De Amerikaanse overheid heeft de lessen van een red team-oefening bij een grote organisatie uit de vitale infrastructuur gedeeld, zodat andere organisaties en bedrijven de beveiliging en monitoring van hun netwerken kunnen verbeteren. Bij red teaming wordt door een red team een realistisch aanvalsscenario toegepast om beveiligingsmaatregelen op het gebied van mensen, processen en techniek te testen. Zo kunnen zwakheden worden vastgesteld, kan het personeel worden getraind en wordt gemeten in welke mate de organisatie 'in control' is op het gebied van informatiebeveiliging. Daarnaast creëert een red team oefening awareness.

De naam van de vitale Amerikaanse organisatie waar de oefening plaatsvond is niet bekendgemaakt, maar het red team wist meerdere locaties te compromitteren, waarbij als eerste spearphishingmails werden gebruikt. Nadat er via de phishingmails toegang was verkregen wisten de aanvallers zich lateraal door het netwerk te bewegen. Volgens het CISA beschikte de organisatie over een volwassen "cyberpostuur", maar werden de activiteiten van het red team niet opgemerkt, ook niet toen dat een security response probeerde te veroorzaken.

De vitale organisatie bleek de eigen netwerken en systemen onvoldoende te monitoren. Verder bleek het wachtwoord voor een service account voor de key distribution center (KDC) service, die wordt gebruikt voor het versleutelen en signeren van alle Kerberos-tickets voor het domein, al meer dan tien jaar niet te zijn veranderd. Tevens beschikten standaardgebruikers over uitgebreide rechten en werden onveilige standaardconfiguraties voor Windows Server 2012 R2 gebruikt.

Het red team wist via een keylogger het wachtwoord van een gebruiker te onderscheppen toen die dat vanwege de periodieke verplichting moest aanpassen. De organisatie verplicht dat gebruikers elke zestig dagen een nieuw wachtwoord instellen. Het onderschepte nieuwe wachtwoord bleek op alleen het laatste karakter na identiek te zijn aan het oude wachtwoord. Het CISA doet dan ook meerdere aanbevelingen aan organisaties om hun netwerken en systemen te beveiligen, waaronder het trainen van gebruikers, instellen van phishingbestendige multifactorauthenticatie en het upgraden naar nieuwere versies van Windows en Windows Server.