Red teaming in de praktijk: wat een echte aanval blootlegt
·Het belangrijkste in het kort
- Een goed verdedigde buitenkant zegt weinig: de externe infrastructuur was volledig gepatcht en toch lag het domein er binnen acht weken open
- De ingang was niet technisch maar menselijk en fysiek – een uniform, een brief en een vergaderzaal met een vrije netwerkpoort
- Eén misconfiguratie in de certificaatautoriteit (ESC8) was genoeg voor domeinbeheerder, het hoogste recht dat in een Active Directory-domein bestaat
- Geen enkele beveiligingsmaatregel sloeg alarm – het echte bevinding was niet een lek, maar het ontbreken van zicht
- Red teaming meet de organisatie, niet de medewerker: alle uitkomsten zijn geaggregeerd gerapporteerd
Hebben wij een red team-test nodig?
Stel u een grote organisatie voor met duizenden medewerkers – een organisatie die beveiliging serieus neemt en er ook structureel in investeert. Toch bleef één vraag hangen: wat gebeurt er als een vastberaden, georganiseerde tegenstander het echt op ons voorziet?
Acht weken lang heeft ons red team precies dat gesimuleerd, zonder de beperkingen die een gewone pentest kent. Wij voerden een phishingcampagne vanaf een eigen domein uit (opbrengst: 260 geldige inloggegevens), zetten OSINT in, kwamen via een voorwendsel, een gekloonde toegangspas en een rogue netwerkimplant fysiek naar binnen, en misbruikten daarna een verkeerd geconfigureerde certificaatautoriteit in Active Directory om domeinbeheerder te worden.
Die keten van begin tot eind legde bloot wat losse tests niet zien: menselijke, technische én fysieke zwakke plekken die pas gevaarlijk worden zodra iemand ze aan elkaar knoopt.
Wat is red teaming precies?
Red teaming beoordeelt de volledige beveiligingshouding van een organisatie – van de digitale buitengrens tot het gedrag van mensen. Het bootst na wat een gemotiveerde aanvaller of een Advanced Persistent Threat (APT) zou doen wanneer die uw organisatie als doelwit kiest: niet gebonden aan een smalle scope, niet gebonden aan één techniek, en met de tijd om te wachten.
Daarmee komen zwakke plekken naar boven die klassieke testmethoden niet laten zien. Een pentest beantwoordt de vraag of een specifiek systeem te kraken is. Red teaming beantwoordt een andere vraag: of uw organisatie een echte aanval zou merken, en hoe ver die zou komen voordat iemand ingrijpt.
Dit is een geanonimiseerde weergave van een uitgevoerde opdracht, gepubliceerd met toestemming van de opdrachtgever. Alle handelingen vonden plaats binnen een vooraf afgesproken scope, met schriftelijke toestemming van de daartoe bevoegde persoon en volgens vastgelegde testregels. Zonder die schriftelijke toestemming is dit werk geen dienstverlening maar computervredebreuk in de zin van artikel 138ab van het Wetboek van Strafrecht.
Hoe de hackers van Haxoris zo’n opdracht aanpakken
Wij besteden veel aandacht aan voorbereiding en uitvoering en volgen een vaste set red teaming-methodieken, gericht op het vinden van kwetsbaarheden, het inschatten van risico’s en het toetsen of bestaande maatregelen werkelijk werken. De opdracht valt uiteen in afzonderlijke maar samenhangende fasen:
- Verzamelen van openbare informatie (OSINT)
- Testen van de externe infrastructuur
- Interne netwerktests in twee scenario’s
- Fysieke toegangspogingen op drie locaties van de opdrachtgever
- Een phishingcampagne gericht op het merendeel van het personeel
Zo zijn wij binnengekomen
Zoals altijd bij een gerichte opdracht begonnen wij met de EXTERNE TEST: alles wat vanaf het internet bereikbaar is. Wij hebben de webapplicaties, VPN-gateways, mailservers en overige diensten van de opdrachtgever zorgvuldig onderzocht op zwakke plekken, verouderde software, misconfiguraties en programmeerfouten. De opdrachtgever bleek goed voorbereid: de servers waren volledig gepatcht en er viel geen bekende CVE te misbruiken. De firewall stond correct ingericht en IDS/IPS-systemen volgden het verkeer actief, zonder dat wij een opening vonden. Ook onze pogingen op het wifinetwerk liepen dood, omdat toegang clientcertificaten en meervoudige authenticatie vereiste.
OSINT liet vervolgens zien waarom die fase ertoe doet. Nadat wij alle beschikbare middelen hadden ingezet om informatie over de organisatie te verzamelen, hielden wij een organisatiestructuur over, een lijst met namen van medewerkers, IP-adressen, subdomeinen en gegevens over samenwerkingen en contracten. Opvallend weinig medewerkers vermeldden hun werkgever op LinkedIn – de opdrachtgever moedigde discretie duidelijk aan. Toch leverde de omvang van de organisatie genoeg profielen op om verder te komen. Wij combineerden LinkedIn-gegevens met informatie uit oude datalekken en verifieerden de gevonden e-mailadressen. Het kantelpunt kwam toen wij door een fout in een intern systeem het exacte e-mailformaat achterhaalden: voornaam.achternaam@bedrijf.nl.
Daarna probeerden wij de FYSIEKE BUITENGRENS te doorbreken, op meerdere locaties. Tijdens het eerste bezoek brachten wij de ingangen in kaart, de looproutes van de beveiliging, de dode hoeken van de camera's en meer. Voor het gebouw stond een bus voor de keuring van brandblusmiddelen, en dat werd onze toegangsroute. Na een korte OSINT-voorbereiding stonden wij er als keurmeester van brandblusapparatuur: compleet met bedrijfskleding, het logo van het keuringsbedrijf en briefpapier met een schriftelijke opdracht om de blussers te inspecteren en daarvoor het gebouw te betreden. Die "brandblustechnicus" kreeg onbegeleid toegang tot een vergaderzaal, waar wij achter een televisiescherm een vrije RJ45-poort zagen zitten. Binnen enkele minuten hingen wij daar een eigen implant met 4G-verbinding aan, uit het zicht, en vertrokken zonder dat er ergens een alarm afging. Daarmee hadden wij blijvende en onopgemerkte toegang tot het interne netwerk, en een startpunt voor de volgende fase.
Hoewel wij al toegang tot het netwerk hadden, was ons doel geldige domeinaccounts. Met de tijdens OSINT geverifieerde e-mailadressen startten wij een sterk gerichte PHISHINGCAMPAGNE – geen massamailing, maar nauwkeurige typosquatting op een gelijkend domein. Vermomd als aankondiging van een nieuw intern beloningssysteem ving de nagemaakte intranetpagina inloggegevens op, waarna wij de campagne meteen stillegden om de kans op ontdekking klein te houden. Die verse domeinaccounts openden het interne netwerk verder en legden de basis voor de fase daarna: het verhogen van rechten. De campagne is uitsluitend geaggregeerd gerapporteerd; individuele medewerkers zijn niet beoordeeld of geïdentificeerd.
De INTERNE TEST bestond uit een simulatie van een gestolen apparaat en uit tests op het interne netwerk. Wij troffen in de certificaatautoriteit van de opdrachtgever een ESC8-kwetsbaarheid aan, waarmee wij elk gewenst Active Directory-certificaat konden aanvragen – ook dat van de domeincontroller. Na bevestiging van de fout met Certipy dwongen wij met de module Coerce_Plus van Netexec de domeincontroller om zich bij onze relayserver te authenticeren, waarna wij die authenticatie met NTLMRelayX opvingen en doorzetten. De certificaatautoriteit gaf een certificaat voor de domeincontroller af, en daarmee hadden wij de rechten van domeinbeheerder. Dat toont aan dat ook een stevige verdediging te omzeilen is met de juiste techniek. Domeinbeheerder zijn is het hoogste recht dat een aanvaller in een Active Directory-domein kan bereiken: het staat gelijk aan volledige controle over de infrastructuur, met toegang tot alle diensten en gevoelige gegevens.
Resultaten en belangrijkste bevindingen
- INLOGGEGEVENS GECOMPROMITTEERD: een nauwkeurige phishingcampagne leverde 260 geldige accounts op, wat zwakke plekken blootlegde in zowel de e-mailfiltering als het bewustzijn van medewerkers.
- FYSIEKE TOEGANG VERKREGEN: onze operator kwam langs de receptie en kloonde toegangspassen zonder dat iemand ingreep, waarna hij apparatuur binnen een beveiligde zone kon plaatsen.
- RECHTEN VERHOOGD TOT DOMEINBEHEERDER: via de misconfiguratie in de certificaatautoriteit (ESC8) lieten wij een vertrouwd certificaat afgeven en kregen wij volledige beheerrechten – onopgemerkt.
- NUL DETECTIE DOOR DE VERDEDIGING: noch de maatregelen aan de buitengrens, noch IDS/IPS, noch de logging sloeg aan op onze activiteiten. Dat wijst op een fors gat in het zicht op wat er gebeurt.
Onze aanbevelingen
- Versterk de fysieke beveiliging en de bezoekersprocedure: maatregelen tegen meelopen, strikte identiteitscontrole en een sluitende bezoekersregistratie.
- Toets elke ingang met regelmaat: de buitengrens, interne systemen, systemen van derden, certificaatautoriteiten en de netwerkinfrastructuur.
- Train medewerkers op phishing en social engineering: oefeningen met echte scenario’s houden de alertheid op peil.
- Houd interne apparatuur en activiteit realtime in de gaten, zodat onbekende hardware en afwijkend netwerkgedrag direct opvallen.
Cyberbeveiliging is geen kwestie van techniek alleen – het is het samenspel van mensen, processen en middelen. Blijven testen, blijven leren en weerbaarheid opbouwen zijn daarbij noodzakelijk, want een aanvaller zoekt altijd de zwakste schakel. Echte bescherming begint bij de houding van uw mensen.
Wilt u weten hoe ver een aanvaller bij u zou komen? Bespreek de mogelijkheden in een gratis adviesgesprek, of lees hoe wij infrastructuur testen.
