Risicobeheer met Red Teaming

Aanvalssimulaties – of Red teaming – behoren tot de meest effectieve manieren om de weerbaarheid van een organisatie tegen cyberdreigingen te testen. Maar deze simulaties zijn niet alleen theoretisch. Het zijn live oefeningen, vaak uitgevoerd in productieomgevingen, wat betekent dat er in realtime met echte risico's wordt omgegaan.

Bij LRQA hebben we een risicogestuurde aanpak ontwikkeld waarmee we geavanceerde aanvallen kunnen simuleren zonder de bedrijfsvoering of het vertrouwen in gevaar te brengen. Zo doen we dat.

Control Group en hun rol tijdens Red Team assessment 

Elke opdracht begint met een speciale Control Group – een team bestaande uit belangrijke stakeholders van de klant en consultants van LRQA. Deze groep wordt voortdurend op de hoogte gehouden en speelt een centrale rol bij de planning, goedkeuring en supervisie van de hele exercitie.

Een risicoworkshop zet de toon. Samen identificeren en beoordelen we:

• Operationele risico's voor zowel de activiteiten van het rode als het blauwe team
• Algemene projectrisico's, waaronder reputatie- en ethische overwegingen
• Juridische en conformiteitsrisico's

We brengen deze risico's ook in kaart aan de hand van vier kernbeheergebieden:

• Bedrijfsinzichten – Wat moeten we beschermen en waarom?
• Crisisbeheer – Hoe en wanneer escaleren we problemen?
• Processen – Wat zijn de regels voor samenwerking?
• Risicobeperking en -acceptatie – Hoe gaan we om met risico's?

De kracht van deze groep ligt in het vermogen om offensieve tests in overeenstemming te brengen met de prioriteiten van het bedrijf. Door een voortdurende dialoog te onderhouden, kunnen beide partijen zich aanpassen aan nieuwe informatie, reageren op onverwachte bevindingen en ervoor zorgen dat elke stap in overeenstemming blijft met de overeengekomen resultaten. Deze relatie vormt de ruggengraat van een veilige en effectieve simulatie.

De controlegroep zorgt ook voor duidelijke verantwoordingslijnen. Wanneer iedereen zijn rol begrijpt en de risico's worden gedeeld, kunnen beslissingen snel worden genomen – wat van cruciaal belang is tijdens snel veranderende, realtime operaties.

Gelaagd risicomodel: Wat staat er op het spel?

Om kritieke activiteiten te beschermen, gebruiken we een gelaagd activaclassificatiemodel dat tijdens de risicoworkshop is ontwikkeld.

• Primaire activa – Kernsystemen zoals betalingsinfrastructuur of mainframes die rechtstreeks bedrijfskritische functies ondersteunen
• Secundaire activa – Systemen zoals domeincontrollers, bestandsservers en databaseplatforms
• Tertiaire activa – Niet-kritieke omgevingen zoals preproductiesystemen, desktops of virtuele desktopinfrastructuur

Deze structuur stelt ons in staat om de risicoblootstelling op een duidelijke, consistente manier in kaart te brengen. Het zorgt ervoor dat elke actie die tijdens de simulatie wordt ondernomen, in verhouding staat tot de waarde en gevoeligheid van het systeem dat wordt getest.

Als de simulatie bijvoorbeeld gericht is op een betalingsverwerkingssysteem, kunnen we aantonen dat het mogelijk is om dit systeem te compromitteren zonder daadwerkelijk een volledige aanvalsketen uit te voeren. Als de klant daarentegen een grotere risicobereidheid heeft, kunnen we de scope uitbreiden, mits er passende controles, goedkeuringen en noodplannen zijn.

In elke fase wordt de beweging tussen de verschillende activaniveaus strikt gecontroleerd. Het doel is altijd hetzelfde: zinvolle inzichten genereren zonder onnodige verstoringen te veroorzaken.

Regels voor samenwerking

Elke LRQA red team assessment wordt beheerst door een robuuste reeks controles die vooraf met de controlegroep worden overeengekomen. Deze regels voor samenwerking zorgen ervoor dat risico's worden geïdentificeerd, toegewezen en beperkt gedurende de hele samenwerking.

Deze maatregelen zijn niet alleen tactieken om risico's te vermijden, maar vormen ook de basis voor vertrouwen in samenwerkingen met een grote impact. Zonder deze maatregelen zou red teaming het risico lopen roekeloos te worden in plaats van onthullend. Elke veiligheidsmaatregel is bedoeld om activiteiten, mensen en reputaties te beschermen.

De belangrijkste waarborgen voor Red Teaming 

• Communicatie – De controlegroep werkt onder een geheimhoudingsverklaring en onderhoudt een apart kanaal voor veilige, realtime coördinatie. Via dit kanaal kan onmiddellijk worden geëscaleerd als er onverwacht gedrag wordt waargenomen.
• Autorisaties – Elke zijwaartse beweging tussen activaniveaus of actie met betrekking tot doelstellingen vereist expliciete goedkeuring van de controlegroep. Er wordt niets verondersteld.
• Noodstop – Als tijdens het testen een niet-gerelateerde inbreuk wordt vastgesteld of als de klant de activiteit moet stopzetten, kan de simulatie onmiddellijk en volledig transparant worden stopgezet.
• Kwetsbaarheden – Kwetsbaarheden met een hoog risico die tijdens de opdracht worden ontdekt, worden niet achtergehouden voor het eindrapport, maar worden in realtime bekendgemaakt, vooral als ze een duidelijk en geloofwaardig risico op compromittering vormen.
• Verwijdering van artefacten – Na afloop van de opdracht zorgt LRQA ervoor dat alle artefacten van het red team veilig uit de omgeving van de klant worden verwijderd, inclusief implantaten, payloads en restanten van tools.
• Denial of service – LRQA voert nooit denial-of-service-aanvallen uit tijdens een live simulatie. Als een DoS-conditie wordt aangetroffen, wordt deze geregistreerd zonder te worden geactiveerd.
• Gegevensbescherming – LRQA exfiltreert geen live productiegegevens, tenzij hiervoor uitdrukkelijke schriftelijke toestemming is gegeven.
• Veiligheid van implantaten – Implantaten zijn zo geconfigureerd dat ze alleen worden uitgevoerd op domeingekoppelde activa die binnen de scope vallen. Dit zorgt ervoor dat zelfs als payloads de omgeving verlaten, ze elders niet zullen functioneren.
• Derden – Systemen en infrastructuur die geen eigendom zijn van of beheerd worden door de klant, vallen buiten de scope, tenzij dit apart is overeengekomen.
• Eskalaties – Een gedocumenteerd escalatieproces maakt een snelle oplossing van live problemen mogelijk, met name wanneer blauwe teams activiteiten detecteren of zich zorgen maken over een mogelijk incident.

Volledige zichtbaarheid – zonder onderbrekingen

Als u een visuele overlay van de opdracht wenst, kunt u als klant gebruikmaken van het eigen Engagement Dashboard van LRQA. Dit dashboard biedt realtime inzicht in de simulatie en is ontworpen om de controlegroep 24/7 zichtbaarheid te bieden zonder de live-oefening te verstoren.

Het dashboard toont:

• De live status van de gesimuleerde aanval
• Het aantal actieve implantaten
• De voortgang van het scenario en belangrijke mijlpalen
• Een tijdlijn van de tot nu toe uitgevoerde activiteiten
• Een noodstopknop die alle live activiteiten onmiddellijk stopzet in geval van een incident of een niet-gerelateerd probleem

Belangrijk is dat dit geen live stream is van de activiteiten van het red team – het dashboard biedt alleen metadata, bedoeld voor toezicht, conflictoplossing en veilig beheer tijdens de simulatie.

Elke opdracht en actie van het red team wordt vastgelegd in een centraal, onveranderlijk activiteitenverslag, waardoor een forensisch verantwoord controlespoor ontstaat dat de volledige scope van de opdracht omvat, van de eerste toegang tot de opruiming na afloop van de opdracht.

Met veerkracht blijven leren

Deze inleiding biedt een kijkje achter de schermen van hoe wij risico's beheren in live vijandige simulaties – van de eerste planningsfase tot actieve betrokkenheid. Of het nu gaat om het testen van veerkracht, het ondersteunen van wettelijke vereisten of het opbouwen van vertrouwen in uw verdedigingsmechanismen, risicobeheer is de rode draad die alles bij elkaar houdt.

Elke opdracht leert ons iets nieuws – over technologie, over mensen en over de veranderende aard van risico's. Door deze inzichten vast te leggen en toe te passen, helpen wij klanten niet alleen zich te verdedigen, maar ook zich aan te passen.

Bij LRQA geloven we dat veerkracht niet wordt opgebouwd door risico's te vermijden, maar door ze op een intelligente en transparante manier te beheren.

LRQA ondersteunt organisaties wereldwijd met op maat gemaakte vijandige simulaties, cybersecurity assessments en incident response planning.

Neem contact op en ontdek hoe wij u kunnen helpen