Red Teaming verkettet einzelne Schwachstellen bis zu einem Ziel im Unternehmen, verdeckt und gegen euer echtes Blue Team. Kam der Angreifer durch, und hat es jemand bemerkt?
Oben unser Weg zum Ziel, unten das, was im SOC davon ankam. Vereinfachtes, anonymisiertes Beispiel.
Nichts. Bei passiver Aufklärung erwartbar.
Eine Meldung nach 40 Minuten, Ticket ohne Folgeaktion
Nichts. Das Gerät lief bis zum Debrief.
SIEM-Alarm, als False Positive geschlossen
EDR blockierte ein Tool, danach kein Alarm mehr
Erst im Debrief
Gemessen wird in jeder Phase: Time to Detect, Time to Respond und die Erkennungsquote über alle eingesetzten Techniken.
Aus dieser Gegenüberstellung entstehen die Maßnahmen. Neben dem Patch stehen dann Punkte wie „Alarm X ernst nehmen“ oder „Besucherprozess anpassen“ auf der Liste.
| Modul-Pentest | Red Teaming | |
|---|---|---|
| Leitfrage | Wo sind Schwachstellen? | Wie weit kommt ein Angreifer? |
| Scope | Ein System, ein Vektor | Ganzes Unternehmen, ein Ziel |
| Ankündigung | Bekannt und geplant | Verdeckt, kleiner Kreis informiert |
| Erkennung und Reaktion | Nicht im Fokus | Zentraler Messwert |
| Physischer Zugang | Nur wenn separat gebucht | Teil der Kette, wenn der Scope es zulässt |
Beides schließt sich nicht aus. Die meisten Red-Team-Kunden haben zuvor Modul-Pentests durchgeführt.
Von der Recherche im Internet bis zum Ziel, ohne Vorwissen und ohne Ankündigung.
Für Unternehmen mit eigenem SOC oder MDR-Dienstleister.
Start mit dem, was ein Angreifer nach erfolgreichem Phishing hat: ein normaler Account im Netz.
Für den ersten Test der internen Erkennung.
Angriff und Verteidigung im selben Raum: wir führen Technik für Technik aus, euer Team schärft die Detection direkt nach.
Für Teams, die ein SIEM aufbauen oder Lücken nach einem Red Team schließen.
Red Teaming entlang der TIBER-EU-Phasen mit Threat-Intelligence-Vorlauf und Control Team. Abläufe vor einem TLPT nach DORA einmal durchgespielt.
Für Banken, Versicherer und Zahlungsdienstleister.
Benennt Auftraggeber, Scope, Zeitraum und Operator. Bei physischen Einsätzen tragen unsere Leute ihn bei sich.
Ein bis zwei Eingeweihte auf eurer Seite, während des gesamten Engagements erreichbar. Sie können eskalieren und stoppen.
Kein Löschen, kein Verschlüsseln, kein Denial of Service. Wo Ransomware ausgerollt würde, legen wir eine Markerdatei ab.
Keine echten Kunden- oder Personaldaten werden herauskopiert. Zugriff belegen wir per Screenshot, Hashwert oder Testdatensatz.
Private Geräte, Systeme Dritter außerhalb des Scopes und sicherheitsrelevante OT-Steuerungen bleiben ausgeschlossen, sofern ihr sie nicht freigebt.
Meldet euer SOC einen Vorfall, klärt die White Cell mit uns innerhalb von Minuten, ob er von uns stammt. Wenn nicht, pausieren wir.
Ziel ist niemals, euer Team oder SOC vorzuführen. Die Nachbesprechung macht Schwachstellen sichtbar, ohne Schuldzuweisung.
In 30 Minuten klären wir Scope, Ziel und Regeln. Kostenlos.
Erstgespräch buchen