Es kommen Angebote für „Red Team/Blue Team" rein — was ist der praktische Unterschied, und wann brauchen wir was?

Ohne Blue Team, also ohne Verteidigungsmonitoring, ein Red Team zu engagieren ist, als würde man ohne Schloss und Alarmanlage am Haus einen professionellen Einbrecher mieten und sagen „mal schauen, ob du reinkommst". Natürlich kommt er rein, und euer Geld ist auch weg. Baut erst die Verteidigung auf.

Schaut bei der Entscheidung auf diese drei Schritte: 1) Gibt es eine Struktur, die verdächtige Bewegungen in euren Systemen 24 Stunden lang überwacht? Wenn nicht, ist Blue Team Pflicht. 2) Fallen die zweimal jährlich durchgeführten Penetrationstests sauber aus? Wenn nicht, braucht ihr kein Red Team. 3) Wenn eure Verteidigung stark ist und ihr die Belastbarkeit testen wollt, dann holt man sich ein Red Team.

Wir haben in unserem 40-köpfigen Team voller Enthusiasmus direkt 95.000 AED fürs Red Team ausgegeben. Innerhalb von zwei Wochen sind sie in unser Unternehmen eingedrungen und haben einen Bericht vorgelegt. „Euer Blue Team hat uns überhaupt nicht bemerkt", sagten sie; denn wir hatten ja gar kein Team, das überwachte. Wir haben null Nutzen gesehen, wir hätten erst das Monitoring aufbauen müssen.

Beratungsfirmen verkaufen KMU sehr gerne Pakete mit coolen Begriffen. Lest die Anforderung, die eure Kunden von euch verlangen, genau durch; meistens ist das Verlangte kein Red Team, sondern ein umfassender Penetrationstest der Webanwendung durch eine unabhängige Firma.

Wenn ihr zwischen den zwei Modellen schwankt, fragt die Firmen, ob sie „Purple Team"-Arbeiten machen. Im Purple Team spielen Angreifer- und Verteidigerseite nicht verdeckt; während die Angriffstechnik angewendet wird, schaut man gemeinsam mit euren Entwicklern auf den Bildschirm und schreibt die Verteidigungsregel gleichzeitig mit. Für euer Budget ist das viel lehrreicher.

im finanzbereich haben wir auch ähnliche angebote bekommen. wir haben erst ein monitoringsystem aufgebaut, das server-logs sammelt, das war deutlich günstiger. ohne monitoring einen angriffstest machen zu lassen ist nichts als show.

Edit: Ich habe ein paar Tippfehler korrigiert.

Die Regulierungen im Finanztechnologiesektor schreiben in erster Linie die Aufbewahrung von Audit-Trails, Zugriffskontrollen und kontinuierliche Überwachungsfähigkeiten vor. Auf dem aktuellen Reifegrad eures Unternehmens sollten Investitionen in Verteidigung und Monitoring aus rechtlicher und operativer Sicht Priorität haben.

Zahlen wie 180.000 AED pro Jahr sind für ein 35-Leute-Unternehmen nicht gerade wenig, verbraucht das Budget nicht sofort... halt löst den minimalen Penetrationstest, der die Anforderungen erfüllt und das grundlegende Log-Monitoring, und wenn das Unternehmen wächst, steigt ihr auf diese großen Simulationen um.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

mich interessiert das auch.

Genau so und das ist zudem kaum bekannt. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Nur weil alle es tun heißt es nicht, dass es richtig ist. Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Hier ist etwas zu beachten. halt fehler auf der red team blue team-Seite sind meist rückgängig zu machen, aber teuer.

Ich hoffe das hilft dir weiter.

Da hast du recht. Ein nicht getestetes Backup ist kein Backup.

Ich stimme zu möchte das sogar besonders betonen. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Nur als Notiz, könnte nützlich sein.

Danke fürs Schreiben, das ist genau richtig. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Das hier Beschriebene ist genau das, was wir erlebt haben. Ein automatisierter Scan-Report ist kein Penetrationstest.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich sehe das anders. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet. Wenn es jemand anders macht, würde mich das auch interessieren.

So klar geschriebene Texte sind selten.