Fysisk adgang i red teaming: hvad skal besluttes?

Hvis en modstander kan gå ind i jeres bygning, kan tekniske kontroller stå svagere, end de ser ud på papiret. Derfor kan fysisk adgang være en del af en red team-øvelse, men den del kræver flere beslutninger end nogen anden. Svaret på, hvad der skal besluttes, hviler på fire spørgsmål: hvilken antagelse om bygningen øvelsen skal afprøve, hvilke lokationer og tidsrum der indgår, hvem der kan give tilladelse, og hvordan den fysiske del hænger sammen med resten af scenariet. Når de fire er besvaret og skrevet ned, kan delen gennemføres forsvarligt.

Fysisk adgang som tillæg til en almindelig penetrationstest er beskrevet på penetrationtest.dk. I en red team-øvelse er den fysiske del ikke et tillæg, men et led i et scenarie, og det ændrer, hvad der skal besluttes.

Antagelsen, der skal afprøves

Sikkerhedsbeslutninger kan bygge på en antagelse om bygningen: at kun ansatte kommer ind i kontorområdet, at serverrummet kun åbnes af få, at en besøgende altid er ledsaget. Den fysiske del af øvelsen bør formuleres som en afprøvning af en eller flere af disse antagelser. → Mål for øvelsen

Formuleringen styrer resten. Hvis antagelsen er, at besøgende altid ledsages, handler delen om processer i receptionen og på gangene. Hvis antagelsen er, at et bestemt rum er lukket, handler den om adgangskontrol og opmærksomhed omkring netop det rum. Et uklart formål som at se, om holdet kan komme ind, giver et resultat, der er svært at bruge, fordi ingen ved, hvad det skulle vise.

Skriv også, hvad der tæller som et nået mål. Det kan være, at holdet dokumenterer at have været i et bestemt rum, eller at det placerer et aftalt mærke et sted, white team kan kontrollere. Et klart kriterium gør det lettere at afslutte delen uden diskussion, og det betyder, at holdet ikke behøver at gå længere end nødvendigt for at bevise sin pointe.

Lokationer og tidsrum

En organisation med flere adresser skal vælge. Det er ikke nødvendigvis påkrævet at inddrage alle; det kan være bedre at vælge den lokation, hvor antagelsen betyder mest, eller hvor scenariet naturligt ville gå igennem.

Lokationer · hvilke adresser og hvilke dele af dem der indgår, og hvilke der er udelukket.
Rum med særlig risiko · fx rum med udstyr, der ikke må forstyrres, eller rum med sundhedsdata eller kundedata.
Tidsrum · om delen sker i arbejdstiden, uden for den eller begge dele, og hvilke dage der er udelukket.
Varighed · hvor længe holdet må forsøge, før white team overvejer et leg-up eller afslutter delen.

Uden for arbejdstiden er risikoen for en alvorlig misforståelse større, fordi færre kan bekræfte øvelsen, og fordi en vagt eller en alarm kan føre til udrykning. Det bør vægtes, før tidsrummet vælges. → Vagtselskab og alarmcentral

Tilladelserne

Straffeloven har en bestemmelse om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted. Det er tilladelsen fra den, der råder over stedet, der gør holdets adgang berettiget, og derfor skal tilladelserne være på plads for hver lokation. Teksten er ikke juridisk rådgivning.

Ejer organisationen selv bygningen, kan ledelsen give tilladelsen. Lejer den, kan udlejeren råde over indgange og fællesarealer, og der kan være andre lejere, der deler reception og elevatorer. → Lejede lokaler og fælles bygninger

Tjek også, om andre har aftaler, der berører bygningen, fx et rengøringsselskab, en kantineleverandør eller en servicepartner på adgangskontrollen. De skal ikke nødvendigvis kende til øvelsen, men I skal vide, om de kan blive berørt.

Tilladelserne samles i et tilladelsesbrev, som holdet har med. Brevet er holdets dokumentation, hvis det bliver standset. → Tilladelsesbrevet

Grænser for, hvad holdet må

Ud over hvor og hvornår skal det stå klart, hvad holdet må gøre på stedet. Her er nogle af de grænser, der kan aftales:

Ingen skade · intet må beskadiges, og døre, låse og inventar skal efterlades, som de blev fundet.
Intet fjernes · holdet må ikke tage dokumenter eller udstyr med; et mål dokumenteres på anden vis.
Ingen konfrontation · holdet trækker sig, hvis en situation spidser til, og viser brevet.
Ingen tredjeparter · andre lejere, besøgende og leverandørers ansatte må ikke inddrages.
Dokumentation · hvad holdet må fotografere, og hvordan billeder opbevares.

Hvordan billeder og optagelser håndteres, er beskrevet i → Billeder og optagelser fra fysisk adgang.

Sammenhængen med resten af scenariet

En fysisk del giver mest værdi, når den er et led i scenariet og ikke en selvstændig prøve. Hvis holdet kommer ind, er spørgsmålet, hvad det betyder for den digitale del: kan en modstander med fysisk adgang komme videre, og bliver det opdaget? Hvis holdet ikke kommer ind, kan scenariet fortsætte fra et aftalt punkt, så den digitale del alligevel bliver afprøvet.

Det kræver, at white team har en person, der ejer den fysiske del og kender bygningerne, fx fra facility management. Den person kan vurdere risici, som sikkerhedsfunktionen ikke ser, og kan være kontakt, hvis holdet bliver standset. Personen bør også vide, hvilke ombygninger, flytninger eller arrangementer der er planlagt i perioden, så øvelsen ikke falder sammen med en dag, hvor bygningen er fuld af gæster eller håndværkere, og hvor resultatet derfor ikke ville sige meget om en almindelig hverdag.

Nielco IT tilbyder red teaming, hvor fysisk adgang kan indgå, og større opgaver løses med tilknyttede konsulenter, der arbejder i firmaets regi.

Det skal I lade være med

At vælge et uklart formål · delen skal afprøve en bestemt antagelse om bygningen.
At tage alle lokationer med · vælg dem, hvor antagelsen betyder mest.
At glemme udlejer og naboer · jeres tilladelse dækker kun det, I selv råder over.
At lade tidsrummet være åbent · aftal dage og tidspunkter, og overvej risikoen uden for arbejdstid.
At behandle delen som selvstændig · den skal hænge sammen med resten af scenariet.

Hvad kan og ikke kan konkluderes

En fysisk del af øvelsen kan vise, om bestemte antagelser om bygningen holdt på bestemte lokationer og tidspunkter, og hvad det betød for resten af scenariet. Den kan ikke vise, at bygningen er sikker på andre tidspunkter, med andre medarbejdere til stede eller på adresser, der ikke indgik. At holdet ikke kom ind, er et resultat om den konkrete situation og ikke en garanti.