Blue team‑rapporten: forsvarets egen tidslinje

Når den aktive del af en red team-øvelse slutter, ligger der som regel kun én skriftlig fortælling klar: holdets. Blue team-rapporten er forsvarets modstykke, og den hviler på et enkelt princip: for hvert skridt, holdet tog, beskriver forsvaret, hvad det faktisk så, og hvor det står i organisationens egne data. Rapporten gør det muligt at måle opdagelse og reaktion på forsvarets præmisser og ikke kun ud fra holdets antagelser om, hvad der blev set.

For CISO’en er rapporten også et ledelsesredskab. Den viser, hvordan SOC, IT-drift, servicedesk og leverandører arbejdede sammen under pres, og hvor processen knækkede.

Hvorfor holdets rapport ikke er nok

Holdet ved, hvad det gjorde, men det ved ikke nødvendigvis, hvad forsvaret registrerede. En handling, holdet tror gik ubemærket hen, kan have udløst en alarm, der blev lukket som falsk positiv. Omvendt kan holdet tro, at det blev opdaget, fordi en adgang forsvandt, selv om årsagen var en almindelig driftsændring.

Uden forsvarets egen beskrivelse bliver den slags misforståelser stående i den endelige rapport. Med den kan white team skelne mellem tre situationer, som kræver forskellige rettelser: data blev aldrig indsamlet, data var der, men ingen så det, eller nogen så det, men vurderede det forkert. → Blinde vinkler

Det, de regulerede rammer kræver

De tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190, fastsætter i bilag VI, hvad det blå teams testrapport som minimum skal indeholde. Listen omfatter for hvert angrebsskridt de detekterede angrebstiltag og de tilhørende logfiler, en vurdering af testernes konstateringer og anbefalinger, den dokumentation for angrebet, som det blå team selv har indsamlet, en analyse af grundlæggende årsager, indhøstede erfaringer og emner til purple teaming.

Forordningens artikel 12, stk. 4, angiver også en frist for rapporten i forhold til afslutningen af den aktive testfase. Nationalbankens implementeringsdokument for TIBER-DK beskriver samme rapport og tilføjer, at den bør være færdig før replay, så læringen bliver størst mulig.

Kravene gælder kun de regulerede test. For en frivillig øvelse er de en brugbar skabelon, ikke en pligt.

Indholdet i en frivillig øvelse

En blue team-rapport behøver ikke være lang. Den skal kunne lægges ved siden af holdets logbog, skridt for skridt.

Observationer pr. skridt · hvad blev set, af hvem, hvornår, og hvilken kilde viste det.
Vurderinger · hvordan observationen blev klassificeret, og hvorfor.
Handlinger · hvad forsvaret gjorde, fra første notat til eskalering, inddæmning eller afslutning.
Manglende data · skridt, hvor forsvaret i dag ikke kan finde spor, og grunden til det.
Holdets konklusioner set fra forsvaret · enighed, uenighed og forklaringer.
Egne erfaringer · det forsvaret selv vil ændre i processer, bemanding og samarbejde.
Emner til fælles gennemgang · spørgsmål, forsvaret vil drøfte med holdet bagefter. → Purple teaming

Et afsnit, der kan mangle, er det om manglende data. Det er ubehageligt at skrive, men det er netop dér, de vigtigste forbedringer ligger.

Hvem skriver, og hvornår

Blue team ved først, at der har været en øvelse, når white team afslører den. Fra det tidspunkt skal rapporten have en ansvarlig, for eksempel lederen af SOC’en eller af sikkerhedsdriften. Bidrag skal komme fra alle, der var en del af forsvaret, også servicedesk og driftsleverandører.

Et praktisk problem er, at data forsvinder. Logs slettes efter en fast periode, sager lukkes, og hukommelsen bliver uskarp. Aftal derfor allerede i planlægningen, at white team ved afsløringen sikrer, at relevante logs og sager bevares, indtil rapporten er færdig. Det kræver ikke, at blue team kender til øvelsen på forhånd; det kræver blot, at nogen i white team har mandat til at bede om det. → Tjekliste til white team

Hvis overvågningen ligger hos en leverandør, skal leverandørens bidrag stå i aftalen. Ellers risikerer forsvaret at mangle netop de observationer, der kunne have forklaret forløbet. → SOC-leverandøren og øvelsen

Tonen i rapporten

Blue team har lige fået at vide, at det angreb, de arbejdede med, var planlagt. Nogle vil være lettede, andre irriterede. Den stemning kan smitte af på rapporten og gøre den til et forsvarsskrift.

Gør det tydeligt fra start, at rapporten handler om funktioner og forløb, ikke om personer. Den skal hverken bevise, at forsvaret gjorde sit bedste, eller finde en syndebuk. Ærlige oplysninger om oversete alarmer er mere værd end en pæn fortælling, og det skal ledelsen også sige højt. → Oversete alarmer

Fra rapport til tidslinje

Blue team-rapporten er råmateriale. Sammen med holdets logbog bliver den til den fælles tidslinje, der viser forløbet fra begge sider. Nationalbankens dokument beskriver, at forsvaret og holdet før replay skal blive enige om tidslinjen, og det er en god arbejdsregel i alle øvelser. Uenigheder noteres, så de kan tages op ved gennemgangen. → Tidslinjen for red og blue team

Sådan bruger sikkerhedsfunktionen rapporten

Når øvelsen er afsluttet, er der tre steder, hvor forsvarets rapport gør en forskel ud over selve gennemgangen.

Den første er handlingsplanen. Holdets anbefalinger handler først og fremmest om, hvordan angrebet kunne lykkes. Forsvarets erfaringer handler om, hvorfor det ikke blev stoppet tidligere: en vagtplan, en uklar ansvarsfordeling, en kilde, der aldrig blev koblet på overvågningen. De punkter skal have ejere på samme måde som de tekniske fund. → Handlingsplan efter red teaming

Den anden er dialogen med leverandørerne. Hvis rapporten viser, at en ekstern overvågning så noget, men ikke eskalerede, er det et konkret grundlag for at drøfte aftalen, ikke en fornemmelse.

Den tredje er næste øvelse. Forsvarets liste over manglende data og egne forbedringer er et godt udgangspunkt for at vælge, hvad der skal afprøves igen, og hvad der kan måles på samme måde næste gang.

Det skal I lade være med

At springe rapporten over, fordi holdets rapport er grundig · det er forsvarets data, der viser, hvad der blev set.
At lade logs udløbe, før rapporten er skrevet · bevaring skal aftales i planlægningen.
At glemme leverandørernes bidrag · en ekstern SOC eller drift kan have observationer, ingen andre har.
At lade rapporten blive et forsvarsskrift · den skal beskrive funktioner, ikke dække over dem.
At skrive navne frem for roller · formålet er læring, ikke vurdering af enkeltpersoner.
At vente med rapporten, til replay er overstået · så mister gennemgangen sit grundlag.

Hvad kan og ikke kan konkluderes

Rapporten viser, hvad forsvaret registrerede og gjorde under ét bestemt forløb, og hvor data manglede. Den viser ikke, om forsvaret ville have klaret sig bedre eller dårligere mod en anden modstander. Og fordi den skrives efter afsløringen, vil den altid være præget af, at forfatterne nu kender svaret. Læs den derfor sammen med de data, der blev bevaret, og ikke som et vidneudsagn alene.

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: artikel 12, stk. 4, om det blå teams testrapport og bilag VI om rapportens minimumsindhold.
Danmarks Nationalbank, TIBER-DK Implementation Document: blue team-rapportens indhold, at den bør foreligge før replay, og at holdene skal være enige om tidslinjen.

Senest gennemgået: oktober 2026.