Åbne pentestfund: skal red teaming vente?

Når en red team-øvelse er ved at blive planlagt, og der samtidig står alvorlige fund åbne fra den seneste penetrationstest, opstår et rækkefølgeproblem. Svaret afhænger af, hvad øvelsen skal besvare: Hvis spørgsmålet er, om forsvaret opdager en modstander, kan øvelsen godt gå i gang med kendte svagheder, så længe de håndteres bevidst. Hvis spørgsmålet er, hvor robust organisationen er, bør de alvorligste fund normalt rettes først.

Valget er derfor ikke et spørgsmål om disciplin, men om formål. Det skal træffes eksplicit, fordi det ændrer, hvad resultatet kan bruges til.

Hvorfor åbne fund ændrer øvelsen

Et red team leder efter den vej til målet, der giver mest mening for den modstander, det efterligner. Hvis en kendt og alvorlig svaghed ligger på vejen, kan holdet bruge den. Det er realistisk, for en rigtig modstander ville gøre det samme. Men det betyder også, at øvelsen bruger tid og budget på at bekræfte noget, der allerede står i en rapport.

Den største risiko er ikke spildt tid. Det er, at øvelsens fortælling bliver domineret af det kendte fund, så ledelsen hører om den samme svaghed igen og ikke om de forhold, kun en øvelse kan afdække: hvordan forsvaret reagerede, hvem der fik besked, og hvor beslutningerne gik i stå. → Det, red teaming afprøver

Når det giver mening at vente

Der er situationer, hvor ventetiden klart er det rigtige:

Kritiske fund på vejen til målet · hvis fundene ligger på de mest oplagte veje mod kronjuvelerne, vil øvelsen næsten med sikkerhed gå den vej.
Ingen plan for rettelserne · uden ejer og dato er fundene ikke kendt risiko, men glemt risiko.
Ledelsen forventer en samlet vurdering · hvis øvelsen skal vise, hvor robust organisationen er, er en kendt genvej misvisende.
Rettelserne er tæt på · hvis de alvorligste fund er lukket inden for kort tid, koster det lidt at vente.

Hvor længe der skal ventes, er en vurdering. Der findes intet fast tidspunkt, hvor en organisation er færdig med at rette. Et praktisk pejlemærke er, om de fund, der ligger tættest på øvelsens mål, enten er lukket eller har en aftalt løsning, som systemejeren står inde for. Resten kan i stedet håndteres med de aftaler, der beskrives nedenfor.

Når øvelsen godt kan gå i gang

Der er også gode grunde til ikke at vente. Hvis fundene ligger i systemer langt fra øvelsens mål, påvirker de næppe forløbet. Hvis øvelsens kernespørgsmål er opdagelse og reaktion, er det ikke afgørende, om holdet kom ind ad en kendt eller ukendt vej. Det, der skal måles, er, hvad forsvaret gjorde bagefter.

Nogle fund vil heller aldrig blive rettet helt. Et ældre system, der ikke kan opdateres, eller en forretningsproces, der kræver brede rettigheder, kan være accepteret risiko. I de tilfælde er det relevant at vide, om forsvaret ser det, hvis risikoen bliver udnyttet. Så kan det kendte fund ligefrem være en del af formålet. → Scenarievalg

Tre måder at håndtere kendte fund på

Hvis øvelsen går i gang, mens fund står åbne, skal white team vælge, hvordan de behandles. Tre muligheder er almindelige:

Holdet informeres og undgår dem · fundene noteres som kendte, og holdet skal finde andre veje. Det giver mere ny viden, men gør øvelsen mindre realistisk.
Fundene bruges bevidst · det aftales, at holdet gerne må bruge dem, og målingen fokuserer på, om forsvaret opdager det, der sker bagefter.
Indgangen springes over · øvelsen starter fra et aftalt udgangspunkt inde i miljøet, så spørgsmålet om den første vej ind ikke dominerer.

Den tredje mulighed er en form for assumed breach og kan være et godt valg, når de kendte fund især handler om den ydre grænse. Uanset valget skal det stå i rules of engagement og i rapporten, så ingen senere tror, at holdet fandt en ny vej. → Assumed breach som scenarie

Et tænkt eksempel

Et forsikringsselskab har planlagt en øvelse med kundedatabasen som mål. Den seneste pentest af den eksterne grænse viste et alvorligt fund i fjernadgangen, og rettelsen kræver en udskiftning, der først er færdig om nogle måneder. Øvelsens primære spørgsmål er, om overvågningsleverandøren opdager en modstander, der bevæger sig mod kundedata.

White team vælger at lade øvelsen starte fra et aftalt udgangspunkt på en almindelig arbejdsstation. Den kendte svaghed i fjernadgangen holdes ude og nævnes i rapporten som et forhold, der allerede er under rettelse. Øvelsen kan dermed gå i gang til tiden og bruge sin tid på det, der var formålet.

Hvem træffer beslutningen?

Rækkefølgen er en beslutning om risiko og om brug af budget. Den bør træffes af den, der ejer øvelsen, fx CISO’en, men med de systemejere, der har ansvaret for fundene, og med white team. Hvis ledelsen har bestilt øvelsen med en bestemt forventning, skal den også orienteres, så forventningen passer til det, øvelsen kan levere.

Det er også et godt tidspunkt at se på, om fundene fra penetrationstesten bliver fulgt op i det hele taget. Om pentest og opfølgning på fundene generelt kan I læse mere på penetrationtest.dk. For sikkerhedsfunktionen er pointen, at en red team-øvelse ikke kan erstatte den løbende opfølgning på kendte fund. → Red teaming i sikkerhedsprogrammet

Det skal I lade være med

At lade holdet opdage kendte fund på ny · aftal på forhånd, hvordan de behandles.
At bruge øvelsen som rykker for rettelser · den opgave hører hjemme i opfølgningen på pentesten.
At vente uden plan · en udsættelse uden dato for rettelserne er blot en udsættelse.
At skjule kendte fund for white team · de skal kende dem for at kunne styre øvelsen.
At præsentere et kendt fund som et nyt resultat · det skader tilliden til både øvelse og sikkerhedsfunktion.

Hvad kan og ikke kan konkluderes

En øvelse, der gennemføres med åbne fund, kan stadig vise, hvordan forsvaret opdager og reagerer, hvis fundene håndteres bevidst og fremgår af rapporten. Den kan ikke vise, hvor robust organisationen er over for en modstander, der ikke har en kendt genvej. En øvelse efter rettelserne giver et andet billede, men heller ikke en garanti for, at der ikke findes andre veje.

Tjekliste før I beslutter rækkefølgen

☐ Er det klart, om øvelsen primært skal måle opdagelse eller robusthed?
☐ Ligger de åbne fund på de oplagte veje mod øvelsens mål?
☐ Har fundene ejere og datoer for rettelse?
☐ Er det besluttet, om holdet skal undgå, bruge eller springe forbi de kendte fund?
☐ Står valget i rules of engagement? → Rules of engagement i red teaming
☐ Ved ledelsen, hvad valget betyder for resultatet?

Senest gennemgået: oktober 2026.