Når angrebet ligner almindelig brug: misbrug af gyldige konti

Et angreb, der bruger en rigtig medarbejders konto, ser i systemerne ud som arbejde. Login lykkes, adgangene er tildelt, og handlingerne er nogle, kontoen har lov til. Det er netop derfor, misbrug af gyldige konti er svært at opdage, og derfor er det et oplagt emne for en red team-øvelse. Spørgsmålet, øvelsen kan belyse, hviler ikke på, om forsvaret ser angrebet som teknik, men om organisationen kender sin egen normale brug godt nok til at se, når den afviger. For CISO’en handler det om valg af scenarie, rammer for holdet og de beslutninger om identitet og overvågning, der følger efter.

Hvorfor det er svært at se

MITRE ATT&CK beskriver misbrug af gyldige konti som en selvstændig teknik, der optræder under flere taktikker, bl.a. indledende adgang og vedvarende adgang. Beskrivelsen peger på, at en modstander, der bruger legitim adgang, ikke nødvendigvis har brug for skadelig software, og at det gør tilstedeværelsen sværere at opdage. Ved konti, som ingen længere bruger, er der heller ingen bruger, der kan bemærke, at noget er usædvanligt.

Det betyder, at de signaler, overvågningen traditionelt reagerer på, ikke nødvendigvis opstår. Det, der kan skille misbrug fra brug, er sammenhængen: tidspunktet, stedet, rækkefølgen af handlinger, kombinationen af adgange og forskellen fra det, kontoen plejer at gøre. → Blinde vinkler

Hvad en øvelse kan afprøve

En red team-øvelse kan inddrage scenariet på forskellige måder, og valget afgør, hvad der måles.

Holdet skaffer sig selv en konto · øvelsen afprøver både, om adgangen kan opnås, og om brugen bliver set. Det kræver, at social engineering eller andre veje er en del af rammerne. → Social engineering i en red team-øvelse
White team udleverer en konto · øvelsen springer indgangen over og måler alene, om forsvaret ser, hvad kontoen bruges til. → Udgangspunktet i assumed breach
En bestemt type konto er målet · fx en konto med særlige rettigheder, en servicekonto eller en leverandørs adgang.

Det andet valg kan være det mest effektive til netop dette emne. Det gør det muligt at bruge øvelsens tid på det, der er svært at se, frem for på indgangen. Til gengæld siger øvelsen så intet om, hvor let kontoen ville have været at skaffe, og det skal stå tydeligt i rapporten. Hvis ledelsen også vil have svar på det spørgsmål, kan det afprøves i en særskilt del af øvelsen eller i en senere øvelse med et andet udgangspunkt.

Rammer for brugen af konti

Når holdet bruger konti, der tilhører rigtige mennesker eller rigtige funktioner, opstår der spørgsmål, som skal afklares, før øvelsen begynder.

Hvis konto · må holdet bruge konti, der tilhører navngivne medarbejdere, eller kun konti, der er oprettet til formålet?
Hvad holdet ser · en medarbejders konto giver adgang til mails, dokumenter og personoplysninger. Hvad må holdet åbne, og hvad skal det lade være? → Persondata i øvelsen
Hvem der kender til det · skal ejeren af kontoen vide besked, og hvordan undgår man, at vedkommende bliver mistænkt, hvis forsvaret opdager aktiviteten?
Tilbagelevering · hvordan sikres det, at adgangen lukkes og kontoen er i orden efter øvelsen? → Oprydning efter øvelsen

Spørgsmålene om medarbejderes konti og data er ikke kun sikkerhedsspørgsmål. Hvilke oplysninger holdet må tilgå, og om de berørte medarbejdere skal orienteres, er konkrete vurderinger, som den juridiske funktion og HR bør tage stilling til, inden rammerne godkendes.

Når forsvaret mistænker en kollega

En særlig risiko ved dette scenarie er, at forsvaret opdager usædvanlig brug af en kollegas konto og drager den forkerte konklusion. Det kan føre til en henvendelse til medarbejderen, til ledelsen eller i værste fald til, at kontoen bliver spærret midt i en arbejdsdag.

White team skal være klar til at gribe ind hurtigt, når en sag peger mod en navngiven person. Afklaringen skal ske, før nogen konfronteres, og medarbejderen skal bagefter have en forklaring, der fjerner enhver tvivl. → Når blue team opdager holdet

Det, der skal måles undervejs

I et scenarie, hvor angrebet ligner almindelig brug, er det ikke nok at spørge, om forsvaret opdagede holdet. Det er mere brugbart at se på, hvor i forløbet forsvaret var tæt på. Måske registrerede en kilde et login på et usædvanligt tidspunkt, uden at nogen reagerede. Måske blev en alarm vurderet som en medarbejder, der arbejdede sent. Begge er vigtige observationer, fordi de viser, at signalet var der, men at vurderingen manglede sammenhæng.

Bed derfor holdet om at notere i logbogen, hvornår brugen af kontoen afveg fra det normale, og på hvilken måde. Bed forsvaret om at beskrive, hvilke observationer der blev afvist som almindeligt arbejde, og hvorfor. Når de to beskrivelser lægges sammen, bliver det tydeligt, om problemet er manglende data, manglende kendskab til normal brug eller en vurdering, der ikke havde de rette oplysninger. → Opdagelse, eskalering og reaktion

Det, der kan læres

Fundene fra et sådant scenarie handler ikke nødvendigvis om én alarm. De kan pege på bredere forhold om identitet og overblik, som kan forbedres på begrebsniveau:

Færre rettigheder · konti med flere adgange, end funktionen kræver, gør skaden større.
Ejerskab af konti · servicekonti og leverandørkonti uden en tydelig ejer bliver ikke fulgt.
Inaktive konti · konti, ingen bruger, kan misbruges uden at nogen bemærker det.
Kendskab til normal brug · forsvaret kan kun se afvigelser, hvis det ved, hvad der er normalt.
Proces ved tvivl · en klar vej for at afklare usædvanlig brug uden at mistænkeliggøre medarbejdere.

Det fjerde punkt rejser igen spørgsmål ud over sikkerheden. Mere indgående overvågning af, hvordan medarbejdere bruger deres konti, berører både persondataret og arbejdsret. Hvor langt organisationen kan gå, og hvordan medarbejderne skal informeres, er en vurdering for jurist og HR, ikke for sikkerhedsfunktionen alene.

Det skal I lade være med

At bruge en navngiven medarbejders konto uden at afklare rammerne · det berører både data og tillid.
At lade holdet bruge øvelsens tid på indgangen, hvis brugen er det interessante · overvej en udleveret konto.
At lade forsvaret konfrontere en kollega, før white team har afklaret · det kan skade en uskyldig.
At svare med flere alarmer alene · fundene kan handle om rettigheder og ejerskab.
At udvide overvågningen af medarbejdere uden juridisk vurdering · det rækker ud over sikkerheden.
At glemme oprydningen · kontoen skal være i orden, før øvelsen er slut.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, om forsvaret opdagede, at bestemte konti blev brugt på en usædvanlig måde i et bestemt forløb, og hvilke forhold om rettigheder og ejerskab der gjorde misbruget muligt. Den kan ikke vise, om andre konti har været misbrugt tidligere; det kræver en særskilt undersøgelse af historiske data. Og den kan ikke vise, at forsvaret vil opdage misbrug, der ligner normal brug endnu mere end øvelsens.

Kilder

MITRE ATT&CK, Valid Accounts (T1078): misbrug af eksisterende konti som teknik under flere taktikker, herunder indledende og vedvarende adgang, og hvorfor det kan være svært at opdage.

Senest gennemgået: oktober 2026.