Werken als Red Team Specialist

Wat doet een Red Team Specialist?

Een Red Team Specialist bootst een gerichte aanval op een organisatie na, over meerdere stappen en over technologie, mensen en processen heen. Het team probeert het doel te bereiken zoals een echte aanvaller dat zou doen, via de route die lukt. Het doel is leren: de organisatie wil weten waar de verdediging werkt en waar niet. Het NIST beschrijft een red team als een georganiseerde groep met toestemming. Zo zien de verdedigers in een operationele omgeving wat de gevolgen van een geslaagde aanval zijn en wat voor hen werkt.

Neem een organisatie die wil weten of ze een gerichte aanval opmerkt. Het red team krijgt een afgesproken doel, bijvoorbeeld toegang tot de klantgegevens in een testomgeving of tot een ander "kroonjuweel" dat de organisatie vooraf aanwijst. Het begint met openbare informatie over de organisatie en stuurt na afspraak bijvoorbeeld een overtuigende mail naar een testaccount, of zoekt een zwakke plek in een extern systeem. Met toegang tot één laptop zoekt het team van daaruit verder door het netwerk naar het doel en legt elke stap vast.

Het blue team ziet sommige stappen wel en andere niet. Na afloop bekijken beide teams samen welke sporen zichtbaar waren en welke regels of werkwijzen beter kunnen. Het resultaat is dan geen lijst van losse zwakke plekken, maar het verhaal van een aanval, met leerpunten voor de verdediging.

Het ECSF van ENISA kent geen profiel met de naam Red Team Specialist. Het framework kwam in september 2022 uit met twaalf rolprofielen, en de functie valt er onder het profiel Penetration Tester.

Een red team test van begin tot eind

Het TIBER-kader van de ECB beschrijft de werkwijze in fasen. De hoofdstukken heten Preparation phase, Testing phase (threat intelligence and scenarios), Testing phase (red team testing) en Closure phase. De stappen hieronder volgen dat patroon, dat per organisatie en per kader verschilt. Voor de details van TIBER-EU zie het artikel over TIBER-NL en TLPT.

1. Voorbereiding. De organisatie en het red team maken afspraken over doelen, grenzen en de periode van de test. Het kader beschrijft risicobeheer, omdat de test op kritieke live systemen plaatsvindt en beheerst moet verlopen. Het blue team weet vooraf niet dat er getest wordt. Alleen een klein groepje bij de organisatie, het Control Team, weet ervan.
2. Dreigingsinformatie en scenario's. Welke aanvallers zijn realistisch voor deze organisatie, en hoe zouden ze te werk gaan? Een threat intelligence provider onderzoekt dat en voert verkenning uit. Het red team werkt daarmee samen.
3. De test zelf. Het red team probeert het scenario uit te voeren op de live productiesystemen en legt vast wat het doet. Het Control Team kan ingrijpen als de test uit de hand loopt.
4. Afsluiting. Het red team rapporteert, en beide kanten bespreken samen wat er gebeurde. Een terugblik met het blue team, waarin de stappen naast wat de verdedigers zagen worden gelegd, is waardevol.

Volgens de ECB is het resultaat van een TIBER-EU-test geen geslaagd of gezakt, maar inzicht in de sterke en zwakke punten van de organisatie. Dat inzicht helpt de organisatie een hogere cyberrijpheid te bereiken.

Welke taken horen bij de functie?

Het dichtstbijzijnde profiel in het ECSF is Penetration Tester. De missie daarvan is penetratietests en aanvalsscenario's plannen, ontwerpen, inrichten en uitvoeren. Het TIBER-kader beschrijft hoe een test op een hele organisatie verloopt. De twee hebben een ander doel: het ene beschrijft een beroep, het andere een werkwijze. De taken hieronder zijn een duiding die uit beide volgt.

• Scenario's opstellen en uitvoeren, op basis van dreigingsinformatie.
• Aanvalsroutes aantonen en laten zien hoever een aanvaller komt.
• De test onder controle houden, zodat de productiesystemen niet in gevaar komen.
• Vastleggen wat is gedaan, zodat het blue team achteraf kan nagaan wat wanneer gebeurde.
• Rapporteren aan de opdrachtgever en terugkoppelen aan het blue team.

Bij sommige organisaties is het blue team het Security Operations Center. Wie de rolgids SOC Analist leest, ziet wat die kant van een test in de praktijk betekent.

Red Team Specialist of Penetration Tester?

Het ECSF van ENISA zet Red Teamer en Red Team Expert als alternatieve titels bij het profiel Penetration Tester. De titel alleen onderscheidt dus weinig. Het verschil zit in het soort test. Het TIBER-kader van de ECB beschrijft dat een penetratietest een gedetailleerde en bruikbare beoordeling geeft van technische en configuratiekwetsbaarheden, vaak binnen één systeem of omgeving. Zo'n test toetst niet het volledige scenario van een gerichte aanval op een hele organisatie, met mensen, processen en technologie.

In de praktijk is de grens vloeiend, en de functieomschrijving van een vacature is leidend. Vacatures gebruiken de titels bij sommige werkgevers door elkaar.

Wie graag een systeem diep onderzoekt en veel kwetsbaarheden vindt, past bij de rol van Penetration Tester. Wie graag een volledig scenario bedenkt en uitvoert, en graag samenwerkt met de verdedigers om te leren, past bij de Red Team Specialist. Het werk als Red Team Specialist bouwt meestal voort op ervaring als Penetration Tester. Ook Ethical Hacker staat als alternatieve titel in hetzelfde ECSF-profiel; de rolgids Ethical Hacker beschrijft die rol.

Welke skills heb je nodig?

Technisch gezien begin je met netwerken, besturingssystemen en Active Directory, een omgeving waarmee organisaties accounts en rechten kunnen beheren. Het ECSF noemt daarnaast het schrijven van scripts en programma's, het vinden en benutten van kwetsbaarheden, en social engineering. Een voorbeeld: wie weet hoe een gebruikersaccount via groepslidmaatschappen aan rechten komt, begrijpt waar een aanvaller na het overnemen van zo'n account verder kan komen. Social engineering is het misleiden van mensen, binnen de afspraken van de test.

Daarnaast zijn er vaardigheden die niet technisch zijn. Geduld en planning zijn nodig, omdat een test een voorbereiding vraagt voordat er één stap wordt gezet. Samenwerken met de opdrachtgever betekent dat je de afspraken over grenzen houdt. Rustig blijven helpt als iets anders loopt dan gepland, bijvoorbeeld bij een systeem dat traag reageert omdat een beheerder iets wijzigt: je bekijkt wat dat voor de test betekent en blijft binnen de afspraken. Het ECSF noemt ook creatief en buiten de gebaande paden denken, en communiceren, presenteren en rapporteren aan belanghebbenden. Helder vastleggen hoort daarbij, zodat een beslisser en een techneut dezelfde feiten zien.

Welke tools en technologie gebruikt een Red Team Specialist?

Een red team kan MITRE ATT&CK gebruiken als gedeelde taal: het team benoemt de technieken die het gebruikte, en het blue team koppelt die aan wat het zag. ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk, en staat zonder kosten open voor iedereen. Het is een naslagwerk, geen checklist. Het overzicht staat op attack.mitre.org.

Het gereedschap is in gewone taal te beschrijven. Nmap laat zien welke diensten een systeem aanbiedt. Burp Suite is een proxy voor webverkeer, zodat je ziet wat een webapplicatie heen en weer stuurt. Metasploit is een raamwerk om kwetsbaarheden aan te tonen. Python en Bash gebruik je voor scripts. Dit zijn voorbeelden, geen advies over welk gereedschap het beste is.

Welke opleiding en certificeringen passen bij een Red Team Specialist?

Een hbo- of wo-opleiding in ICT of security past bij deze functie. Praktijkervaring in testen of beheer komt daarbovenop. Of een werkgever een certificering vraagt, staat in de vacature, en een certificering vervangt geen ervaring.

EC-Council noemt op de programmapagina van de Certified Ethical Hacker onder de functietitels Red Team Specialist, Penetration Tester en Ethical Hacker. Dat zijn functietitels die EC-Council zelf noemt, geen eisen van werkgevers. Lees het artikel over CEH voor de details en de skillpagina CEH voor vacatures met deze skill.

De OSCP van OffSec hoort bij de cursus PEN-200 en is een praktijkgerichte basis in offensief werk. Het examen duurt 24 uur, wordt begeleid door een OffSec-medewerker via een privé-VPN en is volledig hands-on. Na het examen krijg je 24 uur extra om een uitgebreid penetratietestrapport in te dienen. Zie het artikel over de OSCP en de skillpagina OSCP. Voor eisen, kosten en versies kijk je bij de kennisbankartikelen en de pagina's van de uitgever.

Hoe word je Red Team Specialist?

De functie is meestal geen eerste baan. Een route loopt via een rol als Penetration Tester, of via beheer, netwerken of een SOC. Wie de verdedigende kant kent, weet waar een red team op moet letten. Dat maakt de overstap naar offensief werk concreter.

Begin met de basis van netwerken, besturingssystemen en Active Directory. Oefen daarna in een eigen omgeving, en test alleen systemen waarvoor je toestemming hebt. Volgens het NCSC is het zoeken naar kwetsbaarheden in de ICT-systemen van anderen zonder toestemming van de eigenaar niet toegestaan. Het NCSC schrijft ook dat organisaties soms een (ethisch) hacker inhuren, bijvoorbeeld om pentesten uit te voeren. Bestudeer bekende aanvallen en de technieken die erbij horen, en leer schrijven voor verschillende lezers, van de technicus die het moet oplossen tot de bestuurder die beslist. Een rapport van een eigen oefening laat zien wat je hebt gedaan en wat je ervan leerde.

Waar werk je als Red Team Specialist?

Bij sommige organisaties werk je bij een bureau dat red team tests voor klanten uitvoert. Andere organisaties hebben een eigen red team. Bij sommige financiële instellingen wordt TIBER-EU toegepast. Het kader noemt als organisaties onder meer kredietinstellingen, betaalinstellingen en verzekeraars. Bekijk de vacatures in de financiële dienstverlening voor de functies daar, en de werkgeverspagina voor Red Team Specialists voor de organisaties die zo iemand zoeken. Meer over het kader staat in het artikel over TIBER-NL en TLPT.

Waar groei je naartoe?

Doorgroei hangt af van de organisatie en van wat je laat zien. Dit is een overzicht, geen belofte:

• Senior Red Team Specialist of teamlead binnen een red team.
• Security Architect: je ontwerpt beveiligde oplossingen met wat je van aanvallen weet.
• Security Consultant bij een bureau.
• Threat Hunter: je zoekt aanvallers aan de verdedigende kant.
• Application Security Engineer: je bouwt veilige software.

Vacatures en werkgevers

Bekijk de vacatures voor Red Team Specialists of de werkgeverspagina voor deze functie. Het vakgebied als geheel staat op de pagina cybersecurity.