Een red team breekt wekenlang in bij een bank, in de echte omgeving en met de middelen van een serieuze aanvaller. Dan komt het moment waarop de ethische hackers moeten stoppen, meestal niet omdat ze vastlopen. De volgende stap verstoort de productiesysteem waar echte klanten op draaien, dus daar houdt de opdracht op.
"Met een red team val je een organisatie aan om de cyberweerbaarheid te testen, in de echte omgeving. Op een gegeven moment kom je op een punt waarop je niet verder kunt, omdat het een productieprobleem veroorzaakt. Dan hijs je de witte vlag, maar eigenlijk ben je dan niet klaar." – Kelvin Rorive, Director bij CCRC
In het rapport staat wat mogelijk was. Wat er daarna gebeurd zou zijn, lees je er niet in terug. Juist dat ontbrekende stuk oefen je met gold teaming.
Goud staat voor het bestuur, niet voor de techniek
De meeste securityprofessionals kennen red teaming, waarbij een team de organisatie aanvalt. Blue teaming is de verdedigende kant, purple teaming laat die twee samenwerken. Gold teaming hoort in hetzelfde rijtje, al zegt de kleur hier iets over het niveau in plaats van over de techniek. Britse hulpdiensten werken al langer met een indeling waarin brons operationeel is, zilver tactisch en goud strategisch. De Nederlandsche Bank omschrijft het gold team in haar gids als het team dat eindverantwoordelijk is voor het managen van cybercrises op strategisch niveau. In de praktijk is dat het crisismanagementteam of het bestuur.
De term zelf komt uit Australië: DNB noemt het CORIE-framework uit 2020 als eerste vermelding. In Nederland is gold teaming een optionele module binnen ART (Advanced Red Teaming), een flexibeler raamwerk dat DNB in 2024 introduceerde. Het kwam naast twee bestaande vormen van red teaming in de financiële sector: TIBER (Threat Intelligence-Based Ethical Red Teaming), waarmee DNB grote financiële instellingen vrijwillig laat testen, en TLPT (Threat-Led Penetration Testing), dat onder DORA verplicht is voor aangewezen financiële instellingen. Dat verklaart waarom de term hier vooral in de financiële sector bekend is.
Het scenario is wat het red team echt vond
Waar veel crisisoefeningen beginnen met een bedacht scenario, begint een gold teaming-oefening bij wat het red team daadwerkelijk heeft gevonden: de artefacten, de zwakke plekken en de route die naar binnen liep. Het scenario pakt de aanval op waar het red team moest stoppen en laat hem doorlopen, zodat het bestuur geen hypothetische ransomware-aanval bespreekt, maar een aanval waarvan al is aangetoond dat hij bij hún organisatie kan.
DNB onderscheidt drie vormen, die oplopen in duur en druk. Een walk-through van minimaal twee uur is een gesprek over het scenario. Een tabletop van minimaal drie uur voegt daar injects aan toe (nieuwe informatie die tijdens de oefening binnenkomt). Een simulatie van minimaal vier uur brengt er ook tijdsdruk en stress in. Na een gesprek weet je wat je zou doen. Een simulatie laat zien wat je werkelijk doet als je moet kiezen terwijl de klok loopt, de pers belt en de technische mensen nog niet weten hoe diep de aanvaller zit. Denk aan het moment, anderhalf uur in de oefening, waarop de woordvoerder meldt dat een journalist screenshots van klantdata heeft en het team moet beslissen of het bevestigt, ontkent of om tijd vraagt, zonder te weten of die data echt is.
De deelnemers zijn daarom bewust niet bij de voorbereiding betrokken, want een crisisteam dat het scenario kent, oefent het script en niet de beslissing.
Het rapport dat bij de CISO blijft liggen
Als tweede doel van de module noemt DNB dat de strategische gevolgen van technische bevindingen toegankelijk worden voor het senior management. Daarmee raakt de toezichthouder een pijnpunt van veel red teaming-trajecten. Het rapport is technisch en volledig, maar wordt gelezen door de mensen die al weten hoe kwetsbaar de organisatie is, terwijl degenen die moeten beslissen over uitval, communicatie en het betalen van losgeld het bij de samenvatting houden.
Niet alleen voor banken
Dat de financiële sector voorop loopt met dit soort oefeningen, komt mede doordat de toezichthouder er zelf het kader voor neerlegde. De vraag die gold teaming stelt, namelijk of het bestuur ooit heeft geoefend met een aanval die echt doorgaat, geldt net zo goed voor een energiebedrijf, een waterschap, een fabrikant of een voedselproducent. Ook daar is de techniek vaak getest, terwijl de crisisorganisatie nooit op de proef is gesteld.
Daar hoort wel een kanttekening bij, die we liever vooraf maken: gold teaming werkt het best als er een red team aan voorafgaat, omdat de bevindingen dan echt zijn. Een organisatie die nooit een red team heeft gehad, kan een simulatie ook op een dreigingsbeeld laten draaien, al blijft het scenario dan een aanname. Als instap is dat prima, maar wie wil weten of de organisatie haar eigen aanvaller overleeft, heeft meer aan een scenario dat op echte bevindingen rust.
Wat je er morgen mee kunt
Loopt er een red teaming-opdracht of staat er een gepland, dan is het nu het moment om te vragen wat er gebeurt zodra de aanvallers stoppen, wie er op dat moment aan zet is en of die persoon of dat team dat ooit heeft geoefend. Luidt het antwoord "dat zien we dan wel", dan weet je welke oefening er nog ontbreekt.
Bij CCRC bouwen we dit als simulatie, waarbij de bevindingen uit het red team het scenario vormen en het crisisteam of het bestuur dat scenario onder tijdsdruk doorloopt. Het red team hoeft daarvoor niet van ons te komen, want we bouwen voort op de bevindingen van de partij die jullie test heeft uitgevoerd. Benieuwd hoe jouw red team-bevindingen een scenario worden? Plan een gesprek.