Spørgsmål og svar om red teaming

Hvad er forskellen på red teaming og en penetrationstest?

En penetrationstest leder efter svagheder inden for et afgrænset scope og beskriver dem i en rapport. Red teaming forfølger et aftalt mål i et scenarie og måler, om forsvaret opdager, eskalerer og reagerer. Spørgsmålet flytter sig fra, hvor hullerne er, til hvad organisationen gør, når nogen bruger dem. De to former supplerer hinanden. → Det, red teaming afprøver, som en pentestrapport ikke viser

Er vi klar til en red team-øvelse?

Det er I, når de kendte svagheder er under kontrol, når der er overvågning og et beredskab, der kan afprøves, og når ledelsen kan bære et resultat, der ikke er pænt. Mangler de forudsætninger, kan en pentest eller en purple team-øvelse give mere læring nu og et bedre grundlag for den første red team-øvelse senere. → Er organisationen klar til red teaming?

Hvem i organisationen skal vide, at der øves?

Kun white team, den lille kontrolgruppe, der styrer øvelsen og kan stoppe den. Det kan fx være CISO’en, en repræsentant for ledelsen og en eller to personer, der kan skelne øvelse fra rigtigt angreb. Jo flere der ved det, jo mindre siger resultatet om forsvarets normale reaktion. → White team

Hvordan undgår vi, at en øvelse forveksles med et rigtigt angreb?

Ved at aftale på forhånd, hvordan white team bekræfter, om en observation stammer fra holdet, og hvem der må træffe den afgørelse. Holdets handlinger logges, så de kan holdes op mod forsvarets observationer. En ægte hændelse håndteres altid som en ægte hændelse, også midt i en øvelse. → Øvelse eller rigtigt angreb?

Hvem skal give tilladelse ud over IT?

Det afhænger af scenariet. Driftsleverandører og cloududbydere skal give lov til test af deres del. Indgår fysisk adgang, skal udlejer og vagtselskab med i overvejelserne. Indgår medarbejdere, bør HR og eventuelt medarbejderrepræsentanter inddrages i beslutningen. Tilladelserne samles i et brev, som holdet har med. → Tilladelser til en red team-øvelse

Kan vi tage social engineering med uden at skade tilliden?

Ja, hvis beslutningen er taget bevidst og opfølgningen er planlagt. Målet er at afprøve processer og kontroller, ikke at finde den enkelte medarbejder, der blev narret. Rapporten bør ikke udpege navngivne kolleger, og der skal være en debriefing, der forklarer, hvad øvelsen gik ud på, og hvad organisationen lærer af den. → Medarbejderhensyn

Hvad måler øvelsen egentlig?

Tre ting: om forsvaret opdagede noget, om det blev eskaleret til de rigtige, og hvad der blev gjort ved det. Målepunkterne aftales før start, så holdets tidslinje kan lægges oven på forsvarets. Uden den aftale er det svært bagefter at sige, om forsvaret reagerede for sent, for lidt eller slet ikke. → Opdagelse, eskalering og reaktion

Skal SOC-leverandøren vide, at der øves?

Normalt ikke medarbejderne i SOC’en, for så afprøves deres reaktion ikke. Men aftalen med leverandøren skal tillade øvelsen, og en kontaktperson hos leverandøren kan være med i white team, så eskalering til jer eller til en kunde håndteres rigtigt. Det afklares, før øvelsen begynder. → SOC-leverandøren og øvelsen

Hvad skal bestyrelsen spørge om, før den siger god for en øvelse?

Hvilket spørgsmål øvelsen skal besvare, hvem og hvad der er mål, hvilken risiko for driften der accepteres, hvem der kan stoppe øvelsen, og hvordan resultatet kommer tilbage til bestyrelsen. Svarene skal foreligge, før øvelsen begynder, ikke når rapporten ligger på bordet. → Bestyrelsens spørgsmål om red teaming

Er red teaming et lovkrav?

Kun for de finansielle virksomheder, som myndigheden udpeger til TLPT efter DORA. NIS2, ISO/IEC 27001 og PCI DSS kræver ikke red teaming, men de kræver, at organisationen kan vise, at sikkerhedsforanstaltningerne virker, og der kan en frivillig øvelse bidrage. Svaret her er ikke juridisk rådgivning. → Ledelsesansvar og red teaming

Vores kunde kræver red teaming. Hvad har vi forpligtet os til?

Det afhænger af ordlyden. En klausul kan betyde, at I skal lade jer teste af kundens hold, deltage i kundens egen øvelse eller selv gennemføre en øvelse og dokumentere den. Læs klausulen, før I svarer, og få præciseret mål, rammer, tilladelser og hvad kunden får at se bagefter. → Kravet om red teaming står i kontrakten

Kundens TLPT omfatter vores tjeneste. Hvad betyder det for os?

DORA lægger pligten til at gennemføre testen på den finansielle kunde, men kontrakter om tjenester, der understøtter kritiske eller vigtige funktioner, skal forpligte udbyderen til at deltage og samarbejde. Afklar med kunden, hvem hos jer der må vide besked, og hvordan jeres andre kunder beskyttes. → Kundens TLPT omfatter jeres tjeneste

Hvad er purple teaming?

Et samarbejde, hvor red team og blue team gennemgår et forløb sammen, enten efter en øvelse eller som selvstændig træning. Formålet er, at forsvaret lærer at se det, der blev overset, og at forbedringerne afprøves med det samme. Purple teaming kan være en god første øvelse for en organisation, der ikke er klar til en skjult. → Purple teaming

Hvad skal red team-rapporten indeholde?

Et resumé til ledelsen, et forløb beskrevet scenarie for scenarie, en fælles tidslinje for holdets handlinger og forsvarets observationer, fund med rodårsager og anbefalinger samt de begrænsninger, der gælder for resultatet. Rapporten skal kunne bruges af både direktionen og de teams, der skal rette. → Red team-rapporten

Hvad er TIBER-DK?

Danmarks Nationalbanks implementering af den europæiske TIBER-EU-ramme for trusselsbaserede red team-test i finanssektoren. Nationalbanken koordinerer testene og er dansk TLPT-myndighed. En test efter TIBER-DK følger et fastlagt forløb med trusselsefterretning, red team-test og en afslutning med bl.a. replay og afhjælpningsplan. → TIBER-DK forklaret

Skal vi gennemføre TLPT efter DORA?

Kun hvis myndigheden har udpeget jer. DORA artikel 26 kræver trusselsbaseret penetrationstest af udpegede finansielle virksomheder, som udgangspunkt mindst hvert tredje år. I Danmark er det Nationalbanken, der udpeger. Øvrige finansielle virksomheder skal have et testprogram efter DORA’s almindelige regler. Svaret her er ikke juridisk rådgivning. → Hvem skal gennemføre TLPT?

Tilbyder Nielco IT TIBER-test eller TLPT?

Nej. Nielco IT er ikke udbyder under TIBER-DK eller DORA-TLPT og gennemfører hverken TIBER-test eller TLPT. Nielco IT tilbyder red teaming uden for den ramme, også til finansielle virksomheder, men en sådan øvelse erstatter ikke en TLPT, giver ingen erklæring fra myndigheden og bør ikke omtales som en TIBER-test. → Red teaming uden for TIBER-rammen

Hvad tilbyder Nielco IT inden for red teaming?

Red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering. Til større opgaver tilknyttes konsulenter, som arbejder i Nielco IT’s regi. Der sælges ingen produkter, der er ingen leverandørpartnerskaber, og der underskrives fortrolighedsaftale (NDA) på forespørgsel. → Længerevarende angrebssimulering

Hvad koster en red team-øvelse?

Det afhænger af formål, antal scenarier, varighed, og om social engineering og fysisk adgang er med. Sammenlign derfor tilbud på samme opgavebeskrivelse, og spørg til risikostyring og afrapportering, ikke kun til timer. Hvordan Nielco IT prissætter opgaverne, står under pris og tilbud. → Hvad bestemmer omfanget af en red team-øvelse?

Hvilke opgaver siger I nej til?

Straffesager tager vi ikke, og vi arbejder ikke for personer med kriminelle relationer. Vi giver heller ikke juridisk rådgivning om DORA, TIBER-DK eller andre regler. Øvelser omfatter kun systemer, bygninger og leverandører, som der foreligger skriftlig tilladelse til. → Det påtager vi os ikke

→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT