Das britische National Cyber Security Centre (NCSC) hat Leitlinien zur Gegnersimulation, oft als Red Teaming bezeichnet, veröffentlicht. Darin wird beschrieben, wie Organisationen die Übung nutzen können, um ihre Fähigkeit zur Abwehr realistischer Cyberangriffe zu bewerten.
Bei der Gegnersimulation versuchen autorisierte Teams, vereinbarte Ziele zu erreichen, die im Falle eines echten Angreifers wichtige Geschäftsfunktionen beeinträchtigen könnten. Die Arbeit soll prüfen, ob Sicherheitskontrollen bösartige Aktivitäten verhindern, erkennen und eindämmen können, anstatt lediglich technische Schwachstellen zu erfassen.
Das NCSC grenzt diesen Ansatz von herkömmlichen Penetrationstests ab. Während ein Penetrationstest im Allgemeinen darauf abzielt, Schwachstellen in verschiedenen Systemen zu identifizieren, untersucht die Gegnersimulation die Wirksamkeit von Abwehrkontrollen, Überwachung, Incident-Triage und Eskalation unter angriffsähnlichen Bedingungen.
Geeignete Organisationen
Den Leitlinien zufolge ist die Methode für mittelgroße und große Organisationen mit einem ausgereiften Verständnis ihrer Cyberrisiken am wertvollsten. Geeignete Kandidaten sollten bereits etablierte Schutzmaßnahmen, regelmäßig überprüfte Risikobewertungen sowie wirksame Protokollierungs-, Überwachungs- und Erkennungsfunktionen haben.
Sie kann insbesondere für Betreiber kritischer nationaler Infrastruktur und staatliche Stellen relevant sein. Organisationen mit kleineren oder weniger komplexen Umgebungen oder solche, die grundlegende Sicherheitspraktiken noch aufbauen, könnten zunächst stärker von anderen Bewertungsdiensten profitieren.
So funktionieren die Prüfungen
Laut NCSC dauert eine typische Prüfung etwa acht bis zwölf Wochen, während eine umfassende Full-Spectrum-Bewertung ungefähr 16 Wochen in Anspruch nehmen kann. Umfang und Dauer sollten die Größe und Komplexität der Organisation sowie die für die Übung vereinbarten Ziele widerspiegeln.
Das NCSC befürwortet ein fähigkeitsorientiertes Modell statt eines Ansatzes, der sich auf die Nachahmung einer benannten Bedrohungsgruppe oder einer festen Liste von Angriffsszenarien beschränkt. Bewertungsteams führen Aufklärungsmaßnahmen durch, um die Technologieumgebung des Ziels, seine externe Angriffsfläche und wahrscheinliche Bedrohungen zu verstehen, und entwickeln anschließend darauf zugeschnittene Angriffspläne.
- Vorbereitung: Ziele, Autorisierung, Einsatzregeln und Sicherheitsmaßnahmen festlegen.
- Testen: Kontrollierte gegnerische Techniken einsetzen, um Fähigkeiten zur Prävention, Erkennung und Reaktion zu bewerten.
- Berichterstattung: Erkenntnisse, Lücken in der Abwehr und Prioritäten für Abhilfemaßnahmen für Stakeholder dokumentieren.
Die Behörde betonte zudem, dass verantwortungsvolle Anbieter in ihren Tools und Prozessen Schutzvorkehrungen einsetzen sollten, um das Risiko von Schäden an Kundenumgebungen oder für andere Nutzer zu verringern. Externe Anbieter können über das Cyber Adversary Simulation Scheme des NCSC eine Bestätigung ihrer Eignung anstreben, bei dem Lieferanten anhand der technischen Standards der Behörde bewertet werden.