Uns wurde ein Red-Teaming empfohlen – was ist das genau und wie unterscheidet es sich bei unserer Betriebsgröße von einem Pentest?

Ein Pentest gleicht einer Bestandsaufnahme: Er scannt Ports, Dienste und Codefehler ab und liefert einen Report zum Fixen. Ein Red Team arbeitet darauf hin, unentdeckt zu bleiben. Sie teilen Angriffe auf, damit sie unter dem Radar von Firewall oder AV bleiben. Wenn ihr intern kein SIEM oder SOC habt, das Logs analysiert, bekommt den Angriff ohnehin niemand mit – der Test verpufft völlig.

Wir haben letztes Jahr für unseren 80-Mann-E-Commerce-Laden euphorisch 210.000 TL für ein Red Teaming bezahlt. Das Ergebnis? Ein Mitarbeiter hat auf eine gefälschte Paket-Mail geklickt, zack hatten sie Domain-Admin-Rechte. 80 Prozent des Berichts handelten von Basics wie Awareness-Schulungen und Rechtebeschränkungen. Im Nachhinein hätten wir die Kohle viel lieber in Backups und Server-Segmentierung gesteckt.

Klingt ganz so, als müsste der Vertriebler seine Quartalsziele erreichen. Erweitert mit eurem Budget lieber den normalen Pentest, nehmt Code-Audits oder API-Security-Checks dazu. Der Sprung von 65.000 TL auf 260.000 TL ist bei eurer Firmengröße absolut überzogen.

Was genau hat der Dienstleister denn im Szenario angeboten? Über wie viele Wochen soll das laufen, und geht es nur um digitale Angriffe oder sind auch Social Engineering vor Ort (Büro-Zutritt) und Phishing-Anrufe drin? Solche Details treiben den Preis extrem nach oben.

Bevor ein Unternehmen für Red Teaming reif ist, sollten drei Voraussetzungen erfüllt sein: 1. Keine offenen kritischen oder hohen Findings mehr aus den regulären Pentests. 2. Ein aktives, zentrales Log- und Monitoring-System, das das Netzwerk rund um die Uhr überwacht. 3. Ein erprobter Incident-Response-Plan, bei dem jeder weiß, was im Ernstfall zu tun ist.

hatten wir in meiner alten firma auch mal. da wurde die mail vom chef gefälscht und die buchhaltung hat sofort die passwörter rausgerückt. um das zu kapieren muss man echt keine viertelmillion lira raushauen haha.

Die Security-Buden drücken halt gern Red-Team- oder Purple-Team-Pakete in den Markt, weil die Margen bei Standard-Pentests im Keller sind. Aber gegen wen soll das Team überhaupt antreten, wenn es kein Blue Team gibt? Da spielen die doch nur gegen sich selbst und schreiben hinterher ne dicke Rechnung.

Spart euch das Geld. Investiert ein Viertel davon in ein gutes Secure-Coding-Training für eure Entwickler und nehmt den Rest für ordentliche Schwachstellen-Scanner. ehrlich gesagt selbst ein interner Awareness-Workshop bringt euch unterm Strich mehr als so ein 260.000-TL-Bericht.

Hier ist etwas zu beachten. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Ein automatisierter Scan-Report ist kein Penetrationstest. Viel Erfolg.

Entschuldigung, aber das gilt nicht in jedem Fall. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Korrigiert mich, falls ich falsch liege.

Ich schreibe mal meine Erfahrung auf. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Meine Frage ist geklärt, vielen Dank.

Wir sind auch eine Zeit lang an derselben Stelle hängen geblieben. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Das war's, entschuldige, wenn ich zu lang war.

Hier muss man eine Unterscheidung treffen. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Gut, dass du diesen Thread eröffnet hast. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn ich dich richtig verstehe, meinst du Folgendes: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ja, die Situation bei was ist red teaming ist genau so. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

genau so ist es und also jeder nicht schritlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

wenn ihr das Ergebnis hier postet hilft es auch anderen.