Når blue team opdager holdet

For en sikkerhedsfunktion kan det øjeblik, hvor blue team opdager holdet, være et af de bedste i hele øvelsen. Forsvaret virkede. Men for white team begynder en række beslutninger, der skal træffes hurtigt: skal reaktionen have lov at løbe, skal holdet skifte vej, skal en enkelt person indvies, eller er øvelsen slut? Hvordan en mistanke bekræftes som øvelse eller afvises, er beskrevet for sig. Her handler det om, hvad der sker bagefter. Svaret hviler på to ting: muligheder, der er aftalt i rules of engagement før start, og en vurdering af, hvor meget læring der endnu kan hentes. → Øvelse eller rigtigt angreb?

Først: notér opdagelsen

Før nogen beslutning træffes, skal opdagelsen dokumenteres. Hvornår blev aktiviteten set, af hvem, hvilket af holdets skridt drejede det sig om, og hvad havde forsvaret gjort indtil da? Det er et af de vigtigste måleresultater i hele øvelsen, og det er let at glemme, når situationen er travl.

TIBER-DK, Nationalbankens ramme for regulerede test, kræver, at opsummeringsrapporten efter testen blandt andet omfatter blue teams opdagelser. Rammen gælder kun de regulerede test, men det er et godt princip i alle øvelser: en opdagelse skal fremgå tydeligt af resultatet, ikke gemmes som en fodnote til holdets forløb. → Opdagelse, eskalering og reaktion

Hvor meget har forsvaret set?

En opdagelse er ikke nødvendigvis fuldstændig. Forsvaret har måske set én konto, én maskine eller ét forsøg, mens holdet har flere adgange og flere spor i miljøet. Det giver en mulighed. Hvis forsvaret ikke får at vide, hvor meget der mangler, kan white team se, om forsvaret selv finder resten. Undersøger det bredt, eller nøjes det med at lukke det, der blev set?

Det er en af de mest lærerige dele af en opdagelse, og det taler for ikke at afsløre øvelsen med det samme. Det kræver dog, at white team har styr på, hvad holdet har efterladt, og kan stoppe forløbet, hvis forsvarets undersøgelse begynder at påvirke driften. → Inddæmning under øvelsen

Mulighederne efter en opdagelse

Når opdagelsen er bekræftet og noteret, har white team blandt andet disse muligheder. De bør være beskrevet i rules of engagement, så valget ikke skal opfindes i situationen:

Lad reaktionen løbe · forsvaret fortsætter sin håndtering, og holdet trækker sig fra den del af miljøet, der er opdaget. Øvelsen måler, hvor grundigt forsvaret rydder op.
Holdet skifter vej · holdet forsøger at nå målet ad en anden vej, med det udgangspunkt, det stadig har. Det afprøver, om forsvaret har lært af opdagelsen.
Dækhistorie og fortsættelse · white team bruger en forberedt forklaring, så eskaleringen lander et kontrolleret sted, og øvelsen fortsætter skjult.
Kontrolleret afsløring · én navngiven person i forsvaret får besked og holder det for sig selv, så resten af forsvaret kan arbejde videre uvidende.
Nyt udgangspunkt · white team giver holdet et aftalt skub, så de næste dele af scenariet kan afprøves. → Leg-up
Åben fortsættelse · øvelsen afsløres for forsvaret og fortsætter som en åben øvelse eller som purple teaming.
Afslutning · øvelsen slutter, fordi det centrale spørgsmål er besvaret, eller fordi der ikke er tid eller grundlag for at fortsætte.

TIBER-DK beskriver, at kontrolteamet ved en opdagelse skal foreslå tiltag, der gør det muligt at fortsætte testen og samtidig bevare hemmeligholdelsen, og at begrænset purple teaming under den aktive test kun bruges som sidste udvej. Uden for TIBER har organisationen frie hænder, men tankegangen er nyttig: forsøg først at bevare den skjulte afprøvning.

Sådan vælger white team

Valget afhænger af nogle få spørgsmål, som lederen af white team bør kunne besvare hurtigt:

Hvor meget af målet er tilbage · er øvelsens hovedspørgsmål allerede besvaret, eller mangler det vigtigste?
Hvor meget tid er der · kan holdet nå et nyt forløb inden for den aftalte periode?
Hvor mange ved det · er opdagelsen spredt i forsvaret, eller ligger den hos få?
Hvad er risikoen · vil en fortsættelse kunne påvirke driften eller presse medarbejdere urimeligt?
Hvad lærer forsvaret mest af · at forfølge holdet videre, eller at gennemgå forløbet åbent nu?

Beslutningen og begrundelsen noteres. Ændringer i scenariet skal godkendes og dokumenteres som andre ændringer. → Når scenariet skal justeres

Når opdagelsen sker meget tidligt

Nogle gange bliver holdet opdaget allerede ved første forsøg på at komme ind. Det er et godt resultat for forsvaret, men det efterlader det meste af scenariet uafprøvet. Her er spørgsmålet, om organisationen vil vide mere om det, der ligger bag den første forsvarslinje. Hvis svaret er ja, kan et aftalt nyt udgangspunkt være den bedste vej, fordi det lader resten af scenariet blive afprøvet uden at gøre den tidlige opdagelse mindre værd.

Overvej også, om forsvaret reagerede på det rigtige. Opdagede det holdet, fordi detektionen virkede, eller fordi en medarbejder tilfældigvis lagde mærke til noget usædvanligt? Begge dele er gode nyheder, men de siger noget forskelligt om, hvor robust forsvaret er, og de bør beskrives hver for sig i rapporten. En tidlig opdagelse ved et tilfælde er ikke et argument for at nedprioritere overvågningen.

Et tænkt eksempel

I en øvelse hos et forsikringsselskab opdager SOC’en efter fire dage en mistænkelig administratorkonto og spærrer den. White team bekræfter, at kontoen er holdets, men holdet har stadig adgang via en anden vej. White team vælger at lade forsvaret undersøge videre uden at blive orienteret og giver det to døgn. Forsvaret finder ikke den anden adgang. Herefter får holdet lov at fortsætte mod målet. Resultatet viser både en god opdagelse og en undersøgelse, der stoppede for tidligt, og begge dele kommer med i rapporten.

Forsvaret skal have sin anerkendelse

Uanset hvad der vælges, skal forsvaret på et tidspunkt have at vide, at deres opdagelse var rigtig. Hvis øvelsen fortsætter skjult, sker det ved afslutningen. Overvej, hvordan det gøres, så forsvaret oplever at være blevet set, og ikke kun at være blevet narret. → Blue team

Det skal I lade være med

At glemme at notere opdagelsen · den er et af de vigtigste resultater.
At afsløre øvelsen refleksmæssigt · der kan være mere at lære ved at vente.
At improvisere mulighederne · de skal stå i rules of engagement.
At lade holdet fortsætte uden en ny risikovurdering · situationen har ændret sig.
At skjule opdagelsen i rapporten · den skal fremgå lige så tydeligt som holdets forløb.

Hvad kan og ikke kan konkluderes

En opdagelse viser, at forsvaret kunne se og reagere på et bestemt skridt på et bestemt tidspunkt. Den viser ikke, at forsvaret ville se alle lignende skridt, og en undersøgelse, der fandt det synlige, er ikke det samme som en undersøgelse, der fandt det hele.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamets tiltag ved opdagelse, dækhistorier, begrænset purple teaming som sidste udvej og blue teams opdagelser i opsummeringsrapporten.

Senest gennemgået: oktober 2026.