Red Team Assessment
Ein Penetrationstest fragt, wie viel im Argen liegt. Ein Red Team Assessment stellt stattdessen eine einzige Frage: Können wir an eine bestimmte Sache herankommen, die Ihnen wichtig ist - und hält uns jemand unterwegs auf? Das Ergebnis ist keine Zahl an Feststellungen. Es ist eine Chronologie dessen, was wir getan haben, neben dem, was Sie gesehen haben.
Was enthalten ist
- Ein Ziel, das Sie festlegen: ein Datenbestand, ein System, eine Transaktion, eine Berechtigungsstufe
- Eine vorab vereinbarte, realistische Ausgangsposition
- Leiser Betrieb mit Werkzeugen und Zeitpunkten, die offensichtliche Signaturen vermeiden
- Ein vollständiges Aktivitätsprotokoll mit Zeitstempeln, damit sich jede Aktion abgleichen lässt
- Abgleich der Erkennung mit dem, was Ihr Team tatsächlich gesehen hat
Was Sie erhalten
- Erzählende Chronologie der Operation, Stunde für Stunde
- Gegenüberstellung unserer Aktionen und Ihrer Alarme
- Die konkreten Lücken, durch die jede Phase unbemerkt blieb
- Behebung getrennt nach dem, was zu beheben, und dem, was zu erkennen ist
- Live-Debriefing mit der Engineering- und der Detection-Seite
- Attestierungsschreiben für Auditoren und Kunden, auf Anfrage
- Behebungsnachweis nach dem Retest, als eigenständiges Dokument
Zuschnitt des Projekts
- Individuell beauftragtVor Testbeginn schriftlich fixiert. In der Regel zwei bis vier WochenÜbliches Zeitfenster. Ausgerichtet an Ihrer Frist, sofern Sie eine haben. Wie die Preisgestaltung funktioniert
Für die meisten Unternehmen ist das das falsche Projekt
Das sei klar gesagt, denn es ist meist die teurere Option und oft nicht die, die hilft. Ein Red Team Assessment misst Ihre Erkennung und Reaktion. Wenn Sie bereits wissen, dass die Erkennungsabdeckung dünn ist, oder wenn Sie im letzten Jahr keinen Penetrationstest hatten, lernen Sie pro ausgegebenem Euro mehr, wenn Sie zuerst finden und beheben, was tatsächlich kaputt ist.
Red Teaming verdient seinen Platz, wenn Sie über eine funktionierende Erkennungsfähigkeit verfügen und wissen müssen, ob sie gegen jemanden funktioniert, der versucht, nicht erwischt zu werden. Falls das noch nicht auf Sie zutrifft, sagen Sie es im Gespräch - dann beauftragen wir das Projekt, das passt.
Die Rules of Engagement kommen zuerst
Ziel, erlaubte Techniken, verbotene Techniken, einbezogene Identitäten und Systeme, das Zeitfenster, der Notfallkontakt und das Abbruchverfahren werden sämtlich schriftlich vereinbart und unterzeichnet, bevor irgendetwas beginnt. Eine namentlich benannte Person auf Ihrer Seite weiß, dass der Test läuft, auch wenn das weitere Team es nicht weiß - und es gibt eine Telefonnummer, die ihn sofort stoppt.
Was es nicht ist
Keine destruktiven Eingriffe. Keine echten Daten werden abgezogen: Das Erreichen des Ziels wird mit einer Canary-Datei oder einem Hash belegt, nicht dadurch, dass Ihre Kundendaten das Netz verlassen. Kein physisches Eindringen und kein ungezieltes Phishing von Beschäftigten außerhalb der vereinbarten Liste. Jedes davon ist als gesondert beauftragte Arbeit verfügbar, wenn Sie es möchten.
Fragen
Abdeckung gegen Zielsetzung. Ein Penetrationstest enumeriert so viel wie möglich innerhalb eines Scopes und berichtet alles Gefundene. Ein Red Team Assessment wählt ein Ziel und nimmt den leisesten verfügbaren Weg dorthin - was bedeutet, dass es den größten Teil Ihrer Umgebung bewusst ungetestet lässt.
Das entscheiden Sie, und es wird in den Rules of Engagement festgehalten. Den größten Wert bringt es, wenn das weitere Team es nicht weiß, mindestens eine namentlich benannte Person aber schon - damit die Übung gestoppt werden kann und ein echter Vorfall nie mit dem Test verwechselt wird.
Nach Vereinbarung - üblicherweise mit einer vorab platzierten Canary-Datei, einem Hash eines Datensatzes statt des Datensatzes selbst oder einem Screenshot, bei dem sensible Inhalte schon bei der Aufnahme geschwärzt werden. Nichts verlässt Ihre Umgebung, dessen Abfluss nicht vereinbart wurde.
Zwei bis vier Wochen sind üblich, denn leise zu operieren bedeutet warten statt hetzen. Das Zeitfenster wird im Angebot fixiert.
Individuell. Das Ziel, die Ausgangsposition und die Länge des Zeitfensters bestimmen ihn stärker als jede plakative Scope-Zahl - deshalb wird er im Gespräch bemessen und schriftlich fixiert.
Bemessen Sie den Scope sauber, bevor Sie kaufen.
Dreißig Minuten im Gespräch, ein schriftlicher Festpreis innerhalb von 24 Stunden - und eine ehrliche Antwort, falls das nicht das Projekt ist, das Sie brauchen.