Red Team Exercise: Hva et kontrollert oppdrag omfatter

Hva det er

En Red Team Exercise er en målstyrt simulering av angripere som gjennomføres innenfor et strengt styringsrammeverk. Den kan omfatte autorisert rekognosering, avtalte mål for første tilgang, avgrenset lateral bevegelse og observasjoner av deteksjon og respons, men bare der slike aktiviteter er tillatt skriftlig. Suksess defineres ikke bare som å oppnå tilgang. En nyttig øvelse kan vise hvor kommunikasjon, eskalering, identitetskontroller, innsyn, beslutningstaking eller koordinering av respons trenger oppmerksomhet, også når et mål ikke nås. Dokumentasjonen er kun bevis og håndteres gjennom den avtalte prosessen. Sosial manipulering er unntatt som standard og vil kreve uttrykkelig, lovlig godkjenning med eget omfang. Tjenestenektaktivitet, destruktive handlinger, OT/ICS, sikkerhetskritiske miljøer, leverandørsystemer uten samtykke og datauthenting utover avtalte bevisartefakter er unntatt som standard.

Hvem det er for

Oppdraget passer for team som:

• Har sponsorstøtte fra ledelsen for en styrt øvelse som tester utvalgte antakelser om forsvar, deteksjon, kommunikasjon og respons
• Trenger at interessenter innen sikkerhet, deteksjon, utvikling og respons lærer av den samme autoriserte dokumentasjonen og oppsummeringen
• Kan godkjenne eksplisitte mål, formål, tillatte metoder, forbudte handlinger, kontaktpersoner, sperrevinduer og stoppvilkår
• Vil vurdere målstyrte angrepsveier i en kontrollert og autorisert øvelse

Hva det hjelper med å klarlegge

Oppdraget hjelper med å avklare:

• Om avtalte forebyggende kontroller, identitetsgrenser, deteksjonssignaler, kommunikasjonsveier og beslutninger om respons støtter de angitte målene
• Hvordan en autorisert vei utviklet seg innenfor reglene, og hvor et team observerte et hull i overlevering, innsyn, eskalering eller beslutningstaking
• Hvilke funn som støttes av rene bevisartefakter, og hvilke som er utenfor omfanget fordi et mål, en metode, en leverandør eller et miljø var unntatt
• Hvilke prioriteringer for utbedring eller oppfølgende vurderinger som er passende

Hva er inkludert

• Signert autorisasjon fra ledelsen, skriftlige testregler, godkjente mål, formål, tillatte metoder, forbudte handlinger, kontaktpersoner, kommunikasjonsregler og umiddelbare stoppvilkår
• Sperrevinduer, pauseordninger og varsling av leverandører der det kreves
• Autorisert rekognosering, avtalte mål for første tilgang og avgrenset lateral bevegelse bare innenfor reglene
• Observasjoner av deteksjon og respons, ren bevisdokumentasjon, sikker håndtering, rapportering, artefakter for gjennomspilling og felles oppsummering
• Funn for ledelse og teknikere med begrensninger og prioritert veiledning for utbedring

Hva er ikke inkludert

• Uautorisert eller ubegrenset aktivitet, tjenestenekt, destruktive handlinger eller taktikker for driftsforstyrrelse
• Sosial manipulering som standard, operasjonell teknologi, industrielle kontrollsystemer, sikkerhetskritiske miljøer, leverandører uten samtykke og tredjepartssystemer
• Datauthenting utover avtalte bevisartefakter, sertifisering, attestasjon av etterlevelse, kontinuerlig overvåking, SOC, MDR eller hendelseshåndtering i sanntid
• Løfter om at alle svakheter oppdages, vellykket kompromittering, vellykket deteksjon, sikkerhetsgodkjenning eller likhet med reelle angripere

Når skal den velges

Velg en Red Team Exercise når ledelsen har et definert mål og vil forstå hvordan utvalgte organisatoriske kontroller virker sammen under styrt press. Den passer godt når grunnleggende sikkerhetspraksis, eierskap og kontaktpersoner for respons er på plass, og når interessentene kan forplikte seg til en skriftlig prosess for testregler. Den passer for tillatt, ikke-forstyrrende testing av avtalte mål, der sosial manipulering bare inngår etter særskilt godkjenning. En vanlig penetrasjonstest kan være mer passende for en fokusert gjennomgang av tekniske svakheter. En pågående hendelse trenger en egen ordning for respons. Øvelsen bør bare planlegges når sponsorer, tekniske eiere og relevante leverandører kan støtte de avtalte kontrollene.

Vår tilnærming

Vi rammer inn øvelsen rundt et organisatorisk mål og sikringstiltakene som holder arbeidet forholdsmessig. Planleggingsfasen bekrefter signert fullmakt, målgrenser, formål, tillatte metoder, forbudte handlinger, håndtering av dokumentasjon, sperrevinduer, navngitte kontaktpersoner, kommunikasjon og umiddelbare stoppvilkår. Det autoriserte teamet følger deretter bare de avtalte veiene, registrerer ren bevisdokumentasjon og stanser umiddelbart når et stoppvilkår eller et sperrevindu gjelder. Observasjoner av deteksjon og respons registreres som organisatorisk læring, knyttet til kontrollene øvelsen faktisk berørte. Etter øvelsen får interessenter i ledelsen og de tekniske miljøene en tydelig fremstilling, tekniske funn, artefakter for gjennomspilling, begrensninger og prioriterte oppfølgingsspørsmål. Den felles oppsummeringen knytter funnene til kundens egen planlegging av utbedring, mens kontinuerlig overvåking, respons i sanntid og bredere sikring holdes utenfor oppdraget. Slik bevares disiplinen i en definert øvelse, samtidig som lederne får nyttig dokumentasjon for neste beslutning.

Ofte stilte spørsmål

Beslektede artikler