Red Team Exercise: hvad en kontrolleret opgave omfatter

Hvad det er

En Red Team Exercise er en målrettet simulering af en modstander, der gennemføres inden for en stram styringsramme. Den kan omfatte autoriseret rekognoscering, aftalte mål for indledende adgang, afgrænset lateral bevægelse og observationer af detektion og respons, men kun hvor disse aktiviteter er tilladt skriftligt. Succes defineres ikke kun som at opnå adgang. En nyttig øvelse kan vise, hvor kommunikation, eskalering, identitetskontroller, synlighed, beslutningstagning eller koordinering af respons kræver opmærksomhed, selv når et mål ikke nås. Dokumentation er udelukkende bevis og håndteres gennem den aftalte proces. Social engineering er som udgangspunkt udelukket og ville kræve udtrykkelig, lovlig og separat afgrænset godkendelse. Denial-of-service-aktivitet, destruktive handlinger, OT/ICS, sikkerhedskritiske miljøer, leverandørsystemer uden samtykke og dataeksfiltration ud over aftalte bevisartefakter forbliver som udgangspunkt udelukket.

Hvem er det for?

Opgaven passer til teams, der:

• Har sponsorering fra ledelsen til en styret øvelse, der tester udvalgte antagelser om forsvar, detektion, kommunikation og respons
• Har brug for, at interessenter inden for sikkerhed, detektion, udvikling og respons lærer af den samme autoriserede dokumentation og debriefing
• Kan godkende eksplicitte mål, formål, tilladte metoder, forbudte handlinger, kontakter, spærrevinduer og stopbetingelser
• Vil vurdere målrettede angrebsveje i en kontrolleret, autoriseret øvelse

Hvad det hjælper med at afklare

Opgaven hjælper med at afklare:

• Om aftalte forebyggende kontroller, identitetsgrænser, detektionssignaler, kommunikationsveje og responsbeslutninger understøtter de angivne mål
• Hvordan en autoriseret vej udviklede sig inden for reglerne, og hvor et team observerede et hul i overdragelse, synlighed, eskalering eller beslutningstagning
• Hvilke fund der understøttes af bevisartefakter, og hvilke der ligger uden for omfanget, fordi et mål, en metode, en leverandør eller et miljø var udelukket
• Hvilke prioriteringer for afhjælpning eller opfølgende vurderinger der er passende

Hvad er inkluderet

• Underskrevet autorisation fra ledelsen, skriftlige testregler, godkendte mål, formål, tilladte metoder, forbudte handlinger, kontakter, kommunikationsregler og øjeblikkelige stopbetingelser
• Spærrevinduer, pauseordninger og underretning af udbydere, hvor det er nødvendigt
• Autoriseret rekognoscering, aftalte mål for indledende adgang og afgrænset lateral bevægelse kun inden for reglerne
• Observationer af detektion og respons, dokumentation udelukkende som bevis, sikker håndtering, rapportering, replay-artefakter og fælles debriefing
• Fund til ledelsen og tekniske fund med begrænsninger og prioriteret vejledning om afhjælpning

Hvad er ikke inkluderet?

• Uautoriseret eller ubegrænset aktivitet, denial-of-service, destruktive handlinger eller taktikker, der forstyrrer driften
• Social engineering som standard, operationel teknologi, industrielle styresystemer, sikkerhedskritiske miljøer, leverandører uden samtykke og tredjepartssystemer
• Dataeksfiltration ud over aftalte bevisartefakter, certificering, compliance-attestering, løbende overvågning, SOC, MDR eller live hændelseshåndtering
• Løfter om at finde alle svagheder, vellykket kompromittering, vellykket detektion, sikkerhedsgodkendelse eller ligestilling med en reel angriber

Hvornår du skal vælge det

Vælg en Red Team Exercise, når ledelsen har et defineret mål og ønsker at forstå, hvordan udvalgte organisatoriske kontroller fungerer sammen under styret pres. Den passer godt, når grundlæggende sikkerhedspraksis, ejerskab og responskontakter er etableret, og når interessenterne kan forpligte sig til en skriftlig proces for testregler. Den passer til tilladt, ikke-forstyrrende test af aftalte mål, hvor social engineering kun indgår efter separat godkendelse. En standardpenetrationstest kan være mere passende til en fokuseret gennemgang af tekniske svagheder. En igangværende hændelse kræver en særskilt responsordning. Øvelsen bør kun planlægges, når sponsorer, tekniske ejere og relevante udbydere kan understøtte de aftalte kontroller.

Vores tilgang

Vi rammesætter øvelsen omkring et organisatorisk mål og de sikkerhedsforanstaltninger, der holder arbejdet forholdsmæssigt. Planlægningsfasen bekræfter underskrevet bemyndigelse, målgrænser, formål, tilladte metoder, forbudte handlinger, håndtering af dokumentation, spærrevinduer, navngivne kontakter, kommunikation og øjeblikkelige stopbetingelser. Det autoriserede team følger derefter kun de aftalte veje, registrerer dokumentation udelukkende som bevis og holder øjeblikkeligt pause, når en stopbetingelse eller et spærrevindue gælder. Observationer af detektion og respons registreres som organisatorisk læring, knyttet til de kontroller, øvelsen faktisk berørte. Efter øvelsen modtager ledelsen og de tekniske interessenter en klar fortælling, tekniske fund, replay-artefakter, begrænsninger og prioriterede opfølgende spørgsmål. Den fælles debriefing kobler fundene til kundens egen planlægning af afhjælpning, mens løbende overvågning, live respons og bredere sikkerhedsvurdering holdes uden for opgaven. Det bevarer disciplinen i en defineret øvelse og giver samtidig lederne brugbar dokumentation til den næste beslutning.

Ofte stillede spørgsmål

Relaterede artikler