Cyber Defence: Assessment, TEM, Incident Response, OT Security en Red Team

Assessment, threat exposure management en incident response — weten waarmee te beginnen

Drie soorten cyberbeveiligingswerk worden regelmatig verward. Assessment-werk (penetratietesten, kwetsbaarheidsbeoordeling, aanvalspad-validatie) is actief en adversarieel: een gekwalificeerd team probeert uw systemen te compromitteren met dezelfde technieken die een aanvaller zou gebruiken, binnen een gedefinieerde scope en regels van inzet. De output is een gerangschikte bevindingsset, bewijs van exploiteerbaarheid en een herstelplan. Assessment is wat u opdracht geeft als u wilt weten wat een aanvaller zou vinden — voordat een aanvaller het zelf vindt.

Threat Exposure Management (TEM) is continu en extern: het monitort het internet-gerichte en dark-web-aanvalsoppervlak — gelekte credentials, blootgestelde services, foutief geconfigureerde cloudassets, gegevens in lek-dumps — en geeft een waarschuwing wanneer nieuwe blootstelling wordt gedetecteerd. TEM test uw verdediging niet; het monitort wat al zichtbaar is voor een tegenstander. Het is aanvullend op assessment-werk, geen vervanging daarvoor. Het juiste startpunt voor de meeste organisaties is assessment plus TEM, parallel uitgevoerd.

Incident response (IR) is reactief: een compromis heeft plaatsgevonden of wordt vermoed, en een gespecialiseerd team wordt ingezet om het in te dammen, de dreiging te elimineren en vast te stellen wat er is gebeurd. IR is een capaciteit die u van tevoren gecontracteerd en afgebakend wilt hebben zodat de eerste uren van een incident worden besteed aan inperking in plaats van administratie. Een Mission Support IR-retainer geeft een contractueel vastgelegd responsteam, SLA-gebonden mobilisatietijd en een vooraf overeengekomen scope — zodat de respons in uren begint.

OT en industriële security — het gat tussen IT en SCADA

Operationele technologie (OT) security dekt de industriële besturingssystemen, SCADA-omgevingen en ingebedde systemen die fysieke infrastructuur aansturen: productielijnen, energiedistributie, waterbehandeling, gebouwbeheersystemen en logistieke automatisering. OT-omgevingen hebben een fundamenteel ander beveiligingsprofiel dan IT-omgevingen — apparaten kunnen verwachte levensduren hebben van 15-30 jaar en kunnen niet worden gepatcht zonder operationele verstoring; en de gevolgen van een compromis zijn geen datalek maar een fysieke uitkomst.

Conventionele IT-beveiligingstools kunnen vaak niet zonder aanpassing worden toegepast op OT-omgevingen. Agressief scannen kan PLC's laten crashen. Tegelijkertijd heeft de convergentie van IT- en OT-netwerken — gedreven door vereisten voor externe toegang, cloudanalyse en Industry 4.0 — het aanvalsoppervlak uitgebreid naar OT-assets die voorheen luchtgegapt waren.

De OT-beveiligingswerkzaamheden van Mission Support worden uitgevoerd onder IEC 62443: de internationale standaard voor industriële cyberbeveiliging. Wij voeren OT-netwerkmapping, segmentatiebeoordeling, risicobeoordeling en een gefaseerd herstelplan uit — gedocumenteerd op de standaard die toezichthouders en verzekeraars vereisen.

Red-team operaties — wat ze zijn en wanneer ze de moeite waard zijn

Een red-team operatie is een volledig-scope tegenstander-simulatie: een toegewijd team probeert een gedefinieerd doel te bereiken met behulp van de technieken, gereedschappen en vakkundigheid van een echte aanvaller. In tegenstelling tot een penetratietest, die is afgebakend tot een specifiek systeem, is een red-team operatie alleen beperkt door het overeengekomen doel en de regels van inzet. Het team kan social engineering, fysieke inbraak, supply-chain-vectoren en elke combinatie van technische exploitatie gebruiken.

De output van een red-team opdracht is bewijs van wat een tegenstander met specifieke motivaties zou kunnen bereiken — en documentatie van de detectie- en responskloven die hen in staat stelden het te bereiken. Red-team bevindingen onthullen het samengestelde effect van meerdere zwakheden over mensen, processen en technologie, op een manier die individuele controle tests niet kunnen.

Red-team operaties zijn de moeite waard wanneer een organisatie aanzienlijk heeft geïnvesteerd in beveiligingscontroles — SOC, SIEM, EDR, beveiligingsbewustzijnstraining — en wil begrijpen of die investeringen presteren onder echte tegenstander-omstandigheden. De juiste volgorde is eerst assessment (de hygiënebasislijn begrijpen), dan red team (valideren dat de controls werken). Mission Support voert red-team operaties uit afgestemd op MITRE ATT&CK en ondersteunt purple-team capaciteitsontwikkeling.

Veelgestelde vragen