Assumed breach som scenarie: når indgangen springes over

En red team-øvelse, der skal starte udefra, kan bruge en stor del af sin tid på at komme ind. Hvis det ikke lykkes, ved I noget om det yderste forsvar, men intet om resten. Assumed breach løser det ved at lade øvelsen begynde med en adgang, som en angriber realistisk kunne have opnået, så tiden bruges på det, der sker bagefter. Valget hviler på en antagelse, som et moderne sikkerhedsprogram bør tage alvorligt: at nogen før eller siden kommer forbi det første lag. For CISO’en er spørgsmålet ikke, om formen er legitim, men hvad den måler, og hvad den bevidst lader ude.

Begrebet og forskellen fra en almindelig intern test forklares for købere generelt på penetrationtest.dk. Her handler det om assumed breach som et scenarie i en red team-øvelse, hvor opdagelse og reaktion er det, der skal måles.

Hvad scenariet flytter fokus til

Modeller som Lockheed Martins Cyber Kill Chain beskriver et angreb som en række trin, en modstander skal gennemføre for at nå sit mål. TIBER-DK taler om faserne ind, igennem og ud. Assumed breach springer den første del over og placerer øvelsen i midten.

Det flytter målingen til spørgsmål som disse:

Bevægelse i miljøet · kan holdet nå de systemer, der understøtter kronjuvelerne, fra et almindeligt udgangspunkt?
Udvidelse af adgang · bliver det opdaget, når en almindelig adgang bliver til mere?
Forsvarets synlighed indefra · ser overvågningen noget, når angrebet allerede er bag de ydre kontroller?
Reaktion på et forløb i gang · hvem eskalerer, og hvor hurtigt, når der er tegn på en aktiv modstander?

Det er de spørgsmål, en ledelse kan stille efter at have læst om en hændelse hos en anden organisation: hvad sker der, når de først er inde? → Opdagelse, eskalering og reaktion

Hvad scenariet lader ude

Det, der springes over, bliver ikke testet. Det lyder banalt, men det er let at glemme, når resultatet præsenteres for ledelsen.

Det ydre forsvar · mailfiltrering, beskyttelse af fjernadgang og kontroller ved indgangen indgår ikke.
Medarbejdernes reaktion på det første forsøg · hvis indgangen skulle være sket gennem en medarbejder, bliver den del ikke målt.
Opdagelse i de tidlige faser · forsvaret får ikke mulighed for at se forberedelsen og det første skridt.
Den samlede tid · tiden fra første kontakt til målet kan ikke måles, når den første del ikke findes.

Skriv derfor i rapporten og i præsentationen, hvilke dele af forløbet der var med. Et godt resultat i et assumed breach-scenarie er ikke et bevis for, at det ydre forsvar virker. Et dårligt resultat er ikke et bevis for, at det ikke gør. → Hvad red teaming tester

Udgangspunktet er et leg-up

En assumed breach er i praksis et planlagt leg-up fra start. White team giver holdet en adgang, som holdet ellers selv skulle have skaffet. TIBER-DK beskriver leg-ups som en hjælp, der sikrer størst mulig læring fra en test med begrænset tid, og forordningen om TLPT kalder det en forstærkning, som kontrolteamet giver, når testerne ikke kan komme videre på egen hånd.

Det betyder, at udgangspunktet skal behandles med samme omhu som andre leg-ups. Det skal planlægges, godkendes, dokumenteres og stå i rapporten, så læseren ved, at forløbet startede med hjælp. → Leg-up

Hvilken adgang holdet skal starte med, er et valg med stor betydning for resultatet. Det behandles i en særskilt artikel. → Udgangspunktet i assumed breach

Hvornår scenariet passer

Assumed breach er ikke et billigere eller lettere valg end en øvelse udefra. Det er et andet spørgsmål. Scenariet passer, når:

I ved, at indgangen kan findes · tidligere test eller hændelser har vist, at det ydre lag kan passeres, og det er unødvendigt at bevise det igen.
Øvelsen har begrænset tid · tiden skal bruges på det, I mindst ved om.
Spørgsmålet handler om skadens omfang · ledelsen vil vide, hvor langt en modstander kan nå.
Trusselsbilledet peger på en bestemt indgang · fx en leverandøradgang eller en kompromitteret konto, som det ville være urealistisk eller uetisk at skaffe i øvelsen.

Det passer mindre godt, når netop det ydre forsvar er det, ledelsen er i tvivl om, eller når det er medarbejdernes reaktion på det første forsøg, der skal måles. → Scenarievalg

Assumed breach i en større øvelse

Scenariet kan kombineres med andre. En øvelse kan have ét scenarie, der starter udefra, og et andet, der starter med en tildelt adgang. Det giver både et billede af indgangen og af resten, uden at den ene del afhænger af den anden.

Kombinationen kræver, at holdene og white team holder styr på, hvilket spor forsvaret ser. Hvis forsvaret opdager det ene forløb, kan det påvirke det andet. Aftal på forhånd, hvordan det håndteres, og om forsvaret skal vide, at der er flere spor. → Scenariebaseret test

Rammerne om den tildelte adgang

Den adgang, holdet får, er en rigtig adgang til jeres miljø, og den skal behandles sådan. Rules of engagement skal beskrive, hvem der opretter den, hvilke rettigheder den har, hvor længe den gælder, og hvem der lukker den. Aftal også, hvad der sker med de spor, adgangen efterlader, fx logfiler og data, som holdet kommer i kontakt med undervejs. Når øvelsen er slut, skal adgangen fjernes og fjernelsen dokumenteres, så den ikke bliver liggende som en glemt dør, som en rigtig angriber senere kan finde. → Oprydning efter øvelsen

Det skal I lade være med

At præsentere resultatet som en test af hele forsvaret · indgangen var ikke med.
At give holdet mere adgang end scenariet beskriver · så måles noget andet end det, I bestilte.
At skjule udgangspunktet i rapporten · læseren skal vide, at forløbet startede med hjælp.
At vælge formen for at spare tid uden at ændre spørgsmålet · formen skal passe til det, I vil vide.
At lade IT-driften oprette adgangen uden for white team · det kan afsløre øvelsen eller give forkerte rettigheder.

Hvad kan og ikke kan konkluderes

Et assumed breach-scenarie kan vise, hvor langt en modstander kan nå fra et bestemt udgangspunkt, og om forsvaret opdager og reagerer undervejs. Det kan ikke sige noget om, hvor let det er at skaffe udgangspunktet, eller om forsvaret ville have stoppet angrebet ved indgangen. Den del kræver et andet scenarie eller en anden type test.

Tjekliste før scenariet godkendes

☐ Er det skrevet, hvilket spørgsmål scenariet skal besvare?
☐ Er det klart, hvilke dele af forløbet der ikke indgår?
☐ Er udgangspunktet begrundet i trusselsbilledet?
☐ Er adgangen planlagt og dokumenteret som et leg-up?
☐ Er det aftalt, hvordan resultatet præsenteres for ledelsen?

Kilder

Lockheed Martin, Cyber Kill Chain: modellen beskriver de trin, en modstander skal gennemføre for at nå sit mål.
Danmarks Nationalbank, TIBER-DK Implementation Document: faserne ind, igennem og ud, og leg-ups som hjælp til størst mulig læring i en tidsbegrænset test.
Kommissionens delegerede forordning (EU) 2025/1190 om TLPT: artikel 1, nr. 12 (forstærkning).

Senest gennemgået: oktober 2026.