Was bedeutet Assume Breach?

Assume Breach ist eine Herangehensweise an Sicherheitstests, bei der eine erste Kompromittierung bewusst vorausgesetzt wird. Statt nur den initialen Zugang zu verhindern, untersucht das Team, dass ein Angreifer es auf jeden Fall schafft Fuß im Unternehmen zu fassen. Der Fokus liegt darauf, welche Ausbreitung und Auswirkungen anschließend möglich sind und wie gut Kontrollen den Angriff erkennen und eindämmen.

Prävention bleibt wichtig, kann aber nicht jedes denkbare Szenario vollständig ausschließen. Angreifer passen ihre Methoden an, verketten technische Schwächen und nutzen Fehler in Prozessen. Assume Breach prüft deshalb die Sicherheitsarchitektur unter der realistischen Annahme, dass eine Schutzschicht bereits überwunden wurde.

Was sind Ziele von Assume Breach?

Der wichtigste Punkt hier ist die interne Kompetenz zu stärken, so dass Angriffe und bestimmte Verhaltensmuster innerhalb des Unternehmensnetzwerks schneller erkannt werden. Kernaspekt der meisten Angriffe ist außerdem die Ausbreitung im internen Netzwerk - mit Hilfe von Assume Breach-Szenarien kann die IT interne Netzwerke besser segmentieren und es werden allgemein Schwachstellen aufgedeckt. Auch das Verhindern bzw. Minimieren von Schäden und Datenexfiltration ist ein relevanter Punkt - Assumed Breach-Szenarien helfen dabei, die Firewalls und Intrusion Detection Systeme zu verbessern und so Angriffe schneller zu erkennen.

Ein Assume Breach-Szenario ähnelt viel mehr einem echten Angriff eines APT, als ein klassischer Penetrationstest. Auch hier würde man davon ausgehen, dass der Angreifer im Netz ist, weil beispielsweise ein Mitarbeiter auf einen Link geklickt hat oder etwas geöffnet hat.

Wenn Sie solche Szenarien unter realen Bedingungen prüfen möchten, bietet unser Red-Teaming-Angebot genau den passenden Rahmen - mit klar definierten Zielen und realistischen Angriffspfaden.

Vorgehen bei einem Assume Breach-Assessment?

Zusammen mit dem Kunden wird in der Regel ein Szenario definiert. Das kann beispielsweise ein unzufriedener aktueller Mitarbeiter (Insider Threat) sein, der via VPN Zugriff zum Netzwerk hat. Manchmal sollen besonders gefährdete Mitarbeitergruppen getestet werden. Ein Beispiel hierfür sind HR-Mitarbeiter, die oft mit Bewerbungen bzw. E-Mail-Anhängen zu tun haben. In so einem Szenario wird davon ausgegangen, dass der PC der Mitarbeiter kompromittiert ist und der Angreifer von dort aus versuchen wird sich weiter auszubreiten.

Vorteile von Assume Breach?

1. Aktuelle Sicherheitsmaßnahmen werden unter realistischen Bedingungen geprüft.
2. Technische und organisatorische Schwachstellen können gezielt aufgedeckt werden.
3. Test von Erkennungs- und Abwehrmechanismen sowie Optimierung dieser.
4. Kontinuierliche Anpassung von Sicherheitsmaßnahmen auf Basis von Testergebnissen und neuen Bedrohungsszenarien.
5. Effektiver als isolierte Penetrationstests und breit gefächerte Red Teamings.

Abgrenzung zu internen Penetrationstests und Red Teaming?

Assume Breach-Penetrationstests testen in der Regel ein ganz bestimmtes Angriffsszenario und verhalten sich dabei, wie ein echter Angreifer. Man könnte vermuten, dass es sich hierbei um einen internen Penetrationstest handelt - es gibt gewisse Ähnlichkeiten. Wichtig ist aber zu sagen, dass die Ziele grundlegend anders sind - und damit das Vorgehen. Der reguläre interne Penetrationstest nutzt diverse Tools, ist "laut" und in der Regel einfach zu erkennen.

Red Teaming hingegen ist vom Vorgehen und Methodik vergleichbar mit einem Assume Breach-Angriffsszenario, das Red Team versucht nicht aufzufallen und möglichst leiste das geforderte Ziel zu erreichen. Der Unterschied hier ist aber, dass Red Teaming in der Regel ein breiteres Spektrum an Angriffsszenarien abdeckt und auch die physische Sicherheit mit einbezieht. Das Red Team muss erst in die Position kommen, die bei Assume Breach als Ausgangslage verwendet wird. Das macht Red Teaming oft kostenintensiver und aufwendiger.