Detail og e‑handel: butikker, lagre og højsæson som rammer for øvelsen

En detailkæde har butikker, lagre, en netbutik og et betalingsflow, der skal virke hver dag og mest af alt i de uger, hvor omsætningen er størst. Det gør tre valg afgørende for en red team-øvelse: hvilke lokationer der skal med, hvornår øvelsen må ligge, og om betalingen er mål eller fredet område. Svaret hviler på kædens egen risikovurdering og på de rammer, kortdatastandarden og databeskyttelsesreglerne sætter.

Hvad en penetrationstest af kasser, butiksnet og webshop skal omfatte, er beskrevet på penetrationtest.dk. Her er spørgsmålet, om kæden opdager og stopper en målrettet modstander, der bruger de veje, en kæde med ens lokationer åbner.

Hvilke butikker der skal med

Butikker i en kæde ligner hinanden: samme indretning, samme kasseløsning, samme rutiner for varemodtagelse. Det er en fordel for øvelsen. Én eller to butikker kan stå for resten, og fundene kan bagefter vurderes for hele kæden.

Vælg butikkerne efter scenariet og ikke efter bekvemmelighed. Den interessante vej kan gå fra butikken til de fælles systemer: butiksnettet, kasseserveren, varebestillingen og de konti, som hovedkontoret bruger til at fjernadministrere butikkerne. Skal øvelsen vise, om en person kan komme fra butikken ind i kædens fælles systemer, så vælg en butik med almindelig opsætning og ikke flagskibsbutikken med ekstra bemanding. Franchisebutikker og butikker i lejede centre kræver tilladelse fra flere end jer. → Scenarievalg

Højsæson og tidspunkt

Black Friday, julehandel og udsalg er perioder, hvor driften ikke tåler forstyrrelser, og hvor IT og butikker har travlt. Det taler for at holde øvelsens risikable dele væk fra de uger.

Samtidig er travlhed en del af virkeligheden. En modstander vælger måske netop det tidspunkt, hvor vikarer står i butikken, og hvor overvågningen drukner i trafik. Et kompromis kan være at lægge forberedelse og de første faser i en roligere periode og lade en afgrænset del, fx en enkelt social engineering-henvendelse, falde tæt på en travl periode med skærpede stopregler. Beslutningen skal stå i risikovurderingen af øvelsen. → Risikovurdering af selve øvelsen

Tænk også på blue team. Hvis overvågningen i højsæsonen er bemandet anderledes end resten af året, fx med flere vagter eller en leverandør, der tager over om natten, så måler øvelsen den bemanding, der var på det tidspunkt. Skriv det ned, så resultatet ikke bliver læst som et billede af hele året.

Betalingsflowet: mål eller fredet område

Betalingskort skaber et særskilt miljø. PCI DSS kræver blandt andet penetrationstest af kortdatamiljøet efter krav 11.4 og en hændelsesplan, der efter krav 12.10.2 skal gennemgås og afprøves mindst hver tolvte måned. Det siger ikke noget om red teaming, men det betyder, at kortdatamiljøet allerede afprøves på andre måder.

For øvelsen er spørgsmålet, om kortdatamiljøet skal være mål. Det kan være relevant at vise, om en modstander kunne nå grænsen til det. At gå ind i selve betalingen og røre kortdata er ikke nødvendigt for at bevise pointen og kan skabe egne forpligtelser. Et scenarie, der går efter processen omkring betalingen, fx ændring af en leverandørs kontonummer, kan sige mere om kædens forsvar end et forsøg på at nå kortdata. → Betalingssvindel som scenarie

Standardens krav og forholdet til en frivillig øvelse er beskrevet for sig. → PCI DSS og red teaming

Lagre og distributionscentre

Lageret er der, hvor varerne har værdi, og hvor folk udefra kommer og går: chauffører, vikarer og håndværkere. Det gør det til et relevant sted at afprøve adgangsprocesser. Samtidig kører der truck, transportbånd og robotter, hvor en fremmed person kan komme til skade eller skabe fare.

Aftal derfor, at holdet ikke bevæger sig ind i aktive arbejdsområder, og at et stop fra en medarbejder respekteres med det samme. Vagtselskabet og alarmcentralen skal indgå i planen, så en tilkaldt patrulje ikke møder holdet uforberedt. → Vagtselskab og alarmcentral

Butikspersonalet i social engineering

Butiksmedarbejdere er trænet i at hjælpe kunder. Det er en styrke i hverdagen og en sårbarhed over for en, der udgiver sig for at være fra IT eller hovedkontoret. Det gør dem til relevante mål, men også til en gruppe, der let kan føle sig udstillet bagefter.

Fokusér på processen: Kunne medarbejderen tjekke henvendelsen et sted, og blev der reageret, da noget føltes forkert? Undgå at navngive butikker eller personer i rapporten, og sørg for en debriefing, der forklarer formålet. Butikschefen er den naturlige person at tage den samtale med, men butikschefen skal så vide besked kort efter, at henvendelsen er sket, og ikke først uger senere. Aftal også, hvad medarbejderen må fortælle kolleger, mens øvelsen stadig kører i andre dele af kæden. → Medarbejderhensyn

Netbutikken og kundedata

Netbutikken og kundekonti rummer personoplysninger. Efter databeskyttelsesforordningens artikel 32, stk. 1, litra d, kan passende sikkerhed omfatte en procedure, hvor effektiviteten af foranstaltningerne regelmæssigt afprøves og evalueres. En øvelse kan indgå i den afprøvning, men forordningen nævner ikke red teaming. Hvad holdet må se og gemme af kundedata, skal aftales med databeskyttelsesrådgiveren før start. Teksten er ikke juridisk rådgivning.

Netbutikken kører måske på en platform, som en udbyder driver. Så gælder udbyderens regler for test, og udbyderens tilladelse skal foreligge, før holdet bruger netbutikken som indgang eller mål. Angreb, der skal lægge netbutikken ned, hører ikke hjemme i en red team-øvelse i en kæde, der lever af at have åbent. Vil I vide, om netbutikken kan holde til en stor belastning, er det en anden test med et andet formål.

Det skal I lade være med

At lægge øvelsens risikable dele i højsæsonen uden en bevidst beslutning · vælg tidspunktet i risikovurderingen.
At tage flagskibsbutikken som eksempel på kæden · vælg en butik med almindelig opsætning.
At lade holdet røre kortdata for at bevise et fund · grænsen til kortdatamiljøet er nok.
At sende holdet ind i lagerets aktive arbejdsområder · sikkerheden går forud for realismen.
At udpege enkelte butiksansatte i rapporten · beskriv processen.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om en modstander kan bruge en butik, et lager eller en henvendelse til personalet som vej ind til kædens fælles systemer, og om nogen opdagede det. Den kan ikke vise, at alle butikker har samme niveau, og den erstatter ikke de test, kortdatastandarden selv kræver.

Tjekliste før øvelsen i kæden

☐ Er butikker og lagre valgt efter scenariet, og er tilladelser fra udlejere og franchisetagere indhentet?
☐ Er højsæson og kampagneperioder taget med i risikovurderingen?
☐ Er det besluttet, om kortdatamiljøet er mål eller fredet område?
☐ Er aktive arbejdsområder på lageret holdt ude?
☐ Er vagtselskab og alarmcentral med i planen?
☐ Er databeskyttelsesrådgiveren inddraget om kundedata?