Agentur empfiehlt 'Red Teaming': Was heißt das für ein 20-Personen-Unternehmen genau?

Einem 20-Personen-Unternehmen Red Teaming zu empfehlen ist eindeutig eine Budget-Aufblähungstaktik der Agentur. Sie haben kein Cyber-Verteidigungsteam (Blue Team) im Haus das den Angriff beobachtet und die Alarme verfolgt – was soll das Red Team dann testen? Sie greifen sich selbst an sagen 'schaut wir sind reingekommen' und stellen Ihnen 24.000 EUR in Rechnung. Finger weg.

Zum Umfang von Red Teaming gehören Social Engineering, das Überwinden physischer Sicherheit und Szenarien, bei denen man unentdeckt im Inneren bleibt (Persistence). Es dauert in der Regel Wochen. Wenn Sie keine strengen Unternehmens-Audit-Anforderungen wie ISO 27001 oder TISAX haben, reicht auf KMU-Ebene ein gezielter Penetrationstest völlig aus, bei dem nur Ihre Cloud-Infrastruktur und Ihre API-Endpunkte getestet werden.

Nehmen Sie den Penetrationstest für 6.500 EUR, aber definieren Sie den Umfang gut: 'Cloud-Server-Konfiguration, Web-Oberfläche und API-Autorisierungskontrollen sollen enthalten sein.' Sagen Sie der Agentur auch 'Wir sind noch nicht bereit für eine Red-Team-Simulation, weil wir noch kein Security Operations Center haben', dann ist das Thema erledigt.

Wir sind eine 35-köpfige Finanzberatungsfirma. Vor zwei Jahren haben wir ein ähnliches Angebot angenommen. Ergebnis: Sie ließen einen unserer Mitarbeiter auf einen gefälschten Paketverfolgungslink klicken, betraten das Büro wie ein Praktikant und nahmen den USB-Stick vom leeren Schreibtisch. Wir zahlten 20.000 EUR und das Einzige, was wir gelernt haben, war, dass das Personal aufmerksamer sein muss. Dasselbe Bewusstsein hätten wir auch mit einer internen Schulung für 2.000 EUR erreicht.

Sind Ihre Kunden große Logistikkonzerne? Manchmal können große Unternehmenskunden in Lieferantenverträge eine Klausel 'jährliches Red Teaming oder erweiterte Bedrohungssimulation' aufnehmen. Wenn es in Ihrem Vertrag keine solche verpflichtende Bedingung gibt ist das für ein 20-köpfiges Team völliger Fantasie.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

pentest prüft, ob die Türen und Fenster Ihres Gebäudes verschlossen sind red team versucht, auf das Gebäude zu klettern und durch den Schornstein einzudringen. es macht keinen sinn, einen alarm am schornstein zu installieren, wenn ihre tür noch kein schloss hat. nehmen sie den standardtest und gut ist.

In der 25-köpfigen Softwarefirma, in der ich früher gearbeitet habe, hat die Agentur Red Team bei uns gemacht. Einer ist wie ein Pizzabote reingekommen, hat das Wi-Fi-Passwort vom Pinnbrett in der Küche genommen und ist wieder raus. Sie haben einen supercoolen Bericht geschrieben, aber am Ende des Tages wollten unsere Kunden nur, dass die Sicherheitspatches auf dem Server vollständig sind. Man darf die Prioritäten nicht durcheinanderbringen.

Hier muss man eine Unterscheidung treffen. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. An deiner Stelle würde ich so vorgehen.

Vor zwei Jahren habe ich genau dasselbe erlebt. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Danke, genau die Antwort, die ich gesucht habe.

Danke, genau die Antwort, die ich gesucht habe. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Das war's, entschuldige, wenn ich zu lang war.

Ich stimme zu möchte das sogar besonders betonen. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

genau so, und das ist zudem kaum bekannt dann wer bei red teaming bedeutung hetzt, stolpert alle an derselben Stelle.

zwei Woochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. halt korrigiert mich falls ich falsch liege.

Ich möchte etwas fragen. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Dabei gibt es einen sehr häufigen Fehler. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Viel Erfolg.

ich möchte etwas fragen. naja dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Ich probiere es aus.

Ich stimme zu möchte das sogar besonders betonen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn man Fehlalarme anschreit meldet sich danach niemand mehr.