Angrebsforløb og kill chain: modeller, der giver øvelsen et fælles sprog

Når red team, overvågningsleverandøren og direktionen skal tale om den samme øvelse, kan de tale forbi hinanden: holdet om tekniske skridt, forsvaret om alarmer og ledelsen om forretningsrisiko. Modeller for angrebsforløb, som Lockheed Martins Cyber Kill Chain, deler et angreb op i faser, så alle kan pege på det samme sted i forløbet. Svaret på, hvad modellerne er gode til, hviler på netop det: de er et fælles sprog til planlægning, måling og rapport, ikke en opskrift.

For en CISO er modellen et styringsværktøj. Den gør det muligt at spørge, i hvilken fase forsvaret greb ind, i hvilken fase det burde have gjort det, og i hvilke faser organisationen slet ikke har synlighed. Det er spørgsmål, som ledelsen kan forstå uden at kende de tekniske detaljer.

Hvad modellerne beskriver

Lockheed Martin beskriver Cyber Kill Chain som en ramme, der kortlægger de skridt, en modstander skal gennemføre for at nå sit mål, og som en del af en efterretningsdrevet tilgang til forsvar. Modellen har syv faser. Grundtanken er, at et angreb er en kæde, og at forsvaret kun behøver at bryde et af leddene for at stoppe det.

MITRE ATT&CK er en anden type model. Den beskriver sig som en vidensbase om modstanderes taktikker og teknikker baseret på observationer fra virkeligheden. Hvor kill chain giver et overblik over forløbets hovedfaser, giver ATT&CK et langt mere detaljeret katalog. De to kan bruges sammen: den ene til fortællingen, den anden til målingen. → MITRE ATT&CK i red teaming

TIBER-DK bruger en enklere opdeling, når rammen taler om leg-ups: et fuldt angrebsforløb, der dækker vejen ind, bevægelsen gennem organisationen og vejen ud. Den tredeling kan være den mest brugbare i samtaler med ledelsen, fordi den kan forklares på et minut og stadig skelner mellem de dele af forsvaret, der har forskellige ejere.

Vælg én model og hold fast

Det vigtigste valg er ikke, hvilken model der er bedst, men at alle parter bruger den samme. Hvis red team rapporterer i én model, overvågningsleverandøren i en anden og ledelsen får en tredje forklaring, går sammenhængen tabt. Aftal derfor i planlægningen, hvilken model øvelsen bruger, og skriv det ind i rules of engagement eller testplanen. Hvis organisationen allerede bruger en model i sin overvågning eller sin risikostyring, er det oplagt at vælge den, så resultatet kan føres direkte videre.

Modellen i planlægningen

I planlægningen hjælper modellen white team med at se, om scenariet dækker hele forløbet. Hvis alle øvelsens aktiviteter ligger i den første del, bliver der ikke afprøvet meget af det interne forsvar. Hvis øvelsen springer indgangen over, skal det være et bevidst valg, som fremgår af planen.

Modellen gør det også lettere at planlægge, hvor white team kan blive nødt til at hjælpe. Hvis holdet sidder fast ved indgangen, kan et aftalt skub videre sikre, at resten af kæden også bliver afprøvet. TIBER-DK lægger op til, at sådanne leg-ups drøftes på forhånd og forberedes i god tid, netop så forløbet kan dække hele kæden. → Leg-up

Modellen i målingen

Under og efter øvelsen bliver modellen en måleskala. For hver fase kan blue team og white team spørge: blev aktiviteten set, blev den forstået, og blev den eskaleret? Resultatet bliver et billede af, hvor i kæden forsvaret er stærkt, og hvor det er blindt. → Detektionsdækning

Det kan være her, de mest nyttige mønstre viser sig. Et forsvar kan være stærkt ved indgangen og næsten blindt, når en angriber bevæger sig rundt med gyldige adgange. Et andet kan have det omvendt. Mønstret er forskelligt fra organisation til organisation, og det er derfor, det skal måles frem for antages. Modellen gør det muligt at se mønstret og prioritere efter det, i stedet for at behandle hver alarm for sig.

Modellen i rapporten

Rapporten fra en øvelse er en fortælling om et forløb. Når fortællingen er ordnet efter modellens faser, kan læseren følge med uden at miste overblikket. Hver fase kan have en kort beskrivelse af, hvad holdet gjorde, hvad forsvaret så, og hvad det betyder. Det er en god struktur for både teknikere og ledelse. → Angrebsvejen som rapportens rygrad

Modellen gør også tidslinjen lettere at læse. Når holdets handlinger og forsvarets observationer placeres i samme faser, bliver det synligt, hvor langt der var mellem en handling og den første reaktion. → Tidslinjen: red og blue lagt sammen

Hvor modellerne svigter

Modeller forenkler. Et virkeligt angreb følger ikke nødvendigvis faserne i den rækkefølge, de står i. En modstander kan gå frem og tilbage, arbejde parallelt eller springe faser over. Hvis rapporten presser forløbet ind i en model, kan vigtige detaljer forsvinde.

En faseinddeling, der tager udgangspunkt i et angreb udefra gennem et yderste forsvar, passer heller ikke altid til alle scenarier. Insidere, misbrug af leverandøradgange og angreb på cloudtjenester passer ikke altid godt ind. Det betyder ikke, at modellen er ubrugelig, men at den skal bruges som et hjælpemiddel og ikke som en sandhed.

Endelig kan en model give et falsk indtryk af fuldstændighed. Et skema, hvor alle faser er udfyldt, ser grundigt ud, men det siger kun noget om det forløb, der blev afprøvet. Andre veje gennem de samme faser blev ikke testet. → Red team-rapporten

Det skal I lade være med

At bruge modellen som tjekliste for holdet · Den beskriver forløb, den foreskriver ikke handlinger.
At presse forløbet ind i faserne · Hvis virkeligheden ikke passer, er det modellen, der skal vige.
At vælge model efter leverandørens vane · Vælg den, som både forsvar og ledelse kan bruge.
At udfylde skemaer uden fortælling · En tabel over faser erstatter ikke forklaringen af, hvad der skete.
At læse en udfyldt model som fuld dækning · Den viser ét forløb gennem faserne, ikke alle tænkelige.

Hvad kan og ikke kan konkluderes

En model for angrebsforløb kan vise, i hvilke faser af det afprøvede forløb forsvaret opdagede, eskalerede eller overså. Den kan ikke vise, hvordan andre forløb gennem de samme faser ville være gået, og den kan ikke i sig selv måle forsvarets kvalitet. Modellen er et sprog, ikke en vurdering.

Tjekliste: modellen i øvelsen

☐ Er det aftalt, hvilken model øvelsen bruger til planlægning og rapport?
☐ Dækker scenariet hele forløbet, eller er en del bevidst sprunget over?
☐ Er det planlagt, hvor white team kan blive nødt til at give et skub videre?
☐ Skal blue teams observationer placeres i samme faser som holdets handlinger?
☐ Er det klart for ledelsen, at modellen er et hjælpemiddel og ikke en karakter?

Kilder

Lockheed Martin: Cyber Kill Chain: rammen, der kortlægger de skridt, en modstander skal gennemføre, som en del af en efterretningsdrevet tilgang til forsvar.
MITRE ATT&CK: vidensbasen om modstanderes taktikker og teknikker baseret på observationer fra virkeligheden.
Danmarks Nationalbank: TIBER-DK Implementation Document: leg-ups, der skal sikre et fuldt forløb ind, igennem og ud.

Senest gennemgået: oktober 2026.