CISOs schützen Systeme mit Simulationen Das bringen Red-Team- und Blue-Team-Übungen

Anbieter zum Thema

Vogel IT-Akademie

FTAPI Software GmbH

Outpost24 GmbH

Während ein „rotes Team“ sich in ein Netzwerk einhackt, versucht das „blaue Team“ den Angriff angemessen abzuwehren. Solche Trainingsstrategien aus dem Militärbereich sind bei der Bewertung von Schwachstellen sehr hilfreich und geben Security-Teams die Möglichkeit, in Simulationen zu üben.

Das Ziel einer Rot-Team- und Blau-Team-Übung ist nicht nur, Sicherheitslücken zu identifizieren und zu schließen, sondern auch die Schulung von Sicherheitspersonal und Management. Der Gedanke dahinter ist recht einfach: Eine Gruppe von Sicherheitsexperten (rotes Team) greift ein Netzwerk bzw. System eines Unternehmens an, und eine gegnerische Gruppe (blaues Team) verteidigt es. Ursprünglich wurden die Übungen vom Militär genutzt, um ihre Einsatzbereitschaft zu testen. Sie wurden ebenfalls dazu verwendet, um die physische Sicherheit sensibler Standorte zu testen.

Security-Insider Podcast – Folge 24

So funktioniert Red Teaming

Abgrenzung zu Penetrationstests

Während Penetrationstests (Pentests) ein entscheidender Aspekt beim Testen von IT-Security-Infrastrukturen sind und sowohl manuelle Tests als auch kontinuierliche automatisierte Penetrationstests umfassen können, geht das „Red Teaming“ viel weiter. Das rote Team simuliert die Bedrohungen realer Hacker, wobei Pentests nur als eine Art Vorstufe dazu bezeichnet werden können.

Abhängig vom vereinbarten Umfang der Übung kann das rote Team alle Techniken verwenden, die echten Angreifern zur Verfügung stehen, um simulierte Angriffe durchzuführen, Sicherheitslücken auszunutzen und an sensible Daten zu gelangen.

Das bedeutet nicht nur Angriffe auf die IT-Infrastruktur, Netzwerksicherheit und Anwendungssicherheit, sondern auch der Versuch, die physische Sicherheit zu umgehen. Die Angriffe eines roten Teams können unter Umständen sogar mehrere Wochen dauern und Social-Engineering-Angriffe wie beispielsweise Identitätsbetrug oder Phishing beinhalten – eine der Hauptursachen für Datenschutzverletzungen in Unternehmen.

Zusammenstellung des roten Teams

Der vielleicht einfachste Ansatz besteht darin, eine interne Gruppe von IT-Security-Experten zu einem roten Team zu ernennen, sofern diese Fähigkeiten vorhanden sind. Oftmals werden jedoch deutlich bessere Ergebnisse erzielt, wenn die Mitglieder des roten Teams externe Experten sind, die auf ethisches Hacken spezialisiert sind.

Dies führt häufig auch deshalb zu einer genaueren Bewertung der IT-Security-Abwehr, da interne Mitarbeiter möglicherweise einige Angriffsvektoren übersehen oder (absichtlich oder nicht) Tests in bestimmten Bereichen überspringen, die sie für gut gesichert halten. Zu den dedizierten roten Teams gehören in der Regel ethische Hacker, Pentester, Social-Engineering-Experten und andere IT-Security-Experten mit Erfahrung in der Umgehung verschiedener Sicherheitsmaßnahmen.

Dank schnellem Informationsaustausch gemeinsam zum Ziel

Hacking-Abwehr in Teamarbeit

Aufbau des blauen Teams

Bei einer Übung zwischen Team-Rot und Team-Blau ist das Team-Blau der Verteidiger. Wenn ein Unternehmen über ein dediziertes Security Operations Center (SOC) verfügt, kann es die SOC-Mitarbeiter als das blaue Team ernennen. Andernfalls könnte sich das blaue Team auch aus dem internen IT-Security-Team zusammensetzen.

Anmerkung zu einem violetten Team

Die Farbe Violett vermittelt die Vorstellung, dass es sich um eine Kombination aus roten und blauen Teams handelt, sodass beide zusammenarbeiten und auf diese Weise ihre Fähigkeiten verbessern können. Das bedeutet, dass Mitglieder beider Teams bei der Übung oder sogar im Rahmen ihrer Arbeit kooperieren und sich austauschen.

Durchführung der Übung

Im Gegensatz zu mehr oder minder einmaligen Aktivitäten wie beispielsweise Pentests, Risikobewertungen oder IT-Security-Audits wird bei einer Rot-Team- und Blau-Team-Übung die Belastbarkeit einer Organisation im Tagesgeschäft über einen längeren Zeitraum simuliert und getestet. Abhängig vom vereinbarten Einsatzumfang kann das rote Team diese Zeit nutzen, um alle Arten von Eingriffen auf alle Ebenen der Organisation zu starten. In Bezug auf die IT-Security können dies nicht nur direkte Angriffe auf Websites, Webanwendungen, Netzwerk-Infrastruktur und interne Systeme sein, sondern auch Social-Engineering-Tricks und Phishing-E-Mails, um Anmelde-Informationen zu erhalten oder Malware zu installieren.

Die physische Sicherheit kann auch untersucht werden, indem versucht wird, mithilfe gefälschten Mitarbeiter-IDs physischen Zugang zum Kunden-Standort und zu den Endpunkten zu erhalten oder sich einfach als Lieferfahrer, Reinigungskraft oder Bauarbeiter auszugeben.

Das verteidigende blaue Team muss auf der anderen Seite wachsam und organisiert bleiben, um Infiltrationsversuche zu erkennen und zu verhindern. Um sicherzustellen, dass die Übung umsetzbare Ergebnisse liefert, sollten erkannte Angriffe, ausgenutzte Sicherheitslücken und Blue-Team-Reaktionen sorgfältig protokolliert und dokumentiert werden, um sie nachträglich zu analysieren und zu beheben.

Angriffssimulationen durch Red Teams

Anatomie eines simulierten Cyberangriffs

Vorteile dieser Übung

Durch die Simulation realer Angriffsszenarien liefern Red-Team- versus Blue-Team-Übungen wertvolle Informationen über den Zustand der IT-Security-Infrastruktur eines Unternehmens. In Kombination mit anderen laufenden IT-Security-Programmen wie beispielsweise IT-Security-Audits, physische IT-Security-Überprüfungen und kontinuierlichen Scans der Schwachstellen von Webanwendungen sind sie eine effektive Maßnahme, um Schwachstellen zu beseitigen und eine robuste Sicherheitslage in einer sich ständig weiterentwickelnden Bedrohungsumgebung aufrechtzuerhalten.

Eine Rot-Team- und Blau-Team-Übung kann viele Vorteile bieten und IT-Security-Teams zu folgenden Resultaten zu verhelfen:

• Identifikation von Schwachstellen.

• Netzwerksicherheit stärken.

• Wertvolle Erfahrungen in der Erkennung und Eindämmung von Bedrohungen sammeln.

• Entwicklung von Reaktionsplänen und –verfahren.

• Gesunden Wettbewerb und Kooperationen schaffen.

• Schärfung des Sicherheitsbewusstseins bei Mitarbeitern.

(ID:49581400)