Red Team vs. Penetrationstest: was wann?

Beschaffungsteams in ganz Europa verwechseln die beiden Engagements regelmäßig, und der Markt trägt wenig zur Klärung bei. Hier ist die Unterscheidung in einem Satz: Ein Penetrationstest fragt "können unsere Verteidigungen einem entschlossenen technischen Angreifer standhalten?"; ein Red-Team-Engagement fragt "würden unsere Menschen, Prozesse und Technologie zusammen eine echte Angriffskampagne erkennen und stoppen?"

Penetrationstests — Tiefe in einem definierten Umfang

Ein Penetrationstest nimmt ein definiertes Asset (Webanwendung, API, Cloud-Workload, mobile App, internes Segment) und treibt es unter kontrollierten, zeitlich begrenzten Bedingungen bis zum Bruchpunkt. Befunde sind technisch, ausnutzbar und remediation-bereit. Sie beauftragen einen Pen-Test vor einer Hauptversion, vor regulatorischen Fristen oder als Teil eines kontinuierlichen Assurance-Programms.

Red Team — Breite über die Kill-Chain

Ein Red-Team-Engagement simuliert eine End-to-End-Kampagne — typischerweise über Wochen — unter Verwendung aller Taktiken, Techniken und Verfahren, die ein glaubwürdiger Gegner einsetzen würde. Das Ziel ist, Ihre Erkennungs- und Reaktionsfähigkeiten zu testen, nicht nur Ihren Perimeter. Befunde sind ebenso organisatorisch und prozessual wie technisch.

Der ökonomische Test

Pentesting beantwortet eine deterministische Frage und liefert eine Liste von Problemen. Red Teaming beantwortet eine probabilistische Frage und liefert eine Geschichte — eine Erzählung dessen, was passiert ist, was übersehen wurde und wo die Reflexe Ihrer Organisation Arbeit benötigen.

Wie man sie kombiniert

Reife Sicherheitsprogramme führen typischerweise kontinuierliche Penetrationstests an kritischen Assets durch und einmal jährlich eine einzige, gut definierte Red-Team-Übung. Die Pen-Tests verhindern, dass sich Schwachstellen ansammeln; das Red Team validiert, dass das SOC, der IR-Plan und die Wiederherstellungsverfahren unter Druck funktionieren.

Häufige Beschaffungsfehler

• Ein "Red Team" anfordern, wenn Sie einen gründlichen Pen-Test brauchen
• Ein Red Team scopen, als wäre es ein Pen-Test (jeder Server im Scope, zwei Wochen, kein Detection-Team-Blackout)
• Ein Engagement kaufen und das Deliverable als Ergebnis behandeln — der Wert liegt in der Remediation, die es auslöst

Wenn Sie unsicher sind, was Sie beauftragen sollen, sprechen Sie mit Ihrem Anbieter über einen Hybrid-Scope. WPROIT liefert regelmäßig eine fokussierte Red-Team-Kampagne mit eingebetteten Penetrationstests an den Zielassets und balanciert Tiefe und Breite in einem Engagement.