Angrebsvejen som rapportens rygrad

En red team-rapport kan have en god fortælling og en lang liste over fund og alligevel være svær at handle på, fordi de to dele ikke hænger sammen. Læseren forstår forløbet, men kan ikke se, hvilket fund der hører til hvilket skridt, eller hvilken rettelse der ville have stoppet holdet tidligst. Angrebsvejen er det, der binder dem sammen. Den hviler på en enkel struktur: hvert trin på vejen beskrives som en enhed med det, holdet opnåede, den kontrol, der blev passeret, forsvarets mulighed for at se det, og de fund, der knytter sig til trinnet.

Når rapporten er bygget sådan, kan sikkerhedsfunktionen gå fra fortælling til konkrete beslutninger uden at skulle oversætte den selv.

Fra fortælling til trin

Fortællingen beskriver forløbet i sammenhæng. Angrebsvejen deler det op i trin, der hver har et delmål: at få en første adgang, at få flere rettigheder, at nå et bestemt system, at nå flaget. Lockheed Martin beskriver sin Cyber Kill Chain som trin, en modstander skal gennemføre for at nå sit mål, og fremhæver, at modellen giver bedre synlighed i et angreb. MITRE ATT&CK beskriver taktikker som modstanderens taktiske mål, altså hvorfor en handling udføres.

Begge modeller kan bruges som fælles sprog for trinnene, så rapporter fra forskellige øvelser kan sammenlignes. Valget af model er mindre vigtigt end, at den samme bruges konsekvent. Aftal modellen allerede i kontrakten, så holdet ikke skal omskrive sin rapport, når den er leveret, og så tidligere og kommende øvelser kan lægges ved siden af hinanden. → Angrebsforløb og kill chain

Hvad hvert trin skal rumme

Kræv af holdet, at hvert trin på angrebsvejen beskrives med de samme elementer:

Delmål · hvad holdet ville opnå med trinnet, i forretningssprog så vidt muligt.
Udgangspunkt · hvilken adgang holdet havde, før trinnet begyndte.
Kontrol, der blev passeret · hvilken beskyttelse der ikke stoppede holdet, eller som holdet kom uden om.
Forsvarets mulighed · hvor og hvornår forsvaret kunne have set trinnet, og om det gjorde.
Tilknyttede fund · henvisninger til de fund i rapporten, der gjorde trinnet muligt.
Hjælp fra white team · om trinnet krævede en leg-up eller en anden tilladelse.

Beskrivelsen skal holdes på et niveau, hvor den forklarer forløbet uden at blive en opskrift. Detaljerne om, hvordan trinnet konkret blev gennemført, hører til holdets logbog og den fulde tidslinje. → Holdets logbog

Brudpunkterne er de vigtigste fund

Når angrebsvejen er delt op i trin, bliver det muligt at pege på brudpunkterne: de steder, hvor en enkelt kontrol eller en enkelt opdagelse ville have stoppet resten af forløbet. Et brudpunkt tidligt på vejen er mere værd end et sent, fordi det lukker flere scenarier på én gang.

Brudpunkterne er ikke altid de fund, der har den højeste tekniske alvor. En middelsvær svaghed, som alle senere trin bygger på, kan være vigtigere at rette end en alvorlig svaghed i et system, holdet kun passerede forbi. Bed holdet om at markere brudpunkterne eksplicit, så prioriteringen ikke alene bygger på en score pr. fund. → Handlingsplan efter red teaming

Både forebyggelse og opdagelse

Ved hvert trin er der to spørgsmål: kunne trinnet have været forhindret, og kunne det have været set? Svarene fører til forskellige typer rettelser. Det første handler om beskyttelse, fx færre rettigheder eller en manglende kontrol. Det andet handler om overvågning og reaktion.

En angrebsvej, hvor forsvaret havde flere muligheder for at se holdet, men ikke brugte dem, fortæller noget andet end en vej, hvor der slet ikke var spor. Begge dele skal fremgå, og forsvarets egen rapport er nødvendig for at få det rigtige billede. → Fund om opdagelse frem for forebyggelse

De veje, der ikke førte frem

De tekniske reguleringsstandarder for TLPT kræver, at det røde teams rapport beskriver angrebsveje, der er fulgt med gode og dårlige resultater. Det er et godt krav også i frivillige øvelser. En vej, der blev stoppet, viser en kontrol, der virkede, og den viser, hvor holdet måtte bruge tid og kræfter.

Mislykkede veje giver også ledelsen et mere retvisende billede. En rapport, der kun viser den vej, der lykkedes, kan give indtryk af, at holdet gik lige igennem. Med de stoppede veje på samme kort ser læseren, at forsvaret faktisk gjorde en forskel undervejs. → Når holdet ikke kommer ind

Når flere scenarier deler trin

En øvelse med flere scenarier giver flere angrebsveje, og de kan alligevel dele trin. To scenarier med forskellige mål kan fx begge bygge på den samme første adgang eller på de samme udvidede rettigheder. Når vejene lægges ved siden af hinanden, bliver de fælles trin synlige, og de er gode kandidater til de første rettelser, fordi én ændring svækker flere scenarier.

Bed derfor holdet om at bruge de samme betegnelser for trin og fund på tværs af scenarierne, så sammenfaldene kan ses uden en ny analyse. Hvis et fund gjorde flere trin mulige, skal det fremgå ved hvert af dem og ikke kun ved det første. Det giver ejerne af rettelserne et samlet billede af, hvor meget en enkelt ændring er værd, og det gør det lettere at forklare prioriteringen, når andre opgaver konkurrerer om de samme ressourcer.

Vejen som kort til ledelsen

En forenklet udgave af angrebsvejen er et af de mest brugbare redskaber, når resultatet skal forklares for direktion og bestyrelse. Et kort med få trin, de vigtigste brudpunkter og de steder, hvor forsvaret så eller ikke så holdet, kan forstås uden teknisk baggrund. Kortet skal holdes fri af detaljer om systemer og fremgangsmåder, så det kan deles uden at blive en risiko. → Afrapportering til direktion og bestyrelse

Det skal I lade være med

At acceptere fund uden kobling til vejen · hvert fund skal kunne placeres på et trin.
At prioritere alene efter teknisk score · brudpunkter tidligt på vejen kan veje tungere.
At udelade de mislykkede veje · de viser kontroller, der virkede.
At beskrive trinnene som opskrift · detaljerne hører til logbogen og en lille kreds.
At skifte model fra øvelse til øvelse · så kan vejene ikke sammenlignes.
At glemme forsvarets muligheder · hvert trin skal vise, hvor det kunne have været set.

Hvad kan og ikke kan konkluderes

Angrebsvejen viser, hvordan holdet faktisk kom frem i ét forløb, hvilke kontroller der blev passeret, og hvor forsvaret havde muligheder. Den viser ikke alle mulige veje til samme mål, og en lukket vej betyder ikke, at målet nu er sikret. En anden modstander kan vælge en anden rute. Brug derfor vejen til at finde brudpunkter og mønstre, ikke som et bevis for, at alle huller er fundet. → Rodårsager efter red teaming

Kilder

Lockheed Martin, Cyber Kill Chain: trin, en modstander skal gennemføre for at nå sit mål, og bedre synlighed i et angreb.
MITRE ATT&CK, Enterprise tactics: taktikker som modstanderens taktiske mål, hvorfor en handling udføres.
Kommissionens delegerede forordning (EU) 2025/1190: bilag V, litra a, nr. iv), om angrebsveje fulgt med gode og dårlige resultater i det røde teams testrapport.

Senest gennemgået: oktober 2026.