Der Ernstfall kommt immer ohne Ankündigung

Durch den Einsatz unseres Red Teams lässt sich feststellen, ob die vorhandenen Abwehrmechanismen und Ihre IT Security-Experten bestmöglich für die Gefahren des sich dynamisch ändernden Umfeldes gerüstet sind. Dafür nimmt unser Red Team die Perspektive von Angreifern ein und führt realistische Angriffsszenarien mit authentischen Tätermotiven durch. Ziel der Angriffe unseres Red Teams ist es, sicherheitsrelevante Prozesse, Mitarbeiter und Technologien unter realistischen Angriffsszenarien zu prüfen. Ihre internen IT Security-Experten agieren dabei als echte oder virtuelle Gegner des Red Teams.

Vor Beginn des Projektes definieren wir gemeinsam mit Ihnen eine Tätermotivation bzw. Ziele in Form von Daten. Hier kann es sich beispielsweise um Finanzdaten, Forschungsdaten oder schlichtweg um die höchsten Rechte im Netzwerk handeln. Da jedoch keine Scope-Begrenzung existiert, kann der initiale Eintritt in das Unternehmensnetzwerk dann sowohl über fehlende Awareness der Mitarbeiter (Phishing-Emails für Zugangsdaten oder mit Schadsoftware) oder auch die physische Sicherheit (Begehung des Gebäudes, Anschluss von Hardware am Netzwerk) erfolgen. Ebenfalls denkbar sind Schwachstellen in der im Internet erreichbaren IT-Infrastruktur. Sobald Zugriff auf das interne Unternehmensnetzwerk möglich ist, wird mit Lateral Movement-Techniken die Rechte-Erhöhung innerhalb des Netzwerks angestrebt. Übernommene Systeme werden an ein Command & Control System der r-tec angebunden, über das Remote Befehle ausgeführt werden können.

Die Aufgabe Ihrer IT Security-Experten oder gar Ihres Security Operation Centers (SOC) oder Computer Emergency Response Teams (CERT) ist die Aktivitäten der r-tec zu erkennen und Gegenmaßnahmen einzuleiten. Dies kann in Form von Quarantäne für übernommene Systeme erfolgen oder durch Blockierung der r-tec C&C Systeme auf den Proxies oder Firewalls. Sollte das Blue Team an keiner Stelle Aktivitäten der r-tec identifizieren, können auch Hinweise in Form von Antivirus-Meldungen oder gefälschte Erpresser-Botschaften auf Clients erzeugt werden.

Nach Abschluss des Projektes erhalten Sie einen Bericht mit den von r-tec durchgeführten Aktivitäten. Dieser enthält Maßnahmenempfehlungen für die Infrastruktur sowie für Prozesse und Vorgehensweisen von SOC und CERT. Aufgeführt werden darin auch identifizierte Schwachstellen sowie erkannte, blockierte und unerkannte Aktivitäten.