Bei einem vollständigen Red Teaming Assessment startet das Red Team ohne Vorwissen. Das Blue Team der Auftraggebenden Organisation hat zudem keine Kenntnis über die Durchführung der Untersuchung. Das Team wird umfangreiche Aufklärungsmaßnahmen durchführen und die gewonnenen Erkenntnisse für die Vorbereitung und Durchführung komplexer, verketteter Angriffe nutzen. Dabei wird versucht die bestehenden Sicherheits- und Überwachungsmaßnahmen sowie das Blue Team zu umgehen, um die definierten Ziele des Assessments zu erreichen. Dabei kommen je nach Situation, Einschränkungen und Anforderungen neben technischen Cyber-Angriffen auch Social-Engineering-Angriffe und physische Eindringversuche zum Einsatz.

Auftraggebende Organisationen erhalten durch diese Angriffssimulation einen umfangreichen Stresstest der Sicherheitsarchitektur und eine aussagekräftige Risikobewertung welche auf realistischen Umständen basiert.

Ein vollständiges Red-Teaming-Assessment durchläuft in der Regel die folgenden Phasen:

• Reconnaissance
• Initial Access
• Persistance
• Lateral Movement
• Privilege Escalation
• Objectives

Ein Initial-Compromise-Assessment bildet den ersten Teil eines Red-Teaming-Assessments ab. Zentrale Fragestellung ist, ob es einem externen, schädlichen Akteur gelingen kann die abschottenden Sicherheitsmaßnahmen einer Organisation zu überwinden. Das Red Team wird neben umfangreichen Aufklärungsmaßnahmen Cyber-Angriffe auf externe Perimeter durchführen und auch mit Hilfe von Social Engineering und physischen Eindringversuchen versuchen eine initiale Kompromittierung eines internen Systems umzusetzen.

Nachfolgend aufgelistet werden einige durchlaufende Phasen im Rahmen eines Initial Compromise Assessments

• Reconnaissance
  • OSINT-Analyse
  • Aktive Informationsgewinnungsmaßnahmen
  • Physische Aufklärung
  • Aufdecken der Angriffsfläche
• Initial Access
  • Entwicklung und Anwendung von Ressourcen, Angriffstechniken und Strategien
  • Social Engineering
  • Angriffe auf externe Perimeter
  • Physisches Eindringen
• Abschluss der Mission
  • Erreichung der Ziele (Z. B. initiale Kompromittierung eines Systems, Physisches Eindringen in einen Sicherheitsbereich, etc.)
  • Exfiltration
  • Dokumentation der Ergebnisse, Risikobewertung
  • Abschlusspräsentation

Das Assumed Breach Assessment bildet den internen Teil eines vollständigen Red Teaming Assessments ab. Das Red Team erhält in diesem Scenario einen initialen Zugang zum internen Netzwerk (z. B. ein Mitarbeiter-Notebook mit einem Standardbenutzer). Ausgehend von der Annahme dass es einem schädlichen Akteur möglich ist einen Benutzer bzw. ein internes System zu komprimittieren weitet das Red Team den initialen Zugang im Netzwerk aus, erweitert die Rechte innerhalb der Domäne, umgeht interne Sicherheitsmaßnahmen und operiert unerkannt von der Cyber-Defense-Einheit (Blue Team) der Organisation.

Ein Assumed-Breach-Assessment durchläuft in der Regel die folgenden Phasen:

• Persistance
• Lateral Movement
• Privilege Escalation
• Objectives

OSINT (Open Source Intelligence) ist ein Prozess der Sammlung und Analyse von Informationen, die aus öffentlich zugänglichen Quellen stammen. Während einer OSINT-Analyse wendet CERTAINITY passive Informationsgewinnungsmaßnahmen an um möglichst viele Informationen zu einer Zielorganisation zu erhalten. Die gewonnenen Erkenntnisse werden hinsichtlich ihrer Sicherheitskritikalität kategorisiert und bewertet. Das Ergebnis der OSINT-Analyse ist ein umfangreiches Abbild der externen Angriffsfläche einer Organisation.

Bei einer OSINT-Analyse können u. A. folgende passive Informationsgewinnungsmaßnahmen zum Einsatz kommen:

• Technische Aufklärung im Internet
• Clear-Web-Analyse
• Deep-Web-Analyse
• Dark-Net-Analyse
• Physische Aufklärung
• Abfrage öffentlich zugänglicher Informationen von Behörden, Ämtern, Datenbanken etc.

Die Erkenntnisse einer OSINT-Analyse können als Basis für weitere Dienstleistungen wie externe Penetrationstests verwendet werden. Angriffssimulationen wie Red-Teaming- oder Initial-Compromise-Assessments beinhalten die Durchführung einer OSINT-Analyse zur Schaffung der für weitere Angriffe benötigten Informationsgrundlage.

Gegenwärtig sind Phishing-Angriffe statistisch für die meisten schwerwiegenden Cyber-Sicherheitsvorfälle verantwortlich. Trotz umfangreicher Sicherheitsmaßnahmen schaffen Kriminelle es immer wieder Zugangsdaten zu entwenden oder Endgeräte von Mitarbeitern mit Schadsoftware zu infizieren.

Die systematische Prüfung der Mitarbeiter-Awareness ist ein elementarer Bestandteil jeder Cyber-Sicherheitsstrategie. CERTAINITY führt individuelle Phishing-Kampagnen durch, analysiert und dokumentiert die Ergebnisse und schafft damit eine ideale Entscheidungsgrundlage bei der Budgettierung und Planung von Awareness-Schulungen.

Durch zyklische Phishing-Kampagnen wird eine kosteneffiziente Lösung für die dauerhafte Messung der Mitarbeiter-Awareness angeboten.

Der Mensch ist die kritischste Schwachstelle in jeder Organisation. Social-Engineering-Assessments messen und bewerten die Resillienz Ihrer Mitarbeiter gegenüber vielseitigen und trickreichen Angriffen auf psychologischer und sozialer Ebene.

CERTAINITY bietet einfache und umfangreiche Social-Engineering-Assessments remote und/oder vor Ort. Die Consultants gehen dabei nach einem strengen Ethik-Kodex vor und halten sich genau an getroffene Vereinbarungen und gesetzliche Regelungen. Je nach Anforderungen und Bedarf können unter anderem, folgende typische Angriffsklassen zum Einsatz kommen:

• (Spear) Phishing / Whaling / Vishing / Smishing
• Pretexting
• Baiting
• Tailgating
• Impersonation
• Dumpster Diving
• Shoulder Surfing
• Social Media Engineering
• USB Drop Attacks
• Reverse Social Engineering
• Honey Trapping
• Psychological Manipulation

Durch gezieltes und gut vorbereitetes physisches Eindringen in Gebäude und Sicherheitsbereiche können Angreifer eine Vielzahl an typischen (Cyber-)Sicherheitsmaßnahmen mit einfachen Mitteln umgehen und großen Schaden anrichten. Die systematische Untersuchung der physischen Standortsicherheit ist daher ein elementarer Bestandteil jeder ganzheitlichen Sicherheitsstrategie.

CERTAINITY bietet physische Sicherheitsüberprüfungen in Kombination mit Red-Teaming-Dienstleistungen und Social-Engineering-Assessments, aber auch als Einzeldienstleistung an. Je nach Anforderungen, Umfang der Untersuchung und gewähltem Ansatz können unter anderem folgende physische Angriffsvektoren überprüft werden:

• Physische Aufklärung
• Identifikation und Ausnutzung von Schwachstellen in Sicherheitsbarrieren
• Unerkannter Zutritt zum Betriebsgelände
• Umgehung von Überwachungstechnik
• Deaktivierung von Sicherheitstechnik
• Identifikation von Schwachstellen in Fenstern, Türen und weiteren Zugangsmöglichkeiten
• Physisches Eindringen in Gebäude und Sicherheitsbereiche
• Unerkanntes Entkommen nach erfolgreichem physischen Eindringen

Distributed-Denial-of-Service-Angriffe (DDoS) stellen eine ernsthafte Gefahr für IT-Infrastruktur und Applikationen dar und können deren Betrieb stark beeinträchtigen. Um die Effektivität der implementierten Gegen- und Schutzmaßnahmen zu messen hat CERTAINTY in Zusammenarbeit mit globalen Partnern und Kunden einen standardisierter Testmethodik entwickelt. Die Methodik orientiert sich dabei am international anerkannten DDoS-Resiliency-Score (DRS).

Das Ergebnis des Stresstest ist ein Leistungsnachweis eingesetzter Anti-DDoS-Services, der geeignet ist im Rahmen von Audits, Zertifizierungen und Sicherheitsüberprüfungen die Resilienz der eigenen IT-Systeme gegen DDoS Angriffe zuverlässig nachzuweisen. Zudem erhalten Sie Empfehlungen zur Erhöhung des Schutzniveaus.

Typischerweise durchläuft eine CERTAINITY DDoS-Simulation die folgenden Phasen:

• Auswahl geeigneter Zielsysteme
• Erstellung eines Angriffsplans anhand von DRS
• Durchführung eines DDoS-Angriffs mit Hilfe von simulierten IoT-Bots und Web-Browsern
• Ermittlung von Sicherheitskonfigurationsparametern
• Dokumentation der Ergebnisse und Ausstellung von Verbesserungsvorschlägen