Den første red team‑øvelse: et realistisk første mål

Den første red team-øvelse kan blive planlagt, som om den skulle besvare alt på én gang: om forsvaret opdager en modstander, om beredskabet virker, om medarbejderne lader sig narre, og om de vigtigste data kan beskyttes. Et realistisk første mål er smallere. Det hviler på ét spørgsmål, ét forretningsmål og en ramme, som organisationen kan styre, mens den lærer, hvad en øvelse kræver af den.

Svaret på titlens spørgsmål er derfor: Vælg et mål, som øvelsen kan nå at belyse ordentligt, og som giver jer et resultat, I kan handle på. Resten kan vente til næste gang.

Første gang øver organisationen også sig selv

En red team-øvelse afprøver forsvaret, men den afprøver også jeres evne til at gennemføre en øvelse. White team skal finde sin form, tilladelserne skal samles, stopregler skal aftales, og nogen skal kunne skelne en alarm fra øvelsen fra en alarm fra virkeligheden. Den slags erfaring kommer først, når organisationen har prøvet det.

Det taler for at holde den første øvelse overskuelig. Et smalt forløb giver white team tid til at træffe gode beslutninger, og det mindsker risikoen for, at selve styringen bliver det, der går galt. → White team

Første gang er det også en fordel at skrive ned, hvad white team lærte om sit eget arbejde: hvilke beslutninger der tog for lang tid, hvem der manglede i gruppen, og hvilke aftaler der viste sig at være uklare. De notater er grundlaget for, at næste øvelse kan blive bredere uden at blive sværere at styre. De bør ligge ved siden af rapporten og ikke i den, fordi de handler om organisationen som bestiller og ikke om forsvaret.

Overvej også, hvor mange personer i sikkerhedsfunktionen der realistisk kan afsætte tid i perioden. En øvelse, der løber samtidig med en stor migrering eller et revisionsbesøg, får næppe den opmærksomhed, den kræver.

Ét spørgsmål og ét mål

Begynd med det spørgsmål, ledelsen faktisk vil have besvaret. Et godt førstegangsspørgsmål er konkret og knyttet til en forretningsfunktion, fx om en modstander, der har fået fodfæste på en almindelig arbejdsstation, kan nå frem til data i økonomisystemet, og om nogen opdager det undervejs.

Målet skal kunne beskrives, så alle i white team er enige om, hvornår det er nået. Et uklart mål som at teste hele forsvaret giver en rapport, der er svær at bruge, fordi ingen ved, hvad den skulle måle. → Formålet med øvelsen

Et udgangspunkt, der sparer tid

En øvelse kan bruge en stor del af tiden på at komme ind. Det kan være værdifuldt, men det er ikke altid det, organisationen har mest brug for at vide første gang. Hvis spørgsmålet handler om opdagelse og reaktion inde i netværket, kan I aftale, at holdet starter fra et givet udgangspunkt, fx en almindelig medarbejders arbejdsstation.

Valget har konsekvenser for, hvad resultatet kan sige. En øvelse med aftalt udgangspunkt siger intet om, hvor let det er at komme ind udefra. Til gengæld bruges tiden på den del af forløbet, hvor forsvaret har flest muligheder for at reagere. → Udgangspunkt i assumed breach

Mennesker og bygninger: med eller ikke med første gang

Social engineering og fysisk adgang hører til red teaming, men de øger kravene til tilladelser, HR, udlejer, vagtselskab og debriefing. For en organisation, der aldrig har gennemført en øvelse, kan det være klogt at holde dem ude eller begrænse dem til en enkelt, nøje afgrænset del.

Det er ikke et udtryk for, at de menneskelige og fysiske sider er mindre vigtige. Det er et valg om rækkefølge, så organisationen først lærer at styre den tekniske del og derefter tager mennesker med, når processerne for hensyn og debriefing er på plads. Nielco IT tilbyder red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering, og I bør drøfte rækkefølgen med enhver leverandør, I overvejer. → Når social engineering bør holdes ude

Forventninger, der holder

Den første øvelse vil sandsynligvis vise huller i opdagelsen. Det er ikke et tegn på, at øvelsen var forkert, og det er ikke en karakter. Forbered ledelsen på, at resultatet er et forløb med observationer, ikke en dom om, hvorvidt organisationen er sikker.

Varigheden skal også være realistisk. For de regulerede test i finanssektoren beskriver TIBER-DK en aktiv testperiode på mindst tolv uger. En frivillig første øvelse er ikke bundet af den ramme, men tallet viser, at en realistisk efterligning af en tålmodig modstander tager tid. En meget kort øvelse vil mest sige noget om, hvad forsvaret opdager, når holdet har travlt.

Et tænkt eksempel

En forsikringsvirksomhed med egen SOC beslutter at gennemføre sin første øvelse. Det oprindelige ønske er at afprøve alt: phishing, kontorbygningen, kundeportalen og de interne systemer. White team skærer det ned til ét spørgsmål: Opdager overvågningen, hvis en modstander med en medarbejders adgang bevæger sig mod skadesbehandlingens data?

Holdet starter fra en aftalt arbejdsstation. Bygningen og medarbejderne holdes ude denne gang, men det noteres som emne til næste øvelse. Resultatet bliver en tidslinje, der viser, hvor overvågningen reagerede, og hvor den ikke gjorde. Det er et svar, der kan omsættes til konkrete forbedringer, og white team har fået erfaring, der gør næste øvelse lettere. → Den næste øvelse

Det skal I lade være med

At samle alle ønsker i én øvelse · bredden går ud over dybden og over styringen.
At vælge et mål, ingen kan beskrive · så kan ingen sige, om det blev nået.
At love ledelsen et bestået eller dumpet · øvelsen giver observationer, ikke en karakter.
At tage mennesker med, før processerne er klar · debriefing og HR skal være på plads først.
At presse tidsplanen · en for kort øvelse måler mest holdets tempo.

Hvad kan og ikke kan konkluderes

En smal første øvelse kan vise, hvordan forsvaret håndterer ét realistisk forløb, og den giver organisationen erfaring med at styre en øvelse. Den kan ikke sige noget om scenarier, den ikke omfattede, eller om de dele, der blev holdt ude. Et godt resultat i én funktion betyder ikke, at andre funktioner er lige så godt beskyttet. → Hvad red teaming ikke kan svare på