🔥 🚒 Planung einer Red Team Übung

Dieses Dokument hilft bei der Planung eines Red Teams, indem es einen Kontrast zu dem sehr spezifischen Red Team-Stil herstellt, der in Red Teams beschrieben wird. Diese Methode bringt mehrere Vorurteile zum Ausdruck, um den Wert und die Begeisterung des Blue Teams zu optimieren. Sie vermeidet ausdrücklich Versuche, durch Bestrafung des Red Teams zu motivieren.

Überprüfen Sie die folgenden Fragen, um zu testen, ob Ihre Red Team-Planung gründlich auf den Wert Ihres Blue Teams abgestimmt ist.

❌ Negative Motivationen

Die folgenden sind häufige Gründe, eine Red Team-Übung durchzuführen. Sie haben schädliche Auswirkungen auf die Moral oder den Teamzusammenhalt. Eine Übung könnte das falsche Werkzeug für Ihre Ziele sein.

Die Unsicherheit einer anderen Organisation beweisen
Dominanz über eine Gruppe von Menschen zeigen
Einen Punkt durch Schock und Ehrfurcht beweisen oder machen
So viele Schwachstellen wie möglich aufzählen und entdecken
Testen, ob einfache Erkennungsmechanismen funktionieren

👍 Beteiligte (Stakeholder)

Nichts wäre verschwenderischer als eine Übung ohne Sponsoring oder Nachverfolgung durch die Führung oder einflussreiche Personen. Stellen Sie sicher, dass die Erkenntnisse einer Übung von einer begeisterten Gruppe von Stakeholdern unterstützt werden. Stellen Sie sicher, dass diese Gruppe informiert ist und Dynamik erzeugen kann.

Erwartungen setzen und ein bekanntes Zuhause / einen Verantwortlichen festlegen, um die Ergebnisse der Übung voranzutreiben
Sicherstellen, dass Offenheit für Veränderungen besteht, und Sponsoring für die Umsetzung der Veränderung bereitstellen.
Ist die Organisation ein freiwilliger Teilnehmer an dieser Übung?
Wären die Teilnehmer offen für jegliche Kalibrierung des Risikos oder eine Überarbeitung ihrer aktuellen Roadmap?
Gibt es erhebliche technische Schulden, die Vorrang vor den Erkenntnissen des Red Teams hätten?
Werden die Ergebnisse des Red Teams so vorhersehbar sein, dass eine Übung von vornherein nicht nötig war?

📅 Zeitabschätzungen

Sie können den Zeitaufwand von dieser Planungsphase bis zum Ende einer Minderungsphase oder etwas dazwischen prognostizieren. Zeiterwartungen hängen stark von den Entscheidungen ab, die für jede Phase getroffen werden.

Planung (Wochen/Monate): Planung der gesamten Durchführung, Ausfüllen der Lücken dieses Dokuments.
Angriff (Minuten/Wochen): Einarbeitung des Red Teams und aktive Erstellung des Vorfalls.
Reaktion (Stunden/Wochen): Falls der Vorfall entdeckt wird, die Dauer der sofortigen Reaktion.
Tabletop (Tage/Wochen): Falls der Vorfall nicht entdeckt wird, die Dauer der erzwungenen Reaktion oder Tabletop-Übung.
Vorfallreaktion (Kurzfristig) (Tage/Wochen): Die Zeit, um den Zugriff des Red Teams zu entfernen, entdeckte Schwachstellen zu schließen und den Gegner zu beseitigen.
Red Team-Enthüllung (Stunden): Darstellung der Aktionen des Red Teams zur Kalibrierung der IR-Realitäten.
Vorfallreaktion (Post Mortem) (Stunden/Tage): Organisation der gewonnenen Erkenntnisse und breite Präsentation.
Langfristige Minderung (Wochen/Monate): Abschluss schwierigerer Lektionen, Refactoring und Wachstum, bevor Sie das nächste Red Team in Betracht ziehen.

👪 Personen

Identifizieren Sie alle Personen, die die Pläne und Geheimnisse des Red Teams kennen müssen. Hier möchten Sie das Risiko eines 'Break Glass'-Szenarios mindern und Kontaktdaten bereithalten, um bei Notfällen von einer Übung abweichen zu können.

Beratungsfirmen: Werden Sie eine externe Partei als Red Team beauftragen?
Interne Ressourcen: Werden interne Mitarbeiter als Red Team fungieren?
Wer ist verantwortlich für (in diesem Fall das Zurückhalten) eines Anrufs bei der Polizei?
Wer ist verantwortlich für eingehende PR/Kommunikation?
Wer ist verantwortlich für Kundeninteraktionen?
Wer ist die Ressource für Benachrichtigungen bei Sicherheitsverletzungen? (intern/externer Rechtsbeistand)
Wer ist der übergeordnete 'Spielleiter', der Probleme lenkt und die ultimative Quelle für gutes Urteilsvermögen ist?

📉 Strategie

Entscheiden Sie, wo Sie den Wert aus dieser Erfahrung ziehen möchten. Es gibt überall Kompromisse, die möglicherweise nicht das ansprechen, was Sie mit einer Übung erreichen wollen.

Sind potenzielle Verteidiger sich bewusst, dass irgendwann mit einem Red Team zu rechnen ist?
- Sollten sie es sein? Müssen Sie diese Erwartung setzen?
Werden Sie auch ein Zeitfenster ankündigen, in dem mit einem Red Team zu rechnen ist?
- Wird dies eine gesunde Aufregung und einen Vorbereitungssprint auslösen?
Werden die Angreifer stark mit 'Cheating' geführt oder wird es frei gestaltet?
- Dieser Kompromiss betrifft den Wert der Vorfallreaktion und die Entdeckung von Schwachstellen.
Wurde das Team darüber informiert, dass es strenge Regeln gegen Bloßstellung gibt?
- Sie möchten vermeiden, dass dies als Bestrafung für schlechte Sicherheit empfunden wird.
Wurde das Team darüber informiert, dass dies als Geschenk für ein Blue Team gedacht ist, nicht als Bestrafung für schlechte Sicherheit? D.h., dies ist kein Test, sondern Sparring?
- Noch einmal nachdrücklich zu diesem Punkt. Stellen Sie sicher, dass bekannt ist, dass dies eine wertvolle Rückkopplungsschleife ist, kein Mitarbeiterleistungszyklus.
Wurde eine spezifische Methode oder realistische 'Kill Chain' ausgewählt, um die Übung zu rahmen?
Ist Ihr Ziel, einen Vorfall in einem stark geminderten Risiko zu simulieren oder in einem Risiko mit viel weniger Telemetrie/Präventionsmaßnahmen?
Was ist in jeder Phase das 'Break Glass'? Wie verkünden Sie weitreichend, was die Wahrheit ist und was als nächstes passieren muss, falls ein Red Team fehlschlägt und einen Ausfall verursacht?
Unter welchen Umständen möchten Sie das Red Team 'abbrechen'?
- Berücksichtigen Sie, wann es natürlich abgeschlossen ist, äußere Einflüsse eine Abschaltung erfordern oder die Erfahrung für die Teilnehmer nicht mehr wertvoll ist.

🔧 Angriffsdesign

Ein Angriff repräsentiert die Risiken, die Sie mindern möchten, den Vorfall, den Sie bewältigen möchten, oder die Personen, die Sie in die Reaktion einbeziehen möchten. Diese Entscheidungen haben alle Planungsaufwände, die es hilfreich ist, so früh wie möglich zu identifizieren.

Erfordert der Angriff tatsächlich viel Fachwissen und Aufwand, oder können Sie einfache Nachbildungen eines Angriffs zur Entdeckung haben? Sind externe Parteien überhaupt notwendig?
Wo sollte der Angriff in der Kill Chain beginnen? (z.B. früh: Spear-Phishing oder spät: laterale Bewegung mit Domain-Admin)
Welche Anmeldeinformationen / physischer Zugang / Dokumentation sind erforderlich, um den Angriff zu starten? Wer wird sie bereitstellen? Gibt es Sicherheitsauswirkungen, die später nachverfolgt werden müssen?
Wenn das Red Team früh erfolgreich ist, sollten sie mit Penetrationstests oder Schwachstellenbewertung beginnen? Sollten sie versuchen, erwischt zu werden?
Sollte der Angreifer einen bestimmten Gegner oder eine bestimmte Angriffsmethode imitieren?
Falls das Red Team entdeckt wird, gibt es einen Backup-Plan oder einen zweiten Angriff? Wird das Red Team auf einen Penetrationstest zurückgreifen?
Wo und wie wird das Red Team sein Verhalten dokumentieren? Diese müssen für jede nachfolgende Tabletop-Übung sowie zur Bestätigung der Behebung und der gewonnenen Erkenntnisse erfasst werden. Können Sie eine Bash-Historie sammeln? Einen TCP-Dump? Manuelle Notizen?
Werden die Methoden des Red Teams auf der Realität basieren? Verwenden sie Methoden, die einem realistischen Angreifer nicht zur Verfügung stehen?

🚨 Vorfallreaktion

Wenn Sie vorhersehen können, wie ausgereift Ihr Reaktionsprozess sein wird, können Sie die Reaktion zu größerem Nutzen manipulieren. Ein unreifes Reaktionsteam kann stark vom Spielleiter geführt werden, oder ein reifes Reaktionsteam kann sich selbst überlassen werden, um Reibungspunkte in Koordination und Kommunikation zu identifizieren.

Gibt es eine spezifische Koordinationsmethode oder einen Plan, dem die Vorfallreaktion folgen sollte? Zum Beispiel die Agenda und Methode, die in Security Breach 101 oder An Incident Response Plan for Startups beschrieben wird.
Muss die Vorfallreaktion natürlich zusammenkommen, damit Sie Reibungen in ihrem Prozess ausmerzen können?
Wird die Vorfallreaktion künstlich zusammengebracht, um die beabsichtigte Reaktion als Übung zu erzwingen?
Möchten Sie den Vorfall künstlich eskalieren, um die Vorfallreaktion kontrollieren zu können?
Wer wird die Kommunikation mit dem Red Team überbrücken, falls es ehrliche Fragen vom Blue Team gibt? (Zum Beispiel: 'Wir glauben, wir haben einen separaten Einbruch gefunden')
Wer wird die Schmerzpunkte des Red Teams dokumentieren, während das Blue Team mindert? ('Ihr habt ständig unsere Beacons entfernt und es war schwer, wieder hineinzukommen, wir hatten nicht erwartet, dass ihr sie alle auf einmal findet!')
Falls die Vorfallreaktion nicht rechtzeitig voranschreitet, wer oder wie werden Indikatoren an das Blue Team durchgesickert?
- Wird dies in einem Tabletop-Format erfolgen?
Werden kurzfristige Minderungen / langfristige Präventivmaßnahmen als Teil Ihrer Vorfallreaktion gesammelt?

🔍 Red Team-Enthüllung

Das Blue Team wird alle möglichen Fragen an das Red Team haben. Dies kann ein Moment der Aufregung sein, wenn es richtig gemacht wird. Eine gesunde Beziehung aufrechtzuerhalten ist entscheidend. Das Red Team sollte als unschätzbarer Sparringspartner angesehen werden. Noch besser, ein Hase, den es zu jagen gilt.

Sind die Aktionen des Red Teams während der Angriffsphase sehr gut dokumentiert und verstanden?
Hat der Vorfallreaktionsprozess wesentliche Aktionen des Red Teams übersehen?
Gibt es IOC's oder Artefakte, die noch beaconen oder in Zukunft entdeckt werden können?
Haben irgendwelche Hintertüren oder andere risikobehaftete Änderungen die Vorfallreaktion überlebt?
Wie gründlich waren die Untersuchung und Eindämmung des Blue Teams?

💀 Post Mortem

Ein qualitativ hochwertiges Post Mortem wird monatelange geplante Sicherheitsarbeit informieren und alle durch eine gemeinsame Erfahrung auf eine Mission ausrichten.

Wurde ein gründlicher Befragungsprozess oder ein Debriefing mit allen Teilnehmern der Übung durchgeführt?
Wurden alle nachfolgenden Minderungspunkte zentral gesammelt und basierend auf der Wertschätzung der Teilnehmer priorisiert?
Werden diese Einschätzungen abgeschlossen und den Teilnehmern zurückgemeldet?
Haben Sie einen Meeting-Termin blockiert, um sie zu präsentieren?
Wer präsentiert sie?
Ist das Red Team verfügbar, um zu diesen Einschätzungen Stellung zu nehmen oder Fragen zu beantworten?
Werden Teilnehmer für ihre Teilnahme belohnt?
Wird ihnen ausreichend Zeit für Debriefing und Diskussion gegeben?
Ist dies eine wertvolle Kalibrierung in Richtung praktischer Risiken?

👶 Kleine Übungen

Sie können eine Übung klein halten und mit minimaler Beteiligung anderer durchführen. Seien Sie kreativ.

Lassen Sie einfach ein Teammitglied einen Vorfall simulieren, von dem Sie glauben, dass Sie erfolgreich darauf reagieren könnten. Zum Beispiel können Sie eine Software installieren, die eine Auto-Update-Funktion hat, und so tun, als wäre sie Malware. Dann würden Sie nach dem 'C&C' 'jagen', das einfach sein Update-Beacon wäre. Können Sie zum Beispiel beweisen, dass es auf diesen Host isoliert ist und nicht auf andere?

Oder lassen Sie ein Teammitglied eine 'nicht autorisierte Änderung' vornehmen und erstellen Sie eine Vorfall-Zeitleiste, die das Ereignis dokumentiert und welche Folgemaßnahmen wichtig wären.

Stellen Sie nur sicher, dass Sie Ihre Erkenntnisse, Ihre Lektionen und Ihre Folgemaßnahmen dokumentieren, um sie anderen zu präsentieren. Red Teams sind nicht wertvoll, wenn ihre Lektionen isoliert bleiben, und sie müssen nicht kompliziert sein.

redteam-plan

Beliebteste