Red team eller penetrationstest: vad mäter ni egentligen?

Ett penetrationstest har systemet som mätobjekt. Frågan är hur många vägar in som finns och hur allvarliga de är, och framgång för testaren är att hitta så många som möjligt inom omfattningen. Er personal vet oftast att testet pågår, och det är meningen.

En red team-övning har organisationen som mätobjekt. Frågan är om ni upptäcker en angripare som redan är inne, hur lång tid det tar, och vad som händer sedan. Framgång för red team är att nå ett förutbestämt mål utan att bli upptäckt, och att därigenom producera en tidslinje som visar var er detektion tystnade.

Konsekvensen för leveransen är stor. Pentestet ger en lista att åtgärda. Övningen ger en tidslinje och ett antal obehagliga frågor om varför larmet aldrig eskalerades, vilka besvaras av processer och bemanning snarare än av patchar.

En red team-övning mot en miljö som aldrig penetrationstestats slutar nästan alltid likadant. Angriparen hittar en trivial väg in på dag ett, målet nås på dag tre, och övningen avslutas innan er detektion ens hunnit prövas på något svårt.

Ni har då betalat för en dyr aktivitet och fått ett resultat ett billigare test hade gett. Värre är att den fråga övningen skulle besvara, om ni upptäcker en skicklig angripare, förblir obesvarad.

Den rimliga ordningen är därför: testa systemen, åtgärda det allvarliga, verifiera med omtest, och först därefter öva förmågan. Då tvingas red team att arbeta för sin väg in, och det är först då tidslinjen mäter något.

Purple team betyder att angripar- och försvararsidan arbetar öppet tillsammans. Angriparen utför en teknik, försvararen tittar på om något syntes, och båda justerar innan nästa teknik provas.

Det är billigare än en red team-övning eftersom ingen tid går till att undvika upptäckt, och det är ofta mer lärorikt, eftersom ni får veta exakt vilka tekniker som är osynliga i stället för att bara veta att ni missade en av dem.

Den skarpa red team-övningen har sin plats när ni behöver veta hur processerna fungerar under verkligt tryck, alltså när ingen vet att det är en övning. Men det är ett moget stadium, och de flesta organisationer får mer per krona av purple team först.

Leveransen från en red team-övning är inte en fyndlista, och en leverantör som lämnar en sådan har levererat fel produkt. Det ni betalar för är en rekonstruktion av vad som hände och vad ni såg av det.

Tidslinjen ska ställa två spår mot varandra. På ena sidan vad angriparen gjorde, tidsstämplat. På andra sidan vad som syntes hos er: vilket larm som utlöstes, vem som tittade på det, vad de bedömde och vad de gjorde. Värdet ligger i luckorna mellan spåren.

Tre mätpunkter brukar vara de som betyder något. Tiden till första larm, tiden till att någon människa faktiskt bedömde larmet, och tiden till att någon eskalerade. De tre är olika saker, och organisationer som tror att de mäter det första mäter ofta i praktiken det tredje.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

En övning ska efterlikna det som faktiskt händer, inte det som är mest spännande att öva. Den europeiska incidentstatistiken ger en tydlig prioritering.

Social manipulation stod för omkring 60 procent av observerade fall, vilket gör den till den ingång en övning i första hand bör använda. Av registrerade intrång ledde 68,6 procent till dataläckage, vilket gör uttag av data till den mest relevanta målbilden. Infostealers stod för 87,3 procent av intrången i den kategorin.

Det talar emot en vanlig övningsdesign där red team startar från ett internt fotfäste som givits till dem. Det sparar tid, men det hoppar över just den fas som statistiken säger är vanligast, och det är också den fas där era detektionsmöjligheter är bäst.

Hacktivist activity continues to dominate reporting, representing almost 80% of recorded incidents and driven primarily by low-level distributed denial-of-service operations.

En övning kräver en liten krets invigda, ofta kallad white cell, och sammansättningen av den kretsen avgör om övningen går att genomföra utan att orsaka verklig skada.

Kretsen behöver minst tre roller. Någon i ledningen som har fattat och dokumenterat beslutet. Någon som kan bekräfta för säkerhetsfunktionen att aktiviteten är beställd, dygnet runt under perioden. Och någon med mandat att avbryta övningen omedelbart om något går fel i produktionen.

Lika viktigt är vilka som inte ska veta: säkerhetsfunktionen, driften, helpdesk och den bredare organisationen. Om någon av dem invigs mäter övningen inte längre den normala förmågan, utan den förmåga som uppstår när personalen är på tårna.

En red team-övning är dyrare än ett penetrationstest av ett skäl som sällan står i offerten: den tar tid från er organisation både under och efter.

Under övningen arbetar er säkerhetsfunktion på riktigt med det de tror är en verklig incident. De timmarna är inte bortkastade, men de är timmar som inte lades på annat, och de ska räknas in i kalkylen.

Efteråt kommer den svåraste delen. En tidslinje som visar att ingen såg någonting kräver ett samtal om bemanning, verktyg och rutiner, och det samtalet är obekvämt. Organisationer som beställer en övning utan att ha förberett sig på att agera på resultatet får en rapport som läggs undan, vilket är det dyraste möjliga utfallet.

En övning förutsätter att någon hos er inte vet om den, vilket skapar tre praktiska problem som ska lösas i förväg.

Det första är förankringen. Någon i ledningen måste godkänna att den egna personalen vilseleds, och det beslutet ska dokumenteras eftersom det är just den delen som ifrågasätts efteråt om övningen orsakar friktion.

Det andra är rapporteringsplikten. Om er incidentprocess fungerar kommer den att starta, och under cybersäkerhetslagen löper då en frist på 24 timmar till tidig varning. Det måste finnas en namngiven person som kan stoppa en rapport innan den skickas, och den personen måste vara nåbar dygnet runt under övningen.

Det tredje är avbrottsvillkoren. Vad ska red team göra om de når något som kan påverka produktionen, och vem kontaktar de då? Utan skrivna villkor blir det testledarens omdöme klockan tre på natten.