Blinde vinkler: hvad øvelsen afslører om logning og synlighed

Et skridt, der ikke blev opdaget, kan have to forklaringer: forsvaret kunne se det, men gjorde det ikke, eller forsvaret havde slet ingen mulighed for at se det. Den anden forklaring er en blind vinkel. Den er sværere at opdage i hverdagen end en overset alarm, fordi der ikke er noget at kigge på. En red team-øvelse er et af de få redskaber, der kan påvise den, fordi holdets logbog fortæller præcist, hvad der skete, og hvornår. Når logbogen holdes op mod det, organisationen faktisk registrerede, bliver hullerne synlige.

Synlighed kommer før opdagelse

NCSC i Storbritannien indleder sin vejledning om logning med at kalde den fundamentet for sikkerhedsovervågning og situationsforståelse. Uden logning er der intet at analysere, og ingen regel eller analytiker kan opdage noget, der aldrig blev registreret.

Derfor er det vigtigt at holde to typer fund adskilt. Et synlighedsfund betyder, at data manglede. Et detektionsfund betyder, at data var der, men ikke blev omsat til en alarm eller en vurdering. De to kræver forskellige rettelser og forskellige ejere, og hvis de blandes, bliver handlingsplanen uklar. → Detektionsdækning

Hvor blinde vinkler kan opstå

Blinde vinkler skyldes ikke nødvendigvis, at nogen har besluttet ikke at logge. De kan opstå i overgangene. Nogle mønstre går igen:

Data dannes ikke · et system registrerer ikke den type handling, holdet udførte, eller kun i en standardopsætning med få detaljer.
Data indsamles ikke · registreringen findes lokalt, men når aldrig frem til overvågningen.
Data gemmes ikke længe nok · spor fra øvelsens første uger er slettet, før nogen leder efter dem.
Data ligger hos en anden · logs fra en driftsleverandør eller en cloudtjeneste er ikke tilgængelige for forsvaret, eller kun på anmodning.
Systemer uden for overblikket · udstyr, som ingen har registreret, og som derfor heller ikke er med i overvågningen.
Fysiske og menneskelige spor · adgangskontrol, besøgsregistrering og henvendelser til servicedesken, der ikke kobles til sikkerhedsovervågningen.

NCSC peger selv på, at agenter på maskiner efterlader huller, fx for uofficiel IT, netværksudstyr og styresystemer, der ikke understøttes. NIST’s Cybersecurity Framework 2.0 nævner under kontinuerlig overvågning både netværk, det fysiske miljø, personalets aktivitet og eksterne tjenesteudbyderes aktiviteter. Bredden er en påmindelse om, at synlighed ikke kun er et spørgsmål om servere.

Sådan påviser øvelsen hullerne

Selve påvisningen kan ske efter afsløringen. Holdet afleverer sin logbog med tidspunkter og berørte systemer, og forsvaret undersøger, om der findes spor af hvert skridt i de data, der blev indsamlet. Resultatet for hvert skridt kan være et af tre: opdaget undervejs, synligt i data men ikke opdaget, eller ikke synligt.

Afsæt tid til gennemgangen i planen. Den kræver, at personer fra forsvaret, der kender systemerne, kan søge i data sammen med holdet eller white team, og den tager længere tid, jo længere den aktive periode var. Hvis gennemgangen skæres væk for at nå en deadline for rapporten, forsvinder netop den del af resultatet, der handler om synlighed. Gennemgangen er samtidig en god lejlighed til at lade forsvaret stille spørgsmål til holdet.

Den tredje kategori er de blinde vinkler. Den anden er stof til arbejdet med detektion og prioritering af alarmer. → Alarmer, der blev overset

Gennemgangen kræver, at data fra hele perioden stadig findes, når øvelsen er slut. Aftal derfor med SOC-leverandøren og driftsleverandører, at relevante data bevares, indtil gennemgangen er færdig. Ellers kan en blind vinkel ikke skelnes fra en sletning. → SOC-leverandøren og øvelsen

Et tænkt eksempel

Hos et forsikringsselskab bevægede holdet sig fra en medarbejders konto til et fællesdrev og derfra til en integrationsserver, som en driftsleverandør drev. Forsvaret opdagede intet. Ved gennemgangen viste det sig, at login på fællesdrevet var registreret og synligt i overvågningen, men uden en regel, der reagerede på det. Integrationsserveren var derimod ikke med i overvågningen overhovedet, fordi kontrakten med leverandøren kun omfattede drift og ikke levering af logs.

Det første er et detektionsfund, som SOC’en kan arbejde med. Det andet er en blind vinkel, som kun kan lukkes ved en ændring i aftalen med leverandøren. Ejerne er forskellige, og det samme er tidshorisonten. Eksemplet viser også, hvorfor holdets logbog skal angive system og tidspunkt så præcist, at forsvaret kan lede efter sporene bagefter. En beskrivelse som “bevægede sig videre i netværket” kan ikke bruges til at påvise noget.

Fund, der skal behandles fortroligt

En liste over blinde vinkler er en beskrivelse af, hvor organisationen ikke kan se en angriber. Den er blandt de mest følsomme dele af resultatet. Begræns derfor adgangen til den detaljerede liste, og beskriv fundene på et overordnet niveau i materiale, der deles bredt. Ledelsen har brug for at vide, at der er en blind vinkel omkring et forretningskritisk system, men ikke hvilke handlinger der ikke registreres. → Opbevaring af materiale

Fra fund til prioritering

Ikke alle blinde vinkler er lige vigtige. Prioriteringen bør tage udgangspunkt i, hvor tæt hullet ligger på det, organisationen helst vil beskytte, og i hvor mange angrebsveje det berører. Et hul på vejen til økonomisystemet vejer tungere end et hul i et testmiljø uden forbindelse til drift.

Overvej også prisen ved at lukke hullet. Nogle blinde vinkler lukkes ved at ændre en opsætning eller en kontrakt med en leverandør. Andre kræver nye systemer, mere lagerplads eller flere hænder til at analysere data. Det er ledelsens beslutning, hvilke huller der accepteres for en tid, og den beslutning bør stå i risikoregistret. → Prioritering af detektionsfund

Hold synligheden i live

En blind vinkel, der lukkes efter øvelsen, kan åbne sig igen ved næste systemændring. NCSC anbefaler at validere jævnligt, at logningen virker, fx ved at sætte en testhændelse i gang og kontrollere, at den bliver registreret. Øvelsen giver et øjebliksbillede; den løbende kontrol holder billedet sandt. → Fra fund til bedre overvågning

Det skal I lade være med

At blande synlighed og opdagelse · manglende data og manglende reaktion har forskellige ejere.
At lade data forsvinde før gennemgangen · så kan en blind vinkel ikke påvises.
At glemme leverandørerne · data hos andre er kun synlighed, hvis forsvaret kan få fat i dem.
At dele den detaljerede liste bredt · den er et kort over, hvor ingen ser efter.
At lukke alle huller på én gang · prioritér efter nærhed til det vigtigste.
At tro, at et lukket hul forbliver lukket · ændringer i systemerne åbner nye.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, at bestemte skridt i et bestemt forløb ikke var synlige for forsvaret. Den kan ikke vise alle blinde vinkler i organisationen, fordi holdet kun bevægede sig ad nogle veje. Et skridt, der var synligt, er heller ikke et bevis for, at lignende skridt andre steder er det.

Kilder

NCSC, Introduction to logging for security purposes: logning som fundament for overvågning, huller i dækningen og løbende validering af logningen.
Cybersecurity Framework 2.0, CSWP 29: kategorien kontinuerlig overvågning (DE.CM) med netværk, fysisk miljø, personale og eksterne tjenesteudbydere.

Senest gennemgået: oktober 2026.