwe uitgebreide aanvalssimulatie wordt gepland.

Hoe haal je blijvend resultaat uit red teaming?

Een red team oefening laat zien hoe een realistische aanvaller te werk kan gaan en waar de verdediging van jouw organisatie effectief of juist kwetsbaar is.

De belangrijkste inzichten komen uit de combinatie van aanvalspaden, detectiemomenten, incidentrespons en het gedrag van medewerkers.

Door deze resultaten gezamenlijk te evalueren en te vertalen naar maatregelen met duidelijke verantwoordelijken, wordt red teaming meer dan een eenmalige beveiligingstest.

Heb je al een red team oefening uitgevoerd, gebruik het rapport dan om te controleren welke bevindingen zijn opgelost en welke verbeteringen nog openstaan. Staat de eerste oefening nog op de planning, leg dan vooraf vast wat je wilt leren en hoe je de resultaten gaat opvolgen.