Firma schlägt Purple-Team-Übung statt Pentest vor – was ist das und brauchen wir das?

Technisch gesehen greift das Red Team an, das Blue Team verteidigt – Purple Team ist nur das Framework dazwischen. Der Angreifer testet eine Technik, ihr prüft, ob ein Event ankommt, und baut sonst eine Regel. Wenn bei euch niemand dauerhaft zentrales Logging und EDR betreut, könnt ihr mit den Ergebnissen im Alltag gar nichts anfangen.

Wir haben das letztes Jahr mit 45 Leuten gemacht und 14.500 Dollar hingelegt. Unser Admin hing zehn Tage nur in Meetings, Server-Updates blieben liegen und am Ende hatten wir einen Berg Empfehlungen, für deren Umsetzung schlicht die Zeit fehlte. Seit wir wieder normale Pentests machen, läuft es deutlich entspannter.

Sicherheitsberater pushen solche Formate aktuell massiv weil die Margen bei Standard-Pentests im Keller sind. Einem 35-Mann-Laden mit kleiner IT-Besetzung eine 16.000-Dollar-Übung aufzuschwatzen, ist keine ehrliche Beratung. Das passt einfach nicht zu eurem Reifegrad.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Damit die Purple-Team-Arbeit effizient ist, müssen drei Voraussetzungen erfüllt sein: 1) Ein zentraler Log-Sammler und ein Endpoint-Detection-System müssen installiert sein, 2) es muss mindestens eine Vollzeit-Person im Blue Team geben, die diese Systeme täglich verwaltet, 3) grundlegende Pentest-Schwachstellen müssen in der Vergangenheit vollständig geschlossen worden sein. Wenn das fehlt, ist das Geld zum Fenster rausgeworfen.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

unser zweiköpfiges infra-team geht in diesen meetings einfach unter. zwei wochen lang die sysadmins zu binden blockiert das unternehmen auch operativ. ich sag mal, bleibt beim klassischen pentest.

Schreibt der Firma klar Folgendes: Wir haben intern kein spezielles Cyber-Verteidigungsteam, daher bitten wir darum, den Purple-Team-Umfang herauszunehmen und das Angebot nur als externen und internen Pentest zu überarbeiten. Wenn sie nicht zustimmen, macht mit einer früheren oder einer anderen unabhängigen Testfirma weiter.

Ein Thema, das ich nicht kenne: Kann das was wir Blue Team nennen nicht auch die Support-Firma sein, die wir extern als Dienstleistung beziehen? Können wir die nicht auch in diesen Test einbeziehen?

In Reifegradmodellen für Unternehmen ist Purple Team ein fortgeschrittener Prozess. Wenn Vorschriften oder große Unternehmenskunden von euch einen unabhängigen Prüfbericht verlangen, werden sie statt eines Purple-Team-Übungsprotokolls auch einen offiziellen Pentest-Bericht sehen wollen. Auch in dieser Hinsicht hat der klassische Test Vorrang.

Funktioniert das deiner Meinung nach in jeder Größe? Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

genau so und das ist zudem kaum bekannt dann naja wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

die meisteen Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Absolut. Wenn ich noch etwas hinzufügen darf: Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Kannst du das etwas genauer erklären? Wer bei purple team cybersicherheit hetzt stolpert alle an derselben Stelle.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich erzähle mal was mir passiert ist, vielleicht hilft es euch. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Nur als Notiz, könnte nützlich sein.

ich schreibe mal meine Erfahrung auf... also wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

vergssene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Ich fasse kurz zusammen, was bisher gesagt wurde. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Viel Erfolg.

Ein Thema, das gerade aktuell ist.

Bleibe dran. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Vielen Dank, ich werde es heute testen.