Red Teaming Whitepaper: TIBER-AT Methodik

Red Teaming Assessments

Über slashsec

slashsec wurde 2021 in Wien gegründet und ist ein unabhängiger Cyber-Security-Dienstleister mit klarem Fokus auf offensive IT-Security. Das Team bringt jahrelange praktische Erfahrung mit.

Unsere Stärken

• Innovation: slashsec forscht selbst im Bereich Red Teaming. Wir richten unsere Red Teamings nach TIBER-AT aus.
• Vertrauen: Wir arbeiten für internationale Kundschaft in kritischen Infrastrukturbereichen.
• Praxiserfahrung: Unser Red Team widmet einen Großteil seiner Zeit der praktischen Arbeit an den IT-Sicherheitsprojekten unserer Kundschaft. Zusammen kommen wir auf jahrzehntelange Erfahrung.
• Fachleute: An unseren Red Teaming Assessments arbeiten ausschließlich Fachleute mit jahrelanger Erfahrung.

Über Red Teaming

In a nutshell

Die Bedrohung durch Cyber-Angriffe nimmt zu, und Unternehmen investieren viel in ihre Sicherheitssysteme. Red Teaming ist eine Bedrohungssimulation, die auch ausgereifte Sicherheitsarchitekturen unter realistischen Angriffsbedingungen testet, ohne dass eine separate Testumgebung erforderlich ist.

Die Simulation komplexer, vielschichtiger Angriffsszenarien deckt Schwachstellen auf und stärkt Reaktionsfähigkeit und organisatorische Resilienz.

Ein Schwerpunkt ist die Effektivität des Blue Teams: seine Reaktionsprozesse, seine Analysefähigkeiten und seine Reaktionsgeschwindigkeit.

Beantwortung folgender Fragen

1. Wie zuverlässig sind die derzeitigen Sicherheitsmaßnahmen der Organisation zum Schutz wesentlicher und sensibler Daten?
2. Sind die Alarm- und Überwachungssysteme der Organisation angemessen konfiguriert, um Sicherheitsvorfälle effektiv zu erkennen?
3. Wie gut ist das Sicherheitsteam auf die Abwehr komplexer und strategischer Angriffe vorbereitet?
4. Welche Gefahren entstehen, wenn Nutzende oder ihre Geräte kompromittiert werden?
5. Kann das Sicherheitsteam effektiv aufklären und Angriffe rekonstruieren?

Umfang des Engagements

• Menschen: Mitarbeitende und Partnerfirmen
• Technologie: Extern und intern erreichbare Netzwerkinfrastrukturen und Applikationen
• Physische Assets: Büros, Rechenzentren, Lagerstätten, etc.

Die Zielgruppe

Für wen sind Red Teaming Assessments geeignet?

Red Team Assessments stärken die Cyber-Resilienz von Organisationen aus vielen Branchen. Ziel ist, dass diese Organisationen besser mit Risiken umgehen und widerstandsfähiger gegen Bedrohungen werden.

Um von einem Red Team Assessment effektiv profitieren zu können, ist ein gewisser Sicherheitsreifegrad erforderlich. Ihren vollen Nutzen bringen solche Assessments erst, wenn die grundlegenden Sicherheitslücken und -defizite behoben sind.

Adressierte Organisationen

• Große Organisationen mit erheblicher infrastruktureller oder wirtschaftlicher Bedeutung
• Unternehmen, die kritische Dienstleistungen erbringen (Energieversorgung, Gesundheitswesen, Finanzindustrie)
• Betreibende von Informations- und Kommunikationstechnologien, die Dienste für kritische Funktionen anbieten

Die Beteiligten

Das White Team (WT)

Das WT ist die Drehscheibe innerhalb der Organisation und besteht aus ausgewählten Fachleuten, typischerweise aus der IT-Sicherheitsabteilung, ggf. ergänzt durch ein Vorstandsmitglied. Das WT ist für das Testen in allen Phasen verantwortlich, von der Testkonzeption über das operative Testen bis hin zur Identifizierung von Verbesserungsmaßnahmen.

Das Blue Team (BT)

Das BT ist intern verantwortlich für den Schutz der Systeme und Netzwerke der Organisation. Das BT arbeitet während eines Red Teaming Assessments normal weiter, wehrt Angriffe aktiv ab und wird nicht über die geplanten Aktivitäten des RT informiert.

Das Red Team (RT)

Das RT führt die Angriffe durch und versucht, Zugriff auf kritische Systeme und Daten der Organisation zu erlangen. Weil die Tests auf Live-Produktionssystemen laufen, kommt es auf das Fachwissen und die Zuverlässigkeit des RT an.

Der Threat Intelligence Provider (TIP)

Der TIP ist für die anfängliche Aufklärungsarbeit verantwortlich. Auf Basis der gewonnenen Informationen werden Angriffsvektoren identifiziert, ausgearbeitet und dem Red Team zur Verfügung gestellt.

Das Zusammenspiel

Das White Team steht in ständigem Austausch mit dem Red Team, was beispielsweise durch zweiwöchentliche Calls realisiert wird. Dabei informiert das RT das WT über aktuelle Aktivitäten und berichtet über den Fortschritt des Assessments.

Das Blue Team arbeitet während eines Red Teaming Assessments normal weiter, wehrt Angriffe aktiv ab und wird nicht über die geplanten Aktivitäten des RT informiert. In den meisten Fällen findet der Austausch zwischen BT und WT in der Weise statt, dass eine zentrale Person des BT Teil des WT ist.

Typischer Ablauf eines Red Teamings

1. Vorbereitungen

Vertragliche Grundlagen werden geschaffen, Verantwortlichkeiten geklärt (z.B. wie setzt sich das WT zusammen), Dos and Don'ts definiert, sichere Kommunikationskanäle geschaffen.

2. Planung und Scoping

Ansätze aus der vorhergehenden Phase werden detailliert ausgearbeitet, RT-Ziele definiert, Maßnahmen zur Eskalationsvermeidung erarbeitet und definiert.

3. Threat Intelligence

Der TIP beginnt mit der Aufklärungsphase, in der ein Bild der Schwächen der Organisation in Form eines Bedrohungsberichts dem Red Team zur weiteren Angriffsvorbereitung zur Verfügung gestellt wird.

4. Red Teaming

Das RT führt gezielte Angriffe auf das Unternehmen durch und versucht, die zuvor definierten "Red Flags" zu erreichen. Es findet ein ständiger Austausch zwischen RT und WT statt.

5. Evaluieren der Ergebnisse

Der Bericht des RT wird vom BT bewertet. Anschließend werden alle Stakeholder (BT, RT und TIP) vom WT in einem Workshop zusammengebracht.

6. Planung Gegenmaßnahmen

Basierend auf den Erkenntnissen der Ergebnissevaluierungsphase werden gemeinsam mit dem BT detaillierte Gegenmaßnahmen erarbeitet.

Fazit

Mit Red Teaming testen Organisationen ihre Sicherheitsarchitektur unter realistischen Bedingungen und bereiten sich auf die Einhaltung zukünftiger regulatorischer Anforderungen vor.

Regulatorische Rahmenbedingungen wie DORA (Digital Operational Resilience Act) im Finanzsektor sind ein weiterer Grund, Sicherheitsbewertungen wie Red Teaming in die Sicherheitsstrategie aufzunehmen.

Bei slashsec richten wir unsere Red Team Assessments am europäischen Standard TIBER aus, damit sie den aktuellen regulatorischen Anforderungen entsprechen.

Möchtest du mehr erfahren? Buch dir ein kostenloses Erstgespräch mit unserem Team.