Blue team, red team en purple team: het verschil

Wat zijn een red team, blue team en purple team?

Het Computer Security Resource Center van NIST beschrijft een red team als een groep die toestemming heeft en georganiseerd de aanvallen van een mogelijke tegenstander nabootst tegen de beveiliging van een organisatie. Het doel is die beveiliging te verbeteren: het red team laat zien wat een geslaagde aanval betekent en wat voor de verdedigers werkt, in een operationele omgeving. De omschrijving staat in de NIST-woordenlijst over het red team en verwijst naar CNSSI 4009-2022.

Het blue team is volgens dezelfde woordenlijst de groep die het gebruik van de informatiesystemen van een organisatie verdedigt. Dat gebeurt doorgaans over een lange periode, in een realistische omgeving, onder regels die een white team bewaakt (NIST-woordenlijst over het blue team). Het white team is de scheidsrechter: het handhaaft de regels, scoort de teams en let erop dat de oefening de missie van de verdediger niet verstoort (NIST-woordenlijst over het white team).

Het gebruik van de term purple team verschilt per organisatie. Verderop in dit artikel staat wat MITRE en het TIBER-EU-kader over de werkwijze beschrijven.

Wat doet een blue team?

Het blue team bewaakt systemen, onderzoekt signalen, handelt incidenten af en verbetert de verdediging. Bij sommige organisaties is het blue team het Security Operations Center (SOC) en het incidentteam samen. De term beschrijft een rol in een oefening, geen afdeling. Het werk hoort bij het vakgebied security operations.

Het Europese ECSF van ENISA kent geen rolprofiel met de naam blue team. Het dichtst in de buurt komt het profiel Cyber Incident Responder, dat het bewaken van de cybersecuritystatus, het afhandelen van incidenten en het waarborgen van de continuïteit van ICT-systemen beschrijft. Als alternatieve titels noemt het onder meer SOC Analyst (ECSF-rolprofielen van ENISA).

De SOC Analist beoordeelt de meldingen en bepaalt welke een echt incident zijn. De Threat Hunter zoekt actief naar aanvallers die nog geen melding hebben opgeleverd, en denkt daarbij als aanvaller. De Incident Responder handelt bevestigde incidenten af, en de Detection Engineer bouwt de regels waarmee meldingen ontstaan.

Neem een melding over een ongebruikelijke inlog. De SOC Analist vergelijkt de inlog met andere meldingen en bepaalt of het een echt incident is. De Incident Responder onderzoekt welke systemen geraakt zijn, dempt de schade en brengt systemen weer in bedrijf. Daarna maakt de Detection Engineer een regel, zodat een volgende poging sneller zichtbaar wordt.

Wat doet een red team?

Het red team bedenkt een aanvalsscenario, voert het uit binnen afgesproken grenzen en rapporteert wat gelukt is en wat het blue team wel en niet zag. Het werkt altijd met toestemming. Zonder opdracht, afgesproken grenzen (scope), regels en contactmomenten is het geen test. Meer over ethisch hacken staat in hoe je ethical hacker wordt.

Het TIBER-EU-kader van de ECB maakt het verschil met een penetratietest scherp. Een penetratietest geeft een gedetailleerde en bruikbare beoordeling van technische en configuratiekwetsbaarheden, vaak binnen één systeem of omgeving. Een intelligence-led red team test bootst de werkwijze van echte aanvallers na en richt zich op de mensen, processen en technologie achter de kritieke functies van een hele organisatie.

In het ECSF-profiel Penetration Tester staan Red Team Expert en Red Teamer als alternatieve titels. Het profiel gaat over het beoordelen van de effectiviteit van beveiligingsmaatregelen, het blootleggen van kwetsbaarheden en het inschatten van hun ernst. De Red Team Specialist plant en voert de test uit, de Penetration Tester beoordeelt systemen op kwetsbaarheden, en de Ethical Hacker test met toestemming de weerbaarheid van een opdrachtgever. Welke werkgevers een Red Team Specialist hebben, zie je bij werkgevers met een Red Team Specialist. Het werk hoort bij het vakgebied cybersecurity.

Wat doet een purple team?

Het purple team is een werkwijze, geen vaste functie. Aanvallers en verdedigers kijken samen naar technieken en detecties, zodat de verdediging direct verbetert. Bij sommige organisaties is dat een vast team, bij andere een oefening of een afspraak tussen twee teams.

MITRE publiceert op de pagina over adversary emulation plans prototypedocumenten van wat mogelijk is met openbare dreigingsrapporten en ATT&CK. Het doel is dat verdedigers hun netwerken en verdediging effectiever kunnen testen, en dat red teams het gedrag van tegenstanders actiever kunnen modelleren. Het Center for Threat-Informed Defense van MITRE noemt het plan voor OceanLotus het eerste openbaar vrijgegeven plan dat een purple team operatie op macOS en Linux mogelijk maakt (OceanLotus-plan van het CTID).

Het TIBER-EU-kader beschrijft purple teaming in de afsluitende fase van een test. Het blue team en de red-team testers werken dan samen om te zien welke andere stappen het red team had kunnen zetten, en hoe het blue team daarop had kunnen reageren. In de praktijk loopt het red team dan met het blue team langs de aanvalsstappen. Bij elke stap kijken ze of het blue team iets zag, en zo niet, waarom niet. Daarna past het blue team de detecties aan en probeert het red team dezelfde stap opnieuw.

Hoe werken red team en blue team samen in een oefening?

Het TIBER-EU-kader van de ECB kent een aantal rollen. Het blue team zijn de mensen binnen de entiteit die getest wordt. De red-team testers voeren de gesimuleerde aanval uit en proberen de kritieke functies van de entiteit te compromitteren. De threat intelligence provider onderzoekt de mogelijke dreigingen en verkent de entiteit. Het control team is een klein team binnen de getoetste entiteit, en het TIBER cyber team is het team bij de autoriteit dat toezicht houdt op de test.

Het blue team weet bij een TIBER-test niet wanneer er getest wordt. Alleen het control team weet van de test. Pas in de afsluitende fase wordt het blue team geïnformeerd. Daarna volgen de rapportage door het red team en het blue team, een replay, purple teaming en 360-gradenfeedback.

Beide teams hebben een gedeelde taal nodig om te beschrijven wat er gebeurde. MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van tegenstanders, gebaseerd op waarnemingen uit de praktijk. Hij is kosteloos en er zijn matrices voor Enterprise, Mobile en ICS. Het artikel over MITRE ATT&CK voor SOC en threat hunting legt uit hoe je hem in het werk gebruikt.

Volgens de ECB is de uitkomst van een test niet geslaagd of gezakt. Het resultaat is inzicht in wat de organisatie zag, wat ze niet zag en hoe ze reageerde.

Wat zijn TIBER en TLPT in de financiële sector?

TIBER-EU is een Europees kader voor threat intelligence-based ethical red-teaming, gemaakt door de ECB en de nationale centrale banken. Het is in mei 2018 gepubliceerd en in 2024 bijgewerkt om aan te sluiten bij de DORA-standaarden voor threat-led penetration testing. Het kader dat de ECB publiceert draagt de datum januari 2025. Een interval van 3 jaar tussen tests is de norm.

In Nederland begon het met TIBER-NL. DNB introduceerde dat in 2016 als pioniersproject, en de ECB nam het in 2018 als basis voor TIBER-EU. Deelname aan een TIBER-test is vrijwillig. Voor instellingen die aan de criteria van DORA voldoen is threat-led penetration testing (TLPT) verplicht, en dan zijn de inhoud en aanpak gelijk aan die van een TIBER-test (DNB over TIBER-NL). DNB introduceerde ook het modulaire kader Advanced Red Teaming (ART), dat omvang en frequentie kan afstemmen op de cyberweerbaarheid van de organisatie.

Het TIBER-EU-kader is bedoeld voor entiteiten die kernfuncties van de financiële infrastructuur leveren, en voor nationale en supranationale autoriteiten. De ECB schrijft dat het kader ook gebruikt kan worden voor entiteiten in alle kritieke sectoren. De test geldt dus niet voor elke organisatie. Meer over de test vind je in het artikel over TIBER-NL en TLPT, en over de verplichting in het artikel over DORA. Vacatures in deze sector staan onder financiële dienstverlening.

Welke functie past bij welk team?

Wie als blue team begint, leert hoe aanvallen er in logs uitzien. Wie in een red team werkt, leert hoe verdedigers denken en waar hun blinde vlekken zitten. Er is geen vaste route. Een red team functie kan volgen op een technische basis uit beheer, ontwikkeling of een instapfunctie in testen. De functietitels wisselen per organisatie, dus de tabel geeft een richting.

De grenzen lopen door elkaar. Een Threat Hunter denkt als aanvaller, en een Penetration Tester schrijft aanbevelingen voor verdedigers. Vacatures per functie vind je via SOC Analist, Threat Hunter, Incident Responder en Red Team Specialist. Wie de functies naast elkaar wil zetten, leest wie doet wat in security, risk en compliance.

Voor de offensieve kant passen OSCP en CEH. Het zijn richtingen, geen vereisten. Voor de defensieve kant is Security+ een brede start. Welke certificering bij welke functie past, staat in het artikel over certificeringen per functie.