Fejl at undgå ved red teaming set fra bestilleren

En red team-øvelse kan gå galt, selv om holdet gør alt rigtigt. De mest kostbare fejl opstår hos den, der bestiller og styrer øvelsen: i formålet, i afgrænsningen, i styringen undervejs og i det, der sker bagefter. Gennemgangen her bygger på faserne i en øvelse og på de ansvar, der ligger hos sikkerhedsfunktionen og white team.

Kort fortalt er de fejl, der er værd at undgå, at øvelsen mangler et klart spørgsmål, at afgrænsningen enten er for snæver eller ikke er afklaret, at white team ikke har mandat til at træffe beslutninger, at mennesker bliver behandlet som fund, og at resultatet aldrig bliver omsat til handling.

Fejl i formålet

Den første fejl sker, før leverandøren er valgt. En øvelse, der bestilles for at “teste sikkerheden”, har ikke et spørgsmål, og så kan ingen bagefter sige, om den gav svar. Holdet vælger selv en vej, rapporten beskriver den, og ledelsen får et indtryk uden en konklusion.

Beslægtet er den fejl at bestille red teaming, fordi en anden organisation har gjort det, eller fordi en revisor har nævnt ordet. Hvis organisationen endnu ikke har styr på de grundlæggende svagheder, vil holdet bruge tiden på at finde dem, og det kunne en penetrationstest have gjort billigere og mere grundigt. → Spørgsmålet bag øvelsen

Intet spørgsmål · øvelsen kan ikke evalueres.
For mange spørgsmål · øvelsen kan ikke besvare dem alle med den tid, der er.
Forkert form · et spørgsmål om enkeltsystemer hører til en penetrationstest.
Ingen ejer i ledelsen · resultatet mangler en modtager, der kan beslutte.

Vælg heller ikke leverandør alene ud fra pris eller kendskab. Spørg til erfaring med lignende opgaver, til risikostyring og til, hvordan holdet håndterer mennesker og data.

Fejl i afgrænsningen

Afgrænsningen kan gå galt i begge retninger. For snæver, og øvelsen bliver en kunstig situation, hvor holdet kun må bruge veje, ingen virkelig angriber ville vælge. For bred og uafklaret, og holdet risikerer at bevæge sig ind i systemer hos leverandører eller i lokaler, hvor ingen har givet tilladelse.

En særlig fejl er at frede for meget af hensyn til driften uden at skrive ned, hvorfor. Fredede områder er legitime, men de skal begrundes, så resultatet kan læses med den viden. Det samme gælder leverandører: hvis en vigtig vej går gennem en driftsleverandør, skal det afklares tidligt, om den kan indgå. → Scope for red teaming

Tidspunktet hører også til afgrænsningen. En øvelse, der lægges oven i en stor systemomlægning, et skift af SOC-leverandør eller en travl periode i regnskabsafdelingen, måler noget andet end den normale tilstand. Det kan være et bevidst valg, men så skal det stå i formålet. Ellers bliver resultatet svært at tolke, og det kan belaste drift og medarbejdere unødigt.

Fejl i styringen undervejs

White team skal kunne træffe beslutninger, mens øvelsen kører. En leder af white team uden mandat, eller uden direkte adgang til den øverste ledelse, kan ikke stoppe øvelsen, når det er nødvendigt, og kan heller ikke beskytte den, når en opdagelse er ved at eskalere til en reel hændelse.

Andre fejl i styringen:

Manglende stopregler · ingen ved, hvornår øvelsen skal standses, og hvem der beslutter det.
For stor kreds af indviede · jo flere der kender til øvelsen, jo mindre siger resultatet om forsvarets normale tilstand.
Uklar adskillelse af øvelse og angreb · blue team kan ikke få bekræftet, om aktiviteten er en del af øvelsen, uden at øvelsen afsløres.
Ingen statusmøder · white team opdager først problemer, når de er blevet store.
Ændringer uden spor · scenariet bliver ændret undervejs, men ingen skriver ned, hvorfor.

→ Stopregler i red teaming

Fejl i forholdet til medarbejdere

Social engineering og fysisk adgang involverer mennesker, der ikke har sagt ja til at være med. Den alvorligste fejl er at behandle dem som fund: at nævne dem ved navn i rapporten, at lade deres ledere få at vide, hvem der klikkede eller åbnede døren, eller at bruge resultatet i en personalesag.

Det skader tilliden og gør medarbejderne mindre tilbøjelige til at melde mistænkelige forhold fremover, hvilket er det modsatte af hensigten. Fund om mennesker skal skrives som fund om processer, uddannelse og rammer. Aftal på forhånd med HR, hvordan berørte medarbejdere får besked, og hvordan de bliver behandlet bagefter. → Medarbejderhensyn i red teaming

Fejl i rapportering

Rapporten kan være grundig og alligevel ubrugelig. Hvis den kun beskriver holdets vej og ikke forsvarets reaktion, mangler halvdelen af svaret. Hvis den kun er skrevet til teknikere, kan ledelsen ikke bruge den. Og hvis den indeholder detaljer om åbne svagheder, men sendes bredt rundt, bliver den selv en risiko.

En anden fejl er at præsentere resultatet som en dom: holdet nåede målet, altså er organisationen usikker, eller holdet blev opdaget, altså er alt i orden. Begge læsninger springer det over, øvelsen faktisk kan vise, nemlig hvor og hvornår forsvaret greb ind, og hvad der forklarer det.

Endelig kan rapporten komme for sent. Hvis der går lang tid fra øvelsens afslutning til rapporten, er erindringen hos blue team falmet, og systemerne kan være ændret. Aftal frister for rapporterne i kontrakten, og planlæg replay og lessons learned, mens forløbet stadig er frisk hos alle.

Fejl i opfølgningen

Den dyreste fejl er at stoppe ved rapporten. Fund uden ejer, uden frist og uden status bliver liggende, og ved næste øvelse finder holdet de samme veje. Handlingsplanen skal have ejere uden for sikkerhedsfunktionen, fordi fundene kan handle om IT-drift, HR, facility og leverandører.

Glem heller ikke at give det, der virkede, opmærksomhed. Hvis en medarbejder i servicedesken eller en analytiker i SOC’en gjorde det rigtige, er det en del af resultatet, og det styrker den adfærd, organisationen ønsker. → Opfølgning efter øvelsen

Det skal I lade være med

At bestille uden et spørgsmål, ledelsen har godkendt.
At give white team ansvaret uden mandatet.
At frede områder uden at skrive begrundelsen ned.
At bruge resultatet om enkeltpersoner.
At lade rapporten være slutpunktet.

Hvad kan og ikke kan konkluderes

De fejl, der er beskrevet her, er ikke en fuldstændig liste, og hver organisation vil have sine egne faldgruber. Fejlene ovenfor kan forebygges i planlægningen, før holdet går i gang. En øvelse, der undgår dem, er ikke derfor fejlfri, men resultatet kan bruges til det, det var tænkt til. → Tjekliste til white team