Red teaming uden egen SOC

En større organisation har ikke nødvendigvis et eget security operations center. Overvågningen er købt hos en leverandør, delt med en driftsleverandør eller dækker kun en del af miljøet. Det udelukker ikke en red team-øvelse, men det ændrer, hvad øvelsen kan svare på. Svaret hviler på, hvem der i praksis modtager alarmerne, hvad aftalen med dem siger, og hvordan en alarm finder vej til nogen hos jer, der kan træffe beslutninger.

Uden egen SOC er det ikke kun leverandørens overvågning, der afprøves. Det er hele kæden fra leverandørens opdagelse til jeres reaktion, og det kan være overgangen mellem de to, der viser sig at være det svage led.

Tre forskellige udgangspunkter

Situationen ser forskellig ud fra organisation til organisation, og øvelsen skal tilpasses:

Købt overvågning · en leverandør overvåger døgnet rundt eller i bestemte tidsrum og eskalerer til jer efter en aftalt procedure.
Delvis overvågning · nogle systemer overvåges af en leverandør, andre af jeres egen drift, og nogle slet ikke.
Ingen egentlig overvågning · logfiler indsamles måske, men ingen ser systematisk på dem.

De tre situationer kræver forskellige spørgsmål. I den første er spørgsmålet, om den købte tjeneste og jeres egen eskalering virker sammen. I den anden er det, om forløbet falder ned mellem to ansvarsområder. I den tredje kan spørgsmålet allerede være besvaret, og en anden øvelsesform giver mere læring.

Kortlæg derfor først, hvem der ser hvad. En simpel oversigt over systemerne i scenariet, med den part, der overvåger dem, og de tidsrum, overvågningen dækker, gør det lettere at vælge spørgsmål. Den viser også, hvilke dele af forløbet der kan måles, og hvilke der på forhånd må regnes som uovervågede.

Når overvågningen er købt

Overvågningsleverandøren er en del af forsvaret. TIBER-DK, Nationalbankens ramme for de regulerede test, regner udtrykkeligt eksterne ressourcer som en ekstern SOC med til blue team. Det er en god tommelfingerregel også uden for de regulerede test.

Det første, der skal afklares, er kontrakten. Tillader den, at leverandøren afprøves uden at være orienteret? Skal en kontaktperson hos leverandøren kende til øvelsen for at kunne skille den fra virkelige hændelser? Og hvad sker der, hvis leverandøren opdager holdet og iværksætter sin egen hændelsesprocedure, fx ved at inddrage tredjeparter? Svarene skal være på plads, før holdet går i gang. → SOC-leverandøren og øvelsen

Overvej også, om leverandøren skal have del i resultatet. En leverandør, der får tidslinjen at se, kan forbedre sine regler og sin eskalering. En leverandør, der kun får at vide, at den ikke opdagede noget, har mindre at arbejde med. Det kan desuden være en god anledning til at gennemgå aftalen: svarede leverandøren inden for det, der står i kontrakten, og er det, der står i kontrakten, godt nok til jeres behov? Den samtale bliver mere konkret, når den tager udgangspunkt i et dokumenteret forløb og ikke i en generel bekymring.

Overgangen mellem leverandør og jer

Når en leverandør opdager noget, kan den sende en besked eller ringe til en kontaktperson. Hvad der derefter sker, er jeres ansvar. Hvem modtager beskeden? Har personen mandat til at handle? Hvad sker der, hvis beskeden kommer en søndag morgen?

Det er her, øvelser uden egen SOC kan give de mest brugbare resultater. Det kan vise sig, at leverandøren gjorde, hvad aftalen sagde, men at beskeden landede hos en person på ferie, i en postkasse, ingen læste, eller hos en medarbejder, der ikke vidste, hvem der skulle eskaleres til. Den slags huller kan kun findes ved at afprøve hele kæden. → Eskalering

Tidsrummet er også vigtigt. Hvis aftalen kun dækker dagtimerne, bør I beslutte, om øvelsen skal afprøve, hvad der sker uden for dem, eller om det er et kendt forhold, som ikke behøver bekræftelse. → Overvågning uden for arbejdstid

Når ingen overvåger

Hvis ingen systematisk ser på logfiler og alarmer, vil en skjult øvelse med stor sandsynlighed vise, at forløbet ikke blev opdaget. Det kunne sikkerhedsfunktionen have skrevet på forhånd. En sådan øvelse kan stadig være nyttig, hvis formålet er at overbevise ledelsen om behovet, men den er en dyr måde at gøre det på.

Så kan det være bedre at vælge en åben form. I en purple teaming-øvelse arbejder holdet sammen med dem, der skal bygge overvågningen op, så hvert skridt bruges til at afprøve, om det kan ses i logfilerne, og hvad der skal til for at opdage det. Det giver et grundlag for at beslutte, hvilken overvågning der skal købes eller bygges, og hvad den skal kunne. → Purple teaming eller red teaming først?

Det, der kan måles

Selv uden egen SOC kan en øvelse måle meget. Blandt det, I kan få svar på:

Opdagelse hos leverandøren · hvilke af holdets handlinger udløste en alarm, og hvor hurtigt?
Eskalering til jer · hvor lang tid gik der, fra leverandøren reagerede, til nogen hos jer handlede?
Spor uden opdagelse · hvilke handlinger blev logget, men ikke set af nogen?
Beslutninger hos jer · traf de rette personer beslutninger, og havde de mandat til det?

Det sidste punkt kræver, at I bagefter kan sammenligne holdets logbog med jeres egne og leverandørens oplysninger. Aftal derfor på forhånd, hvilke data leverandøren udleverer efter øvelsen, og hvor længe de gemmes. Nogle tjenester gemmer kun detaljerede data i en kort periode, og så skal udleveringen ske hurtigt efter afslutningen. → Tid til opdagelse

Det skal I lade være med

At skjule øvelsen for leverandøren uden at have læst kontrakten · det kan bryde aftalen og skabe unødig uro.
At måle leverandøren alene · overgangen til jer kan være det svage led.
At gennemføre en skjult øvelse, hvor ingen overvåger · resultatet er kendt på forhånd.
At glemme dataene bagefter · uden leverandørens logfiler kan tidslinjen ikke laves.
At holde resultatet fra leverandøren · så kan den ikke forbedre sin del.

Hvad kan og ikke kan konkluderes

En øvelse uden egen SOC kan vise, hvordan den købte overvågning og jeres egen reaktion fungerer sammen i ét forløb. Den kan ikke vurdere leverandørens tjeneste som helhed, og den kan ikke sige, om en egen SOC ville have gjort det bedre. Resultatet beskriver kæden, som den var under øvelsen, ikke hvordan den burde være indrettet.

Tjekliste før en øvelse uden egen SOC

☐ Er det beskrevet, hvem der overvåger hvilke systemer, og i hvilke tidsrum?
☐ Er kontrakten med overvågningsleverandøren læst med henblik på øvelsen?
☐ Er det besluttet, om en kontaktperson hos leverandøren skal kende til øvelsen?
☐ Er eskaleringen fra leverandøren til jer en del af det, der afprøves?
☐ Er det aftalt, hvilke data leverandøren udleverer bagefter?
☐ Er det overvejet, om en åben øvelse giver mere læring lige nu?