Oprydning efter øvelsen: adgange, konti og efterladte spor

Når en red team-øvelse slutter, har holdet i uger bevæget sig rundt i organisationen som en modstander, og det kan have efterladt noget de steder, det har været. Spørgsmålet er ikke, om der skal ryddes op, men hvordan sikkerhedsfunktionen ved, at det er sket. Svaret hviler på to ting: en løbende liste over alt, holdet har oprettet, ændret eller placeret, og en kontrol, som white team foretager mod den liste, før øvelsen erklæres afsluttet.

Oprydning efter en almindelig penetrationstest er beskrevet på penetrationtest.dk. En red team-øvelse adskiller sig ved at vare længere, ved at foregå skjult og ved at omfatte mennesker og bygninger. Det gør listen længere og kontrollen sværere.

Hvorfor efterladte spor er en risiko

Alt, hvad holdet har etableret for at komme frem, er en vej, som en anden kan bruge. En adgang, der var kontrolleret under øvelsen, bliver ukontrolleret, når ingen længere holder øje med den. Og fordi øvelsen var skjult, ved de, der driver systemerne, ikke, at sporene findes.

Tiden gør det værre. I en øvelse, der strækker sig over flere uger eller måneder, kan systemer være flyttet, konti omdøbt og medarbejdere i white team skiftet ud. Den, der gav holdet et kort i første uge, er måske ikke længere den, der skal spærre det. Uden en liste, der følger posterne og ikke personerne, går noget tabt.

Der er også en risiko for forvirring. Efterladte konti eller ændringer kan dukke op i en senere undersøgelse og blive taget for tegn på et rigtigt angreb, eller omvendt: et rigtigt spor kan blive afvist som en rest fra øvelsen.

Det, en red team-øvelse kan efterlade

Adgange og konti · konti, holdet har oprettet eller overtaget, og rettigheder, det har fået.
Ændringer i systemer · ændrede indstillinger, regler eller opgaver, der kører automatisk.
Installeret software · det, holdet har brugt til at bevare adgangen eller styre sine handlinger.
Data og flag · kopier af filer, attrapdata og de flag, white team har placeret.
Fysiske genstande · udstyr placeret i bygninger, kort eller nøgler, som holdet har fået udleveret.
Eksterne spor · domæner, profiler eller andet, som holdet har oprettet uden for organisationen som en del af scenariet.
Midlertidige undtagelser · aftaler med leverandører eller vagtselskab om at lade bestemte forhold passere.

Listen er ikke udtømmende. Det afgørende er, at hver post er noteret, da den opstod. → Holdets logbog

Forsvarets egne ændringer

Under øvelsen har blue team måske reageret: spærret konti, isoleret maskiner, nulstillet adgangskoder eller ændret regler. Nogle af de ændringer er gode og bør blive. Andre var midlertidige reaktioner på noget, der viste sig at være en øvelse, og kan give problemer i driften, hvis de bliver stående.

White team bør gennemgå blue teams reaktioner sammen med IT-driften og beslutte for hver, om den skal fastholdes eller rulles tilbage. Beslutningen bør tages med læringen for øje: en ændring, der ville have stoppet holdet, er måske netop den, der skal gøres permanent. → Fra fund til bedre overvågning

Hvem gør hvad

Holdet rydder op efter sig selv i det omfang, det kan. Men nogle ting kan holdet ikke gøre alene, fordi det kræver rettigheder, det ikke længere skal have, eller fordi det handler om systemer hos leverandører. Her skal white team inddrage IT-driften eller leverandøren, og det kan være første gang, de hører om øvelsen. → Driftsleverandører og cloududbydere i øvelsen

Fysiske genstande samles ind af holdet sammen med en kontaktperson fra facility eller sikkerhed. Kort og nøgler, der er udleveret til holdet, spærres eller afleveres og kvitteres.

Eksterne spor uden for organisationen, fx domæner eller profiler, er holdets ansvar at nedlægge. Aftal, hvornår det skal ske, og hvordan det dokumenteres.

Glem ikke de spor, der ligger hos mennesker og i processer. En sag i servicedesken, en registrering i besøgssystemet eller en henvendelse, som en medarbejder stadig tror var ægte, er også rester af øvelsen. De skal ikke slettes i stilhed, men lukkes på en måde, der hænger sammen med debriefingen af de berørte. Ellers risikerer organisationen, at en medarbejder følger op på noget, der aldrig var rigtigt, eller at en sag bliver liggende i statistikken som en reel hændelse. → Debriefing af medarbejdere

Kontrollen

En melding fra holdet om, at der er ryddet op, er ikke nok. White team bør gå listen igennem punkt for punkt og få bekræftet hvert punkt af den, der har adgang til at se det: IT-driften for konti og systemer, facility for bygninger og leverandøren for de dele, den driver.

Det kan være en god idé at lade blue team, som nu kender til øvelsen, lede efter de spor, holdet har noteret. Det er en kontrol af oprydningen og samtidig en øvelse i at finde spor, som forsvaret ikke så undervejs. → Purple teaming

Til sidst underskriver white team-lederen en kort erklæring om, at oprydningen er gennemført og kontrolleret, med eventuelle undtagelser.

Når oprydningen skal vente

Hvis der under eller lige efter øvelsen er opstået en rigtig hændelse, skal oprydningen afvente beredskabets beslutning. Sporene kan være vigtige for at forstå, hvad der skete. → Når white team opdager en ægte hændelse

Det samme gælder, hvis øvelsen skal følges op af en genafprøvning af udvalgte dele. Så kan det være aftalt, at noget bliver stående. I så fald skal det stå på listen med en dato for, hvornår det fjernes.

Det skal I lade være med

At acceptere en mundtlig melding · gå listen igennem og få hvert punkt bekræftet.
At glemme blue teams ændringer · de skal enten fastholdes eller rulles tilbage efter en beslutning.
At lade eksterne spor ligge · domæner og profiler skal nedlægges.
At glemme fysiske genstande · udstyr, kort og nøgler skal samles ind og kvitteres.
At rydde op under en rigtig hændelse · beredskabet skal give lov først.
At lade noget blive stående uden dato · alt, der bliver, skal have en ejer og en frist.

Hvad kan og ikke kan konkluderes

En kontrolleret oprydning efter en løbende liste giver en rimelig sikkerhed for, at øvelsen ikke har efterladt nye veje ind. Den kan ikke garantere, at intet er overset, hvis listen var mangelfuld. Derfor afhænger kvaliteten af oprydningen af, at logbogen blev ført fra første dag.