Red Teaming vs. Penetrationstests

Red Teaming – gezielte Angriffssimulation

Wenn es um Cybersicherheit geht, ist in der Regel keine Organisation vollständig sicher. Selbst in großen globalen Unternehmen mit hohen Investitionen in diesem Bereich und fortschrittlichen Sicherheitstechnologien können Problemstellen in wichtigen Elementen wie Menschen, Geschäftsprozessen, Technologien und den damit verbundenen Schnittstellen auftreten. Red Teaming hat sich zu einer effektiven Methode zur Identifizierung von Schwachstellen entwickelt.

Möchten Sie ein tiefgreifendes Verständnis aller modernen Aspekte von Red Teaming im Vergleich zu Penetrationstests erlangen?
Lesen Sie diesen Artikel sorgfältig durch und Lesezeichen setzen, um später wieder darauf zurückzugreifen. Wir aktualisieren diese Seite regelmäßig.

Aufgrund der ständigen Veränderung cyberner Gefahren, des Auftretens neuer Tools und krimineller Gruppen entstehen neue Risikotypen, die mit traditionellen Methoden der Sicherheitsanalyse schwer zu erkennen sind. Darüber hinaus ist die Informationssicherheitsbranche asymmetrisch, da der Angreifer stets eine günstigere Position einnimmt als der Verteidiger. Die angegriffene Seite muss ständig, 24/7, effektiv sein, während dem Angreifer eine einmalige Effektivität ausreicht.

Zudem hat der Angreifer die Möglichkeit, sein Opfer vor der aktiven Angriffsphase sorgfältig zu untersuchen, während die Gegenseite erst während dieses Angriffs beginnt, den Eindringling zu analysieren. Vor diesem Hintergrund stellen Cyber-Übungen im Format von Red Teaming den realistischsten und fortschrittlichsten Ansatz für Security-Tests dar. Dabei erfolgt eine kontinuierliche Bewertung der Sicherheit der Informationssysteme, der Bereitschaft von Spezialisten im Incident Response sowie der Widerstandsfähigkeit der Infrastruktur gegenüber neuen Angriffsarten, einschließlich Advanced Persistent Threat, einem komplexen, kontinuierlich zielgerichteten Cyberangriff.

Um die Fähigkeiten der Cyber-Verteidiger zu verbessern, hat die Informationssicherheitsbranche die Prozesse in zwei Pole unterteilt: defensiv und offensiv, und sie mit unterschiedlichen Farben gekennzeichnet – rot für die angreifende Seite, blau für die verteidigende Seite. Die Konzepte des Red Teams und des Blue Teams stammen aus dem traditionellen Militärwesen, und die Essenz dieser Begriffe hat sich nicht verändert. Blue Team im Kontext der Cybersicherheit bezeichnet ein Team von Experten, dessen Aufgabe es ist, die Infrastruktur zu schützen.

Was ist Red Teaming?

Red Teaming ist eine umfassende und äußerst realistische Methode, um die Fähigkeit einer Organisation zu testen, komplexe Cyberangriffe mit fortschrittlichen Methoden und Tools aus dem Arsenal von Hackergruppen abzuwehren. Die Hauptidee dieser Übung besteht nicht nur darin, potenzielle Schwachstellen zu identifizieren, die mit Standardtestmethoden nicht erkannt wurden, sondern auch die Fähigkeit der Organisation zu bewerten, Cyberangriffe zu verhindern, zu erkennen und darauf zu reagieren. Im Ergebnis hilft Red Teaming dem Unternehmen zu verstehen, wie Sicherheitsmaßnahmen wichtige Vermögenswerte schützen, ob das Warn- und Überwachungssystem korrekt konfiguriert ist, und welche Möglichkeiten einem Angreifer in der internen Infrastruktur zur Verfügung stehen, wenn die Ressourcen seiner Benutzer kompromittiert sind.

Daher sollte alles wirklich und maximal realistisch sein: Der Sicherheitsdienst des Kunden, der die Rolle des Blue Teams übernimmt, wird nicht über den Beginn des Tests informiert, damit das Red Team auf der Grundlage einer speziellen Bedrohungsanalyse die Aktionen echter Angreifer simulieren und die Möglichkeit einer „Durchbrechung“ der Infrastruktur bewerten kann. Cybersicherheitstests im Red-Teaming-Format sind am effektivsten für Unternehmen mit einem ausgereiften Informationssicherheitsniveau. Sie sind zeitlich nicht durch die Exposition begrenzt und konzentrieren sich auf das Erreichen von Zielen, sei es der Zugriff auf Netzwerkknoten oder sensible Informationen mit allen verfügbaren Mitteln.

Die Haupt-Szenarien des Red Teaming, die für jeden Kunden einzigartig sind, hängen von den gesetzten Zielen ab. Zu den häufig verwendeten Szenarien gehören:

• Active Directory erobern;
• Zugriff auf Geräte der obersten Führungsebene erlangen;
• Imitation des Diebstahls sensibler Kundendaten oder geistigen Eigentums.

Unterschiede zwischen Red Teaming und Penetrationstests

Obwohl Red Teaming und Penetrationstests ähnliche Cyberangriffsinstrumente verwenden, unterscheiden sich die Ziele und Ergebnisse beider Studien erheblich. Der Red-Teaming-Prozess simuliert reale und gezielte Angriffe auf eine gesamte Organisation. Der Vorteil dieses Ansatzes ist die kontinuierliche Untersuchung der Informationssysteme zur Erreichung der Ziele. Eine solche tiefgreifende Überprüfung vermittelt ein umfassendes Verständnis dafür, wie sicher die Infrastruktur ist, wie sensibilisiert die Mitarbeiter sind und wie effektiv die internen Prozesse des Unternehmens bei einem echten Angriff funktionieren.

Die Web-Penetrationstests von ImmuniWeb ergänzen die Red-Teaming-Verfahren effektiv und können in Verbindung damit oder separat eingesetzt werden.

Im Rahmen von Penetrationstests versuchen Spezialisten, die entdeckten Schwachstellen auszunutzen und ihre Privilegien zu erhöhen, um das mögliche Risiko dieser Auswirkungen zu bewerten. Dieser Test prüft nicht die Bereitschaft zur Erkennung und Reaktion auf Informationssicherheitsvorfälle.

Wie die langjährige Erfahrung unserer Sicherheitsexperten zeigt, ergänzen sich Red Teaming und Penetrationstests perfekt. Jede Studie ist auf ihre Weise wichtig und nützlich für die Organisation, da im Rahmen eines solchen kombinierten Tests sowohl die passive Sicherheit der Systeme als auch die aktive Sicherheit des gesamten Unternehmens bewertet werden kann.

Red Teaming ergänzt verschiedene Testformen, wie z. B. Schwachstellenscans, Code-Analysen, Application Penetration Testing und andere Methoden. Die Forschung im Red-Teaming-Format gliedert sich in mehrere aufeinanderfolgende Phasen. Um die Effizienz zu steigern, können einige Aktionen innerhalb der Hauptphasen früher beginnen oder parallel zu anderen durchgeführt werden, unter Berücksichtigung der begrenzten Zeit. Daher ist der Red-Teaming-Prozess in der Praxis keine rein lineare Abfolge von Schritten.

Phasen des Red-Teaming-Prozesses

1. Die Vorbereitungsphase.
   In dieser Phase werden die aktuellen Bedürfnisse des Unternehmens bewertet, und die Dauer der Arbeit beträgt in der Regel bis zu 6 Wochen. In dieser Phase werden die wichtigsten Punkte für die Durchführung des Red Teaming festgelegt und der offizielle Start des Projekts angekündigt. Zunächst wird eine Arbeitsgruppe aus Vertretern des Kunden und des Auftragnehmers gebildet, die Dauer und der Umfang der Arbeiten werden bestimmt, verbotene Handlungen festgelegt, Protokolle und Interaktionsformate vereinbart, und ein Red Team wird gebildet, um den Anforderungen des aktuellen Projekts gerecht zu werden.
2. Phase der Durchführung des Red Teaming
   In dieser Phase führt das Red Team Analysen im Threat-Intelligence-Format durch, entwickelt Szenarien basierend auf den kritischen Funktionen der Systeme und dem Bedrohungsmodell und erstellt einen Plan sowie einen Angriff auf vereinbarte Ziele, die in der Regel Vermögen, Systeme und Dienste mit einer oder mehreren kritischen Funktionen umfassen. Das Red Team führt Cyber-Intelligence durch, deren Hauptaufgabe darin besteht, Profil, Struktur und Ausrichtung des Unternehmens zu analysieren sowie die aus Sicht des Angreifers geeignetsten Bedrohungen, Schlüsselknoten und Ziele zu identifizieren.

   Gleichzeitig kann der Kunde einen Drittanbieter für Threat Intelligence kontaktieren, um eine gezielte Bedrohungsanalyse für das untersuchte Objekt durchzuführen und einen TTI-Bericht zu erhalten, der weitere Testszenarien ergänzt und nützliche Informationen über das Unternehmen des Kunden liefert. Auf Basis der durchgeführten Arbeiten wird ein Testplan sowie eine Liste praktischer Szenarien potenzieller Angriffe zur weiteren Überprüfung erstellt. Die entwickelten Szenarien berücksichtigen nicht nur die zuvor angewandten Ansätze, sondern auch neue Methoden der relevanten Bedrohungssubjekte.

   Auf der Grundlage des entwickelten Plans und der Szenarien führt das Red Team Tests durch und führt versteckte Angriffe auf identifizierte kritische Funktionen oder Assets der Zielsysteme durch. Treten Hindernisse auf, werden alternative Methoden zur Zielerreichung unter Verwendung der Taktiken fortgeschrittener Angreifer entwickelt. Alle Daten und Aktionen des Teams werden aufgezeichnet, um einen Testbericht zu erstellen.

3. Die letzte Phase.
   In dieser Phase ist der Red-Teaming-Prozess abgeschlossen und geht in diese Phase über, nachdem alle Schritte erfolgreich abgeschlossen wurden oder die für die Arbeit vorgesehene Zeit abgelaufen ist. In der letzten Phase erstellt das Red Team einen Bericht, der die durchgeführte Arbeit, Schlussfolgerungen und Beobachtungen zur Erkennung und Reaktion auf Bedrohungen beschreibt, und übergibt ihn an das Blue Team, welches einen eigenen Bericht erstellt, der die ergriffenen Maßnahmen auf Basis der Chronologie des Red-Team-Berichts darstellt. Die Beteiligten tauschen die Ergebnisse aus, analysieren sie und planen weitere Schritte zur Steigerung der Cyber-Resilienz des Unternehmens.

Um Angriffe auf ein vorgegebenes Ziel durchzuführen, verwenden die Experten des Unternehmens, das die Red-Teaming-Tests der Kundenorganisation durchführt, eine bewährte Methodik, die sich an den jeweiligen Kunden anpasst, um die Besonderheiten der Unternehmensaktivitäten zu berücksichtigen und die Kontinuität kritischer Geschäftsprozesse nicht zu beeinträchtigen. Der Test-Lebenszyklus im Red-Teaming-Format umfasst Schritte wie Erkundung, Bewaffnung, Lieferung, Operation, Installation, Erwerb der Kontrolle und Durchführung von Maßnahmen im Hinblick auf das Ziel.

Tests im Red Teaming-Format geben dem Unternehmen einen Überblick über die Stärken und Schwächen der Cybersicherheit und ermöglichen zudem die Definition eines Verbesserungsplans in diesem Bereich für die Geschäftskontinuität und den Schutz wertvoller Daten, um den Top 10 cyber threats standzuhalten. Durch die Integration von Red Teaming in die Sicherheitsstrategie kann ein Unternehmen Sicherheitsverbesserungen über die Zeit messen. Solche messbaren Ergebnisse können für die wirtschaftliche Machbarkeitsanalyse zusätzlicher Informationssicherheitsprojekte und die Einführung der erforderlichen technischen Schutzmaßnahmen genutzt werden.

Weitere Ressourcen

• Erfahren Sie mehr über KI-gestütztes Angriffsflächenmanagement mit ImmuniWeb^® Discovery.
• Erfahren Sie mehr über KI-gestützte Penetrationstests für Anwendungen mit ImmuniWeb.
• Erfahren Sie mehr über die Möglichkeiten des ImmuniWeb Partner Programms.
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp