Richtlinie zu den Erwartungen in Bezug auf Penetrationstests durch MDR-Kunden

Zweck

Diese Richtlinie legt Erwartungen fest, wie der Sophos Managed Detection and Response (MDR)-Service mit vom Kunden initiierten Penetrationstests umgeht – sowohl mit manuell gesteuerten als auch automatisierten – und beschreibt die gemeinsamen Verantwortlichkeiten für Kommunikation, Häufigkeit und Zusammenarbeit.

Durch die Festlegung klarer Erwartungen verhindern wir falsche Annahmen, minimieren unnötige Eskalationen und wahren Klarheit und Vertrauen bei Kunden, Partnern und internen Teams während des gesamten Testprozesses.

Beziehung zur MDR-Service-Beschreibung

Diese Richtlinie ist als eigenständiges MDR-Richtliniendokument konzipiert und wird in der MDR-Service-Beschreibung referenziert.

1. Benachrichtigung und Kommunikation

Wir erfordern keine vorherige Benachrichtigung für manuell gesteuerte oder automatisierte Penetrationstests. Wir begrüßen realistische, unangekündigte Szenarien, um die Erkennungs-, Reaktions- und Vorfalls-Management-Fähigkeiten von MDR vollständig zu testen.

Obwohl keine Vorankündigung erforderlich ist, sollte der Kunde nach der Erkennung eines Tests umgehend eine Bestätigung geben und kooperieren, um sicherzustellen, dass die Aktivität korrekt identifiziert und gehandhabt wird.

Diese Richtlinie gilt für Penetrationstest-Aktivitäten, die darauf abzielen, die MDR-Erkennungs- und Reaktionsfähigkeiten zu bewerten. Kontinuierliche oder nicht auf MDR ausgerichtete Tests (z. B. laufende BAS- oder EDR-Validierung) unterliegen den zusätzlichen Abstimmungsanforderungen in Abschnitt 6.

2. Zusammenarbeit

Eine effektive Zusammenarbeit zwischen dem Kunden und dem Sophos MDR-Team ist unerlässlich, um eine genaue Erkennung, eine zeitnahe Reaktion und minimale betriebliche Störungen während der Penetrationstest-Aktivitäten zu gewährleisten.

Dies bildet auch die Grundlage für sinnvolle Verbesserungen: Durch die Zusammenarbeit und die Behandlung der Übung als wäre sie eine echte Bedrohung, die Simulation realistischen Angreiferverhaltens und realer Kommunikationsmuster können beide Parteien Prozesse genau testen, Lücken identifizieren und konkrete Maßnahmen zur Stärkung von Erkennung, Reaktion und Zusammenarbeit für die Zukunft vereinbaren.

Während des Penetrationstests wird das Sophos MDR-Team wie folgt vorgehen:

• Erkennung, Analyse und Bekämpfung mutmaßlich schädlicher Aktivitäten unter Verwendung derselben Workflows und Playbooks, die auch bei echten Bedrohungen angewendet werden.
• Im Rahmen dieses Standard-Workflows Eskalation an den Kunden gemäß der Eskalations-Richtlinie und den Kontaktdaten, die im konfigurierten Bedrohungsreaktionsmodus des Kunden definiert sind.

• Sobald der Kunde bestätigt, dass die Aktivität ein autorisierter Penetrationstest ist, wird das Sophos MDR-Team:

  • Die Standard-Analyse, Threat Response-Maßnahmen sowie weitere Eindämmungs- oder Wiederherstellungsaktivitäten in Bezug auf diese Testaktivität einstellen.
  • Den zugehörigen Fall und die zugrunde liegenden Erkennungen als Penetrationstest-Aktivität klassifizieren und markieren.
  • Nachfolgende testbezogene Alerts weiterhin erkennen und für die Sichtbarkeit im selben (oder einem zugehörigen) Fall korrelieren, ohne für die Dauer dieses Tests weitere Kontaktaufnahmen oder Eskalationen an den Kunden einzuleiten, es sei denn, es wird eine separate, nicht zusammenhängende Bedrohung identifiziert.

Von Kunden wird erwartet, dass sie während des gesamten Test-Lebenszyklus eine zeitnahe und klare Kommunikation aufrechterhalten. Für die Zwecke dieser Richtlinie ist zeitnahe Kommunikation wie folgt definiert:

• Sofortige telefonische Bestätigung, falls der Kontakt per Telefon oder Sprachanruf erfolgt.
• Antwort innerhalb von einer (1) Stunde, falls die erste Kontaktaufnahme per E-Mail oder über einen anderen asynchronen Kanal erfolgt.

Von Kunden wird erwartet, dass sie:

• Auf Anfrage des MDR-Teams bestätigen, dass es sich bei der beobachteten Aktivität um einen autorisierten Penetrationstest handelt.
• Das MDR-Team benachrichtigen, sobald der Test abgeschlossen ist, damit die entsprechenden Erkennungen ordnungsgemäß geschlossen und die Verhaltens-Baselines normalisiert werden können.
• Unterstützende Artefakte (z. B. Bewertungsberichte, verwendete Tools, Payload-Beispiele) bereitstellen, wenn Analyse-Lücken identifiziert werden, um das MDR-Team bei der genauen Klassifizierung und Lösung der Aktivität zu unterstützen.

Dieser kooperative Ansatz stellt sicher, dass das Sophos MDR-Team zunächst so handeln kann, als ob die Aktivität eine echte Bedrohung darstellt, und dann nach Bestätigung sicher in einen Modus zur Behandlung von Penetrationstests übergehen kann, was sowohl eine realistische Bewertung als auch betriebliche Effizienz für beide Parteien fördert.

Kunden, die diese Teilrichtlinie nicht einhalten, gelten als nicht konform. Siehe Anhang.

3. Erwartungen an die Häufigkeit

Der Kunde sollte in einem Zeitraum von 12 Monaten nicht mehr als zwei (2) Penetrationstest-Simulationen durchführen.

Wenn wir zusätzliche Penetrationstests über diese Häufigkeit hinaus erkennen und mit einem hohen Grad an Sicherheit davon ausgehen können, dass die Aktivität testbezogen ist, werden diese:

• In unseren Systemen erkannt und bestätigt sowie als Testaktivität klassifiziert.
• Außerhalb der Standard-SLAs behandelt, was bedeutet, dass sie nicht die üblichen Reaktions-, Triage- oder Eskalations-Workflows auslösen.

Diese Erwartungen an die Häufigkeit gelten für diskrete Penetrationstests, die zur Bewertung von MDR konzipiert sind. Ordnungsgemäß koordinierte kontinuierliche und nicht auf MDR ausgerichtete Tests, wie in Abschnitt 6 beschrieben, sind von diesem Limit ausgenommen, können jedoch einer Anpassung oder Unterdrückung unterliegen und werden nicht gemäß den Standard-MDR-SLAs behandelt.

Kunden, die diese Teilrichtlinie nicht einhalten, gelten als nicht konform. Siehe Anhang.

4. Mindestintervall und Testdauer

Penetrationstests sollten in Abständen von mindestens drei (3) Monaten durchgeführt werden. Dieser Rhythmus ermöglicht ausreichend Zeit für Bereinigung, Anpassung und kontinuierliche Verbesserung zwischen den Bewertungen.

Darüber hinaus sollte die maximale Dauer eines einzelnen Testprojekts fünf (5) aufeinanderfolgende Tage nicht überschreiten. Eine über diesen Schwellenwert hinausgehende Ausweitung von Tests kann zu Problemen hinsichtlich der Erkennungsgenauigkeit, zu Alarmmüdigkeit und zu Betriebsstörungen führen.

Kunden, die diese Teilrichtlinie nicht einhalten, gelten als nicht konform. Siehe Anhang.

5. Qualität und Realismus von Penetrationstests

Penetrationstests sollten darauf abzielen, realistische Angriffsszenarien zu simulieren.

Wir erwarten, dass Tests echte Angreifer-Verhaltensweisen modellieren, wie z. B. das Erlangen des Erstzugriffs, Rechteausweitung und laterale Bewegungen, anstatt sich auf standardmäßigen administrativen Zugriff oder künstlich vereinfachte Einstiegsmethoden zu verlassen.

Dieser Ansatz stellt sicher, dass unser MDR-Service die Effektivität der Erkennung und Reaktion in der Praxis bewerten kann.

Das Vorhandensein bestehender Schwachstellen innerhalb einer Kundenumgebung könnte das Ergebnis des Penetrationstests erheblich beeinflussen und sich auf die MDR-Reaktion auswirken.

Kunden, die diese Teilrichtlinie nicht einhalten, gelten als nicht konform. Siehe Anhang.

Erwartungen an Erkennung und Fallerstellung

Sophos MDR wurde entwickelt, um Sicherheitsaktivitäten zu identifizieren, zu analysieren und darauf zu reagieren, die die MDR-Schwellenwerte für Erkennung, Korrelation, Schweregrad und Analyse erfüllen. Kunden sollten nicht davon ausgehen, dass jede Penetrationstest-Aktivität zu einem Fall, einer Eskalation oder einer von Analysten geleiteten Analyse führt.

Beispiele für Aktivitäten, die möglicherweise keinen MDR-Fall generieren, umfassen unter anderem:

• einfaches Port-Scannen oder Dienstaufzählung;
• Auskundschaftung mit geringem Volumen oder ohne Auswirkungen;
• bestimmte Brute-Force-Versuche, die Erkennungs- oder Eskalations-Schwellenwerte nicht erfüllen;
• Schwachstellen-Scans ohne zugehörige Exploit-Aktivität;
• unbedenkliche oder erwartete administrative Aktivitäten;
• isolierte Ausführung eines Tools, die blockiert ist, einen geringen Schweregrad aufweist oder bei der kein ausreichender schädlicher Kontext vorliegt.

6. Kontinuierliche und nicht auf MDR ausgerichtete Tests

Manche Kunden möchten möglicherweise kontinuierliche oder sehr häufige Testmaßnahmen durchführen, die nicht in erster Linie der Bewertung von Sophos MDR dienen, sondern vielmehr der Überprüfung ihrer eigenen Infrastruktur, ihres Endpoint-Schutzes, ihrer Sicherheitshärtung oder ihrer gesamten IT-Umgebung.

Für die Zwecke dieser Richtlinie umfasst Kontinuierliche und nicht auf MDR ausgerichtete Tests unter anderem:

• Laufende oder geplante Nutzung von Breach-and-Attack-Simulation (BAS)-Plattformen
• Automatisierte Red-Team- oder Purple-Team-Tools, die für einen regelmäßigen Betrieb konfiguriert sind
• Wiederholte oder kontinuierliche Tests von EDR/AV-Konfigurationen und -Kontrollen
• Sehr häufige interne Sicherheitsüberprüfungen, die wiederholte oder vorhersehbare Erkennungen generieren

Diese Aktivitäten unterscheiden sich von den vom Kunden initiierten Penetrationstests, die in Abschnitt 2–5 beschrieben sind und explizit darauf ausgelegt sind, die Erkennungs-, Reaktions- und Vorfalls-Management-Fähigkeiten von MDR zu testen.

6.1 Benachrichtigungsanforderungen

Da bei kontinuierlichen oder automatisierten Tests möglicherweise dauerhaft große Mengen an Sicherheitstelemetriedaten anfallen, ist eine Vorabbenachrichtigung erforderlich, wenn Kunden beabsichtigen, kontinuierliche und nicht auf MDR ausgerichtete Tests durchzuführen, die auf MDR-Ebene sichtbare Alerts auslösen könnten.

Von Kunden wird erwartet, dass sie:

• Diese Tests rechtzeitig ankündigen (z. B. mindestens fünf [5] Werktage), bevor sie solche Tests aktivieren oder wesentlich ändern.
• Eine allgemeine Beschreibung der Tools, Techniken und erwarteten Verhaltensweisen zur Verfügung stellen (z. B.: Name des Tools, ungefährer Zeitplan/Häufigkeit, typische Alert-Muster und Hauptziele).
• Identifizieren, welche Aktivitäten nicht im Umfang der MDR-Reaktion enthalten sind (zum Beispiel: spezifische Testkonten, Hosts oder Domänen, die vom Tool verwendet werden).

Diese Benachrichtigung ermöglicht es Sophos MDR:

• Geeignete Anpassungen, Kennzeichnungen oder Unterdrückungen zu implementieren, um unnötige Analysen bekannter Testaktivitäten zu vermeiden.
• MDR-Kapazitäten zu bewahren und sich auf echte Bedrohungen zu konzentrieren.
• Das Risiko von Alarmmüdigkeit oder Desensibilisierung durch ständige testgenerierte Aktivitäten zu reduzieren.

6.2 Verhältnis zu Penetrationstest-Grenzwerten

Bei ordnungsgemäßer vorheriger Abstimmung und klarer Kennzeichnung als kontinuierliche und nicht auf MDR ausgerichtete Tests:

• Werden diese Aktivitäten nicht auf die in Abschnitt 3 beschriebenen Häufigkeitsgrenzwerte für Penetrationstests angerechnet; und
• Gelten die Erwartungen an Intervall und Dauer in Abschnitt 4 für solche Tests nicht.

Sophos MDR verpflichtet sich jedoch nicht zu Standard-SLAs oder vollständigen Analyse-Workflows für Aktivitäten, die ausdrücklich als kontinuierliche und nicht auf MDR ausgerichtete Tests vereinbart wurden, und diese können einer Anpassung, Kennzeichnung oder Unterdrückung unterliegen.

6.3 Nicht abgestimmte kontinuierliche Tests

Wenn kontinuierliche oder sehr häufige Tests ohne vorherige Abstimmung eingeführt werden und zu anhaltenden oder wiederholten Alerts führen, die für Sophos MDR sichtbar sind:

• Die Aktivität kann gemäß dieser Richtlinie als nicht konform eingestuft und in Übereinstimmung mit dem Anhang behandelt werden.
• Die Erkennung und Fallerstellung im Zusammenhang mit der Aktivität kann unterdrückt, in der Priorität herabgestuft oder von den Standard-MDR-SLAs ausgeschlossen werden, um die betriebliche Effizienz zu wahren.
• Der Kunde wird benachrichtigt und aufgefordert, die Tests entweder gemäß Abschnitt 6.1 abzustimmen oder deren Umfang, Häufigkeit oder Konfiguration anzupassen.

Dieser Ansatz stellt sicher, dass Kunden von den Vorteilen kontinuierlicher Sicherheit und Tool-gesteuerter Tests profitieren können, während sich Sophos MDR weiterhin auf echte Bedrohungen konzentriert und eine qualitativ hochwertige, zuverlässige Erkennung und Reaktion für die Produktionsumgebung gewährleistet.

Anhang: Umgang mit Nichteinhaltung

Im Folgenden wird dargelegt, wie nicht konforme Penetrationstest-Aktivitäten innerhalb des MDR-Service-Frameworks behandelt werden.

A. Identifizierung von Nichteinhaltung

Ein Kunde kann als nicht konform eingestuft werden, wenn er eine der in diesem Dokument definierten Teilrichtlinien nicht einhält. Insbesondere umfasst die Nichteinhaltung (ist aber nicht beschränkt auf):

• Überschreitung der zulässigen Häufigkeit: Durchführung von mehr als zwei (2) vom Kunden initiierten Penetrationstests innerhalb eines rollierenden 12-Monats-Zeitraums.
• Verstoß gegen Intervall- oder Daueranforderungen: Initiierung von Tests in einem Abstand von weniger als drei (3) Monaten oder Durchführung von Testprojekten, die länger als fünf (5) aufeinanderfolgende Tage dauern.
• Nichteinhaltung der Qualitäts- und Realismuserwartungen, einschließlich Tests, die nicht den in Abschnitt 5 beschriebenen Realismusanforderungen entsprechen.
• Unzureichende Zusammenarbeit von Seiten des Kunden, z. B. Versäumnis, Testaktivitäten auf Anfrage zu bestätigen, Versäumnis, das Ende von Tests mitzuteilen, oder keine Bereitstellung angemessener Artefakte, die für eine genaue Analyse erforderlich sind.
• Durchführung von kontinuierlichen oder sehr häufigen Tests, die anhaltende, auf MDR-Ebene sichtbare Alerts erzeugen, ohne die in Abschnitt 6 beschriebene vorherige Abstimmung.

B. Erste Benachrichtigung

Nach Identifizierung nicht konformer Aktivitäten:

• Das MDR-Team benachrichtigt die vom Kunden benannten Kontakte, erläutert die Art der Nichteinhaltung und fordert eine Bestätigung der Aktivität sowie einen Plan zur Wiederherstellung der Konformität mit dieser Richtlinie an.
• Wenn das MDR-Team versucht, alle benannten Kontakte bei zwei getrennten Gelegenheiten zu kontaktieren, ohne eine Antwort oder Bestätigung zu erhalten, wird die Aktivität als unbestätigtes Testverhalten behandelt und eine vorübergehende Unterdrückung aktiviert.

C. Vorübergehende Unterdrückung

Während eines nicht konformen Zustands:

• Kann die Erkennung und Fallerstellung im Zusammenhang mit wiederholten Testaktivitäten unterdrückt oder in der Priorität herabgestuft werden, um die betriebliche Effizienz zu wahren.
• Gelten Standard-SLAs nicht für Erkennungen, die als Teil von nicht konformen Tests identifiziert wurden.

D. Wiederherstellung der Compliance

Um wieder einen konformen Zustand zu erreichen, muss der Kunde:

• Alle nicht abgestimmten oder übermäßigen Testaktivitäten einstellen.
• Die Nichteinhaltung anerkennen und Korrekturmaßnahmen bestätigen.
• Mindestens drei (3) Monate warten, bevor neue Penetrationstest-Aktivitäten wieder aufgenommen werden.

Sobald die Compliance bestätigt ist, werden die vollständigen MDR-Erkennungs-, Reaktions- und SLA-Prozesse fortgesetzt.

E. Eskalation

Die fortgesetzte Missachtung dieser Anforderungen kann zu Folgendem führen:

• Formelle Mitteilung über einen Verstoß gegen die Bedingungen des MDR-Service.
• Einschränkung oder Aussetzung von MDR-Services im Zusammenhang mit der Erkennung oder Fallbearbeitung.
• Weiterleitung an das Account Management oder vertragliche Überprüfung.

Übersichtstabelle: Erwartungen an die Konformität bei Penetrationstests