Vorgehensweise

1. Vorbereitung

   Unser Red Teaming wird speziell auf die Bedürfnisse und Gegebenheiten Ihrer Organisation zugeschnitten.
   Wir besprechen wesentliche auf Sie angepasste Kriterien wie verwendete Techniken und Taktiken des Red Teamings sowie organisatorische Maßnahmen mit Ihnen: Um welche Systeme geht es? Wie sollen sie betrachtet werden? Wer ist unsere Ansprechperson? Muss die Verfügbarkeit der Daten und Systeme sichergestellt werden oder agieren wir aus der Sicht eines rücksichtslos Angreifenden? Dabei können wir auf das gesamte Repertoire unserer Angriffstechniken zurückgreifen. Die Komplexität der simulierten Angriffe passen wir den Gegebenheiten Ihrer Abwehrmaßnahmen an, um diese schrittweise zu überprüfen und Verbesserungsmöglichkeiten abzuleiten.

   Die vom Red Team eingesetzten Methoden und Techniken, einschließlich Social Engineering und vor-Ort-Maßnahmen, werden im Vorfeld gemeinsam abgestimmt und freigegeben. Ebenso wird abgestimmt, ob das Red Team von außen (z. B. Angriffe übers Internet oder vor Ort) oder aus einer Perspektive von innen (z. B. Standard-Arbeitsplatz eines Büro-Mitarbeiters, Lieferant oder Dienstleister) agiert. Dabei kann es auch sein, dass das Red Team für einen festgelegten Zeitpunkt von außen Angriffsversuche unternimmt und – sollte es den nächsten Schritt aus eigener Kraft nicht schaffen – zu einer bereitgestellten Perspektive von innen wechselt. Wie viele Informationen Sie im Voraus aus Zeitspargründen für das Projekt bereitstellen möchte, liegt in Ihrer Hand.

2. Informationsbeschaffung

   In dieser Phase sammeln wir vorhandene Daten aus öffentlichen Quellen, um einen gezielten Angriff auf Ihre Organisation vorzubereiten. Durch Social-Engineering-Angriffe wie Phishing-Kampagnen oder geplante Attacken werden beispielsweise Login-Daten ermittelt, die wir für weitere Angriffe nutzen können. Auch über die eingesetzten Systeme sammeln wir Informationen, um technische Schwachstellen oder Fehlkonfigurationen aufzudecken und diese in späteren Phasen auszunutzen.

3. Zugriff und Ausbreitung

   Die so ermittelten Erkenntnisse über technische, menschliche, physische oder organisatorische Schwachstellen nutzen wir in dieser Phase aus, um einen initialen Zugang zu Ihren Systemen zu erlangen. Danach versuchen wir, uns in Ihrer Infrastruktur auszubreiten, kritische Systeme zu kompromittieren und dauerhafte Zugänge einzurichten. In dieser Phase sollen die vorab definierten Ziele erreicht werden, ohne Systemen langfristige Schäden zuzufügen oder die Sicherheit Ihrer Organisation zu gefährden.

   Kundenseitig wissen nur wenige Personen Bescheid, die notfalls deeskalieren können. Die verantwortliche IT des Kunden muss also davon ausgehen, dass es sich um einen echten Angriff handelt und entsprechend reagieren.
   Dadurch werden potenzielle Risiken identifiziert und gleichzeitig die Prozesse zur Angriffserkennung und -abwehr unter realistischen Bedingungen getestet.

4. Reporting

   Sie erhalten eine ausführliche Dokumentation inklusive Management Summary, welche alle Erkenntnisse detailliert zusammenfasst sowie die ermittelten Informationen ausführlich beschreibt und nach ihrem Risiko gewichtet. Dies ermöglicht es den IT-Verantwortlichen und Entwicklungsteams, die Angriffsszenarien zu reproduzieren.

5. Cleaning

   Nach Abschluss des Auftrags entfernen unsere Analyst:innen alle Code Snippets, Skripte, Tools, Testdaten und andere Geräte, die bei dem „Angriff“ eingesetzt wurden, sodass sie später bei einem realen Angriff von Dritten nicht mehr verwendet werden können. Sollte das eigenständige Aufräumen nicht möglich sein, informieren wir Sie anhand einer genauen Anleitung, wie Sie verbliebene Artefakte selbst entfernen können.