NIST og red teaming: hvor rammerne nævner øvelsen

Danske sikkerhedsfunktioner bruger de amerikanske rammeværker som fælles sprog, og spørgsmålet er, hvad de faktisk siger om red team-øvelser. Svaret hviler på tre dokumenter fra det amerikanske standardiseringsinstitut: kontrolkataloget SP 800-53 rev. 5, Cybersecurity Framework 2.0 og den tekniske vejledning SP 800-115. Kun kataloget nævner red team-øvelser direkte, og dér er de en valgfri forbedring af kontrollen for penetrationstest. Rammerne er ikke bindende i Danmark, men de kan bruges som pejlemærke for, hvad en øvelse skal kunne.

Kontrollen CA-8 og forbedringen om red team-øvelser

I SP 800-53 rev. 5 handler kontrol CA-8 om penetrationstest. Selve kontrollen beder organisationen om at gennemføre penetrationstest med en hyppighed og på systemer, som organisationen selv fastlægger. Kontrollen har tre forbedringer:

CA-8(1) · et uafhængigt testhold, der er fri af interessekonflikter i forhold til de systemer, der testes.
CA-8(2) Red team exercises · organisationen anvender red team-øvelser, som den selv definerer, til at simulere en modstanders forsøg på at kompromittere systemerne i overensstemmelse med gældende rules of engagement.
CA-8(3) Facility penetration testing · forsøg på at omgå kontrollerne ved fysiske adgangspunkter, varslet eller uvarslet, med en hyppighed, organisationen fastlægger.

Kontrolkatalogets krydsreference på csrc.nist.gov angiver basisniveauerne fra SP 800-53B: CA-8 og CA-8(1) indgår i det høje niveau, mens CA-8(2) og CA-8(3) ikke er valgt til nogen baseline. Red team-øvelsen er altså et tilvalg, også i den amerikanske føderale ramme. Forbedringen findes også i den seneste udgave af kataloget, release 5.2.0. → Rules of engagement i red teaming

Hvad beskrivelsen af CA-8(2) siger

Den ledsagende beskrivelse er det mest brugbare. Den siger, at red team-øvelser udvider penetrationstestens formål ved at undersøge organisationens sikkerhedsniveau og evne til at gennemføre et effektivt forsvar, og at de simulerer forsøg på at kompromittere mission og forretningsfunktioner. Øvelserne kan omfatte både teknologibaserede angreb og social engineering, fx via e-mail, telefon, aflæsning over skulderen og personlige samtaler.

Beskrivelsen peger også på holdet: øvelserne er mest effektive, når de udføres af folk med kendskab til og erfaring med aktuelle modstanderes taktikker, teknikker, procedurer og værktøjer. Og resultatet kan bruges til at forbedre bevidstgørelse og træning og til at vurdere, om kontrollerne virker. Katalogets ordliste definerer en red team-øvelse som en øvelse under virkelige forhold, der simulerer et forsøg på at kompromittere missioner eller forretningsprocesser og giver en samlet vurdering af organisationens sikkerhedsevner. → Modstandersimulering

Det er en god kontrol af jeres egen opgavebeskrivelse: Har øvelsen et forretningsmål, indgår mennesker, og ved I, hvilken modstander der efterlignes?

Test af hændelsesberedskabet og forbedring fra øvelser

Kataloget har også kontrol IR-3, test af hændelsesberedskabet, hvor organisationen selv fastlægger hyppighed og testformer. IR-3 indgår ifølge krydsreferencen i det moderate basisniveau. En red team-øvelse er én måde at teste beredskabet på uden at give blue team besked. Kataloget nævner desuden under RA-5 om sårbarhedsovervågning, at kontrolvurderinger som red team-øvelser giver yderligere kilder til mulige sårbarheder. → Opdagelse, eskalering og reaktion

Cybersecurity Framework 2.0 nævner ikke red teaming. Under funktionen Identify står udfaldet ID.IM-02: forbedringer identificeres ud fra sikkerhedstest og øvelser, også dem, der gennemføres sammen med leverandører og relevante tredjeparter. Under Detect handler kategorien DE.CM om overvågning for at finde unormal aktivitet. En øvelse kan levere til begge: målinger af overvågningen og konkrete forbedringer.

SP 800-115: skjult og åben test

Den tekniske vejledning SP 800-115 fra 2008 bruger ikke ordet red team, men afsnit 2.4.2 beskriver forskellen mellem åben og skjult test. Skjult test sker uden IT-personalets viden, men med den øverste ledelses fulde kendskab og tilladelse. Vejledningen nævner en betroet tredjepart, der kan mægle mellem holdet, ledelsen og IT, så der ikke reageres på en test som på et rigtigt angreb. Det svarer til den rolle, white team har i dag.

Vejledningen siger også, at formålet med skjult test er at undersøge, hvilken skade en modstander kan gøre, og ikke at finde alle sårbarheder, og at testen har grænser, fx at stoppe ved et bestemt adgangsniveau. Det er den samme tankegang som flag og stopregler. → Skjult eller åben øvelse

Sådan kan en dansk organisation bruge rammerne

Rammerne er skrevet til amerikanske føderale systemer og gælder ikke som krav i Danmark. De kan bruges på tre måder:

Som begrebsramme · CA-8(2) og SP 800-115 giver et fælles sprog for forskellen på penetrationstest og red team-øvelse.
Som målepunkt · ID.IM-02 og IR-3 viser, hvordan resultater kan føres tilbage til forbedring og test af beredskab.
Som kontrol af opgaven · beskrivelsen af CA-8(2) kan bruges til at tjekke, at øvelsen har forretningsmål, rules of engagement og et hold med kendskab til aktuelle modstandere.

Hvis en koncern med amerikanske aktiviteter eller en kunde med amerikanske krav beder om dokumentation efter kataloget, så spørg, hvilken baseline og hvilken udgave der menes. En øvelse kan dokumenteres som CA-8(2), men kun hvis I selv har defineret, hvilke øvelser forbedringen dækker, og hvis rules of engagement er på plads.

Arbejder I med MITRE ATT&CK til at beskrive modstanderens adfærd, passer det med katalogets vægt på taktikker, teknikker og procedurer. → MITRE ATT&CK i red teaming

Det skal I lade være med

At kalde red teaming et krav i SP 800-53 · CA-8(2) er en valgfri forbedring uden baseline.
At citere CSF 2.0 for red teaming · rammen taler om test og øvelser generelt.
At læse SP 800-115 som en moderne red team-metode · den er fra 2008 og handler om sikkerhedstest bredt.
At bruge rammerne som dansk retsgrundlag · de er pejlemærker.
At blande kontrolforbedringerne sammen · CA-8(3) om fysiske adgangspunkter er en selvstændig forbedring ved siden af CA-8(2).

Hvad kan og ikke kan konkluderes

Rammerne viser, at red team-øvelser har en fast plads i det amerikanske kontrolkatalog som et tilvalg til penetrationstest, og at test og øvelser skal føre til forbedringer. De siger ikke, hvor ofte en dansk organisation skal gennemføre en øvelse, eller at den skal gøre det.