Penetrationstest
»Hvilke svagheder findes der her?«
Afgrænset område, kendt for driften, jagter dækning. Leverer en prioriteret liste over fund. Fysisk variant: perimeter, låse, adgangskontrol og besøgsproces.
Bredde frem for dybde
Begreber · Offensiv sikkerhed
Red team, pentest og black team: hvad er forskellen?
De tre ord bruges i flæng — også af dem, der sælger dem. Men de svarer på tre forskellige spørgsmål. Køber I det forkerte, får I et rigtigt svar på et spørgsmål, I ikke stillede.
Christian Tang Mathiasen · · 6 min læsning
Vi bliver jævnligt ringet op af nogen, der siger: »Vi vil gerne have en red team-øvelse.« Ti minutter inde i samtalen viser det sig ofte, at det, de har brug for, er noget andet — og nogle gange billigere.
Det er ikke købernes skyld. Branchen bruger de samme ord om vidt forskellige ydelser. Så her er forskellen, som vi bruger den, uden markedsføring ovenpå.
Penetrationstest: et afgrænset område, en fuldstændig liste
En penetrationstest har et defineret omfang: disse systemer, dette netværk, denne bygning, i denne periode. Formålet er dækning — at finde og dokumentere så mange udnyttelige svagheder som muligt inden for det aftalte område.
Testen er sjældent hemmelig. Driften ved som regel, at den kører, og det er meningen: man vil have adgang til alt inden for omfanget, ikke snige sig ind på det. Resultatet er en liste med fund, alvorlighed og anbefalet udbedring. Det er et godt produkt. Det er ofte også det rigtige sted at starte, fordi det er den billigste måde at få fjernet det, der allerede er kendt.
Det samme princip findes fysisk. En fysisk penetrationstest afprøver konkrete, aftalte barrierer: perimeter, døre, låse, adgangskontrol, besøgsproces. Begrænsningen ligger i selve styrken — omfanget. En angriber læser ikke jeres scope.
Red team: ét mål, og et forsvar, der bliver målt
En red team-øvelse måler ikke dækning. Den måler, om et mål kan nås. Målet er sjældent »find sårbarheder«, men »nå frem til denne konto, dette system, dette datasæt — uden at blive opdaget«.
Den anden halvdel er mindst lige så vigtig: øvelsen tester forsvaret. Opdagede nogen det? Hvornår? Hvad gjorde de, og virkede det? Derfor er en red team-øvelse kun kendt af nogle få personer i organisationen, mens den kører. Man får færre fund end i en penetrationstest, men et dybere svar — og et svar om organisationen, ikke kun om teknikken.
I praksis arbejder red teams primært i cyberdomænet. Vejen ind er typisk en mail, en eksponeret tjeneste eller en stjålet adgang. Kører man de to hold sammen med åben kommunikation undervejs, kalder man det ofte en purple team-øvelse. Det er mere træning end test, og det er undervurderet.
Black team: det fysiske og menneskelige domæne
Her ligger vores kategori, og forskellen er ikke kosmetisk. Mens red teams påtager sig rollen som mulige fjender for primært at finde svagheder i cyberdomænet, har black teams en mere intens og realistisk tilgang og arbejder primært i det fysiske og menneskelige domæne.
Holdet er uafhængigt af den organisation, det tester, og har ingen adgang til intern viden om systemerne. Det arbejder under samme mangel på information som en rigtig angriber — og bruger de metoder, en angriber ville bruge: social engineering, fysisk infiltration, silent breaching og deception.
Hvor red teamets vej ind er en mail, er vores en dør. Eller en leverandøruniform, en gæsteregistrering ingen tjekkede, en nøgle i en skuffe fem meter fra det rum, den låser op. Silent breaching — at åbne noget uden at det bagefter kan ses, at det har været åbent — er et fysisk håndværk. Deception er ikke en teknologi, men en historie, der passer til det, medarbejderen alligevel forventede at se den dag.
Side om side
Tre discipliner, tre spørgsmål
De udelukker ikke hinanden. De fleste organisationer har brug for dem i rækkefølge — og får mest ud af dem i netop den rækkefølge.
Red team
»Kan nogen nå målet uden at blive set?«
Målorienteret, skjult, kun kendt af få. Tester lige så meget forsvaret som angrebsfladen. Arbejder i praksis primært i cyberdomænet.
Dybde frem for bredde
Black team
»Hvad kan et menneske gøre på stedet?«
Uafhængigt hold uden intern viden. Fysisk og menneskeligt domæne: rekognoscering, pretext, indtrængning, intern bevægelse, detektion og reaktion.
Hele angrebskæden
Omfanget bestemmer svaret
Scope er ikke bureaukrati. Det er den enkeltfaktor, der afgør mest for, hvad I lærer. Et snævert omfang giver et præcist svar på et snævert spørgsmål. Det er fint, hvis det var det spørgsmål, I havde.
Angriberen har ikke noget omfang. Han har et mål og tid til selv at vælge, hvilken dør det skal gå igennem. Derfor er den mest brugbare måde at bestille en test på ikke at beskrive metoden, men at beskrive målet: hvad må ikke kunne nås? Så finder vi vejene derhen — også dem, ingen havde tænkt på.
Frihed i metoden er ikke det samme som fravær af rammer. Omfang, teknikker, følsomme områder, eskalationsprocedurer og sikkerhedsbegrænsninger aftales altid på forhånd i en Rules of Engagement-aftale, som I godkender. Formålet er aldrig at forstyrre driften eller udstille medarbejdere.
Hvad skal I vælge?
Vælg en penetrationstest, hvis I vil vide, hvor mange kendte svagheder der findes i et bestemt system eller en bestemt bygning, og gerne vil have en liste, I kan arbejde jer systematisk igennem.
Vælg en red team-øvelse, hvis I allerede har lukket det kendte, har en overvågnings- eller beredskabsfunktion, og vil vide, om den opdager en rigtig angriber i tide.
Vælg en black team-opgave, hvis jeres risiko ikke kun lever i netværket: hvis nogen kan gøre skade ved at stå fysisk foran udstyret, tale med den rigtige medarbejder, eller komme ind som leverandør en fredag eftermiddag.
Og vælg ingen af delene endnu, hvis I ved, at fundene ikke bliver udbedret. En test, der ender i en skuffe, er en dyr måde at få dårlig samvittighed på. Start i stedet med en baseline: en Security Assessment giver et samlet billede af sikkerhedsniveauet og en prioriteret rækkefølge for pengene — fra 47.500 DKK ekskl. moms.
Hvorfor vi holder fast i ordet »black team«
Fordi kategorien afgør, hvad der bliver testet. Når en organisation køber »red team«, køber den i praksis en cyberøvelse. Det fysiske og menneskelige domæne bliver til et afsnit i en politik, som ingen har afprøvet — og det er som regel det afsnit, en reel angrebskæde starter i.
Vi kunne kalde det »physical red teaming«. Det ville sælge lettere. Men det ville også antyde, at det er en variant af cyberøvelsen, og det er det ikke. Det er en anden disciplin med en anden faglig kerne: observation, rekognoscering, elicitering, adfærd, rutiner, materiel — og en tålmodighed, der ikke kan automatiseres.
Hvis I er i tvivl om, hvad I har brug for, så tag en samtale først. Det tager tyve minutter at finde ud af, og vi har en klar interesse i, at I ikke køber det forkerte. Vi vil hellere sælge den rigtige opgave om et år end den forkerte i dag.
Næste skridt
Test antagelserne.
Find vejen ind.
En kort samtale er nok til at afklare, om en Security Assessment eller en fuld penetrationstest passer bedst til jer. Den koster ikke noget og forpligter ikke.