Een red team simuleert aanvallen om de verdediging van een organisatie te testen. Ze denken als de tegenstanders. Ze bestuderen het doelwit, vinden zwakke punten en buiten die uit. Het doel is niet om dingen kapot te maken, maar om erachter te komen wat er zou gebeuren als een echte aanvaller het zou proberen. Red team-oefeningen gaan verder dan penetratietesten. Een penetratietest richt zich op een specifiek onderdeel. Een red team-oefening simuleert een volledige campagne, vaak gedurende weken of maanden, met meerdere fasen en doelstellingen.

Redteams gebruiken dezelfde tools en technieken als echte aanvallers. Ze phishen medewerkers, exploiteren kwetsbaarheden, escaleren privileges en bewegen zich lateraal. Ze testen detectie en respons, niet alleen preventie. Een redteam dat ongemerkt binnendringt, heeft een zwakke plek gevonden. Een redteam dat vroegtijdig wordt betrapt, heeft de verdediging gevalideerd. Beide uitkomsten zijn nuttig. De bevindingen leiden tot verbeteringen. Redteaming vereist duidelijke regels voor de inzet. De klant definieert wat binnen de scope valt, wat verboden is en wat er moet gebeuren als er iets misgaat. Zonder die grenzen kan een redteamoefening aanzienlijke schade aanrichten. Met die grenzen is het een van de meest waardevolle beveiligingsinvesteringen die een organisatie kan doen.

Fase van de Red Team-oefening

• Verkenning — informatie verzamelen over het doelwit
• Eerste toegang — vind een manier om binnen te komen
• Persistentie — behoud toegang over tijd
• Escalatie van privileges — het verkrijgen van hogere rechten
• Zijwaartse beweging — bereik extra systemen
• Doelstellingen — het bereiken van het vastgestelde doel, vaak data-exfiltratie.

Een rood team is niet de vijand. Het is de tegenstander die je inhuurt om je zwakke punten te vinden voordat iemand anders dat doet.