Red Team

Wat is een Red Team?

Een Red Team is een groep interne of externe beveiligingsspecialisten die met toestemming van de organisatie een echte aanvaller nabootst, met als doel te toetsen of de organisatie een realistische, doelgerichte aanval op tijd detecteert, stopt en herstelt. Waar een pentest zoveel mogelijk kwetsbaarheden in een afgebakend systeem zoekt, werkt een Red Team heimelijk naar een vooraf afgesproken doel toe, zoals toegang tot een engineering-werkstation of het betalingssysteem. De verdedigers, het Blue Team, weten meestal niet dat er een oefening loopt.

Het doel van een Red Team is niet alleen om kwetsbaarheden te vinden, maar vooral om te testen hoe goed de organisatie detecteert, reageert en herstelt bij een realistische aanvalssituatie.

De term komt uit militaire oefeningen, waarin het rode team de tegenstander speelde en het blauwe team de eigen troepen.

🧠 Wat doet een Red Team?

Een Red Team gedraagt zich zoals een echte tegenstander, binnen vooraf vastgelegde spelregels:

• Simuleert echte aanvallers - cybercriminelen, insiders (Insider Threat) of statelijke APT’s, op basis van actuele dreigingsinformatie
• Gebruikt bekende technieken - vastgelegd in MITRE ATT&CK en, voor industriële omgevingen, MITRE ATT&CK for ICS
• Voert gecontroleerde aanvallen uit - Phishing en andere vormen van Social Engineering, misbruik van misconfiguraties, privilege escalation en laterale beweging
• Blijft onopvallend - gebruikt bij voorkeur ingebouwde beheertools (Living Off The Land) om detectie door EDR en SIEM te ontlopen
• Test mensen en processen - niet alleen techniek, maar ook of medewerkers verdachte zaken melden en of escalatie naar het SOC werkt
• Vermijdt schade - de afbakening, verboden acties en een noodstopprocedure zijn vooraf schriftelijk vastgelegd

Voorbeelden van acties zijn het binnendringen via slecht beveiligde externe assets, misbruik van open SMB-shares of cloudopslag, het vastleggen van persistence via scheduled tasks of registry keys, en communicatie met een eigen command-and-control-server (C2).

🔄 Wat is het verschil tussen een Red Team en andere securitytests?

Een Red Team vindt dus niet alle kwetsbaarheden, maar laat zien of één goed gekozen aanvalspad werkt en of iemand het opmerkt. Organisaties die nog geen basisbeveiliging en monitoring op orde hebben, halen meestal meer uit een pentest.

👥 Welke teams en rollen zijn er bij een red team-oefening?

Het Control Team is cruciaal: het kan bij een echte dreiging of een onverwachte verstoring de oefening stilleggen en zo voorkomen dat het Blue Team een oefening voor een echt incident aanziet of andersom. Na afloop komen Red en Blue samen in een purple teaming-sessie om aanvalspaden en gemiste detecties door te nemen.

🔧 Hoe verloopt een red team-oefening stap voor stap?

1. Voorbereiding en scope - het bestuur geeft schriftelijk toestemming, het Control Team legt kritieke functies, vlaggen, verboden acties, testvensters en een noodstopprocedure vast. Zonder toestemming is binnendringen in Nederland computervredebreuk (artikel 138ab Wetboek van Strafrecht).
2. Threat intelligence - een dreigingsanalyse bepaalt welke aanvallers realistisch zijn en welke TTP’s zij gebruiken; daaruit volgen concrete scenario’s.
3. Actieve aanvalsfase - verkenning, initiële toegang (bijvoorbeeld via phishing of toegang op afstand), verankering, rechtenescalatie in Active Directory en laterale beweging richting de vlaggen. Onder DORA duurt deze fase minimaal 12 weken.
4. Leg-ups - loopt het Red Team vast, dan kan het Control Team een opstap geven, zoals een account of netwerktoegang, zodat de rest van de aanvalsketen toch wordt getest.
5. Rapportage - het Red Team beschrijft het aanvalspad, het Blue Team reconstrueert wat het wel en niet zag.
6. Replay en purple teaming - samen worden de stappen nagelopen en detectieregels, playbooks en threat hunting-hypotheses verbeterd.
7. Herstelplan - maatregelen krijgen een eigenaar en deadline; een volgende test toetst of ze werken.

🏭 Hoe voer je een Red Team veilig uit in een OT-omgeving?

In OT gaan beschikbaarheid en veiligheid voor alles. Een onbedoeld commando naar een PLC kan een machine laten bewegen of een proces stilleggen. Daarom gelden extra spelregels:

• Vlaggen in plaats van impact - het Red Team toont aan dat het een engineering-werkstation, HMI of historian kan bereiken of dat het schrijfrechten op een controller heeft, maar voert geen wijziging uit.
• Nooit het SIS raken - veiligheidssystemen vallen buiten de actieve aanval; aantonen dat de route bestaat is genoeg. Aanvallen als TRITON laten zien waarom dat pad zo gevaarlijk is.
• De IT/OT-grens als kernscenario - kan een aanvaller vanuit het kantoornetwerk via de jump server, een leveranciersverbinding of de DMZ de OT-zones bereiken? Dat toetst direct of de netwerksegmentatie volgens het Purdue Model werkt.
• Testomgeving voor riskante stappen - exploits op controllers en protocolfuzzing horen op een testbank of digital twin, niet in productie.
• Operators paraat - een procesingenieur zit in het Control Team en kan direct ingrijpen; testvensters vallen bij voorkeur samen met rustige productieperiodes.
• OT-detectie meetellen - de test laat zien of het OT SOC of een passieve OT-IDS ongebruikelijke engineeringsessies ziet.

🔐 Welke kaders en regels gelden voor red teaming?

Voor de meeste industriële bedrijven is red teaming dus geen wettelijke plicht, maar wel een sterke manier om aan te tonen dat maatregelen uit ISO 27001 of IEC 62443 in de praktijk werken. Dat ondersteunt compliance en maturity-assessments.

🎯 Wat levert een Red Team op?

• Een bewezen aanvalspad - welke combinatie van kleine zwaktes leidde tot de vlag
• Inzicht in detectie - welke stappen het SOC zag, wanneer, en welke logbronnen ontbraken
• Toetsing van Defense in Depth - hielden meerdere verdedigingslagen de aanval op, of viel één laag weg
• Test van mensen - meldden medewerkers de phishingmail, en sluit security awareness aan op de praktijk
• Verbeterde incident response - playbooks, escalatielijnen en de samenwerking tussen IT en OT

❓ Veelgestelde vragen

Hoe lang duurt een red team-oefening?

Een red team-oefening duurt meestal enkele weken tot enkele maanden, inclusief voorbereiding en rapportage. Onder DORA moet de actieve aanvalsfase van een threat-led penetration test minimaal 12 weken duren. Een pentest is met enkele dagen tot weken veel korter.

Weet het Blue Team dat er een Red Team actief is?

Bij een klassieke red team-oefening weet het Blue Team het niet; alleen een klein Control Team is ingewijd. Zo wordt de echte detectie en respons gemeten. Na afloop delen Red en Blue hun inzichten in een purple teaming-sessie.

Is red teaming verplicht voor bedrijven onder NIS2?

Red teaming is onder NIS2 en de Cyberbeveiligingswet niet verplicht; de wet vraagt wel dat u de effectiviteit van uw beveiligingsmaatregelen beoordeelt. Alleen financiële entiteiten die onder DORA zijn aangewezen, moeten minstens eens per drie jaar een threat-led penetration test laten uitvoeren.

Kan een Red Team veilig een OT-omgeving testen?

Een Red Team kan een OT-omgeving veilig testen als het met vlaggen werkt in plaats van met echte procesingrepen en veiligheidssystemen buiten de aanval houdt. Riskante stappen gebeuren op een testbank of digital twin. Een procesingenieur in het Control Team kan de oefening direct stoppen.

Wat is het verschil tussen een Red Team en een Purple Team?

Een Red Team valt heimelijk aan en meet of de verdediging de aanval zelfstandig opmerkt. Een Purple Team laat aanvallers en verdedigers openlijk samenwerken om detectieregels direct te verbeteren. Veel organisaties sluiten een red team-oefening af met een purple teaming-sessie.

Wanneer is een organisatie klaar voor een Red Team?

Een organisatie is klaar voor een Red Team als basismaatregelen zoals patching, segmentatie en logging op orde zijn en er een werkend SOC of monitoringproces is. Zonder die basis vindt een pentest dezelfde zwaktes sneller en goedkoper. Red teaming meet vooral de volwassenheid van detectie en respons.

📌 Samengevat

Een Red Team test uw organisatie zoals een echte aanvaller dat zou doen: doelgericht, onopvallend en realistisch, maar binnen strikte spelregels.

Het verschil met een pentest is het doel: niet alle kwetsbaarheden vinden, maar bewijzen of detectie en respons werken. In OT betekent dat werken met vlaggen, het SIS buiten schot laten en de IT/OT-grens centraal zetten. Frameworks als TIBER-EU en DORA TLPT geven structuur, en een afsluitende purple teaming-sessie zorgt dat de lessen in betere verdediging eindigen.