Red Team
# Red Team

Als Red Team oder als Rotes Team wird eine unabhängige Gruppe bezeichnet, welche bei einer Organisation oder einem Unternehmen eine Verbesserung der Effektivität im Sicherheitsmanagement bewirken soll, indem sie als Gegner auftritt. Ziel ist es dabei immer, Sicherheitslücken aufzuspüren, bevor ein externer Dritter diese ausnutzen kann. Es ist besonders effektiv in Organisationen mit starren Strukturen und eingefahrenen Verfahrensweisen. Diese Art von Test bringt ein realistischeres Bild der Sicherheitslage, als Übungen, Rollenspiele und andere angekündigte Tests. Als Folge des Tests werden dann Gegenmaßnahmen ergriffen.

## Einsatzgebiete

### Einsatz im öffentlichen Sektor

Die Idee und der Begriff des Red Teams haben ihren Ursprung im US-Militär. Eine der ersten schriftlichen Erwähnungen des Begriffs Red Team (respektive Blue Team) findet sich in einem Artikel des Kolumnisten George Dixon aus dem Jahr 1963. Auch heute zählen das Militär und der öffentliche Sektor im Allgemeinen noch zu den Einsatzgebieten von Red Teams.

Die Geheimdienste der Vereinigten Staaten, sowohl militärisch als auch zivil, haben rote Teams, die sich in die Position feindlicher Staaten versetzen und entsprechende Szenarien durchspielen und Berichte schreiben.

Auch private Unternehmen, welche mit Regierungsorganisationen der USA zusammenarbeiten oder Rüstungsunternehmen sind, wie IBM und Leidos, sowie Regierungsbehörden wie die CIA nutzen bereits seit langer Zeit Red Teams. In den Streitkräften der Vereinigten Staaten werden sie verstärkt eingesetzt, seit der Prüfungsausschuss des Verteidigungsministeriums sie empfohlen hat.

### Einsatz im privaten Sektor

Neben Behörden und Organisationen im öffentlichen Sektor kommen Red Teams auch bei Unternehmen im privaten Sektor zum Einsatz. In diesem Fall geht es vorrangig um die Informationssicherheit der Unternehmen. Dies schließt die physische Sicherheit und den Faktor Mensch als potenzielle Schwachstellen ein.

Für einen möglichst realistischen Test ihrer IT-Sicherheit beauftragen die betreffenden Unternehmen meist externe Informationssicherheitsunternehmen, die das Red Team stellen und das Security Operations Center (SOC) des Unternehmens über einen längeren Zeitraum hinweg angreifen.

In der Regel verfügen nur große Unternehmen oder Konzerne über genügen Ressourcen und Fachwissen, um alle Voraussetzungen für die Durchführung eines Red Teamings zu erfüllen. Das Unternehmen muss beispielsweise über Fachkräfte verfügen, die sich speziell um Themen der IT Security kümmern. Hierzu zählen beispielsweise Security Operations Center (SOC), Computer Emergency Response Team (CERT) und Vulnerability Management. Die entsprechenden Personen stellen als Blue Team das Pendant zum Red Team dar. Das Blue Team ist für die Erkennung, Abwehr und Bearbeitung der Angriffe durch das Red Team verantwortlich.

### Red Teaming von Sprachmodellen

Die Analyse von Red Teaming bei Sprachmodellen ermöglicht es, die Agilität und Verhaltensweise von LM-Sprachmodellen besser zu verstehen und sie auf potenzielle schädliche Verhaltensweisen zu testen. Dabei werden ähnliche Konzepte wie beim Red Teaming im physischen Sicherheitsbereich angewendet, um realistische Angriffsszenarien zu entwickeln und die Reaktion der Sprachmodelle auf diese zu überprüfen. Automatisierte Tests und maschinelles Lernen werden in diesem Zusammenhang verwendet, um unerwartete Verhaltensweisen und Schwachstellen in den Modellen zu identifizieren.

### Abgrenzung Red Teaming und Penetrationstest

Ein Red Team im Bereich IT Security nutzt grundsätzlich ähnliche Strategien, Methoden und Tools wie ein Penetrationstest. Zudem schließen beide Varianten neben technischen Angriffswegen die physische Sicherheit und den Faktor Mensch (Social Engineering) ein.

Der Unterschied zwischen Penetrationstest und Red Teaming liegt hauptsächlich in der Zielgestaltung der Projekte und damit einhergehend in deren zeitlichem Umfang und dem Realismusgrad. Bei Penetrationstests wird vorab festgelegt, welche Sicherheitsaspekte konkret getestet werden sollen. Sie zielen eher auf das grundsätzliche Vorhandensein bestimmter Sicherheitskomponenten ab und testen diese in der Breite. Beim Red Teaming hingegen wird ein zu erreichendes Ziel (Objective) festgelegt. Um dieses Objective zu erreichen, nutzt das Red Team alle Wege, die auch echte Angreifer nutzen könnten. Es zielt eher auf die hinter den Sicherheitskomponenten stehenden Personen und Prozesse und deren Reaktion auf einen Angriff ab.

Red Teaming ist in der Regel langfristiger angelegt als ein Penetrationstest. Daher kann das Red Team auf Support seitens des zu testenden Unternehmens verzichten und bei der Informationsbeschaffung und Zugriffsversuchen analog zu echten Angreifern vorgehen. Bei Penetrationstests hingegen ist es aus Zeit- und Kostengründen üblich, vorab einige Informationen an die Pentester beispielsweise über das Zielnetzwerk und dessen Komponenten auszuhändigen.

Zusammenfassend prüft ein Red Team bei Unternehmen, wie die zuständigen Personen und Prozesse auf reale Angriffe reagieren.

