Blue team: forsvaret, der ikke ved, at der øves

I en red team-øvelse er det blue team, der bliver målt, men det er også det hold, der ved mindst. Forsvaret opdager, vurderer og reagerer, som om angrebet var ægte, og det er netop det, der gør resultatet brugbart. For sikkerhedsfunktionen hviler arbejdet med blue team på tre spørgsmål: hvem tæller med, hvordan holdes de uvidende uden at blive sat i en urimelig situation, og hvordan bliver deres oplevelse en del af læringen bagefter.

Hvem der hører til

En snæver forståelse af blue team er SOC’en eller den gruppe, der overvåger alarmer. I praksis rækker forsvaret længere. CSRC Glossary gengiver en definition fra CNSSI 4009-2022, hvor blue team er den gruppe, der forsvarer organisationens brug af informationssystemer mod en gruppe af foregivne angribere. TIBER-DK, Nationalbankens ramme for de regulerede test, går endnu bredere og regner alle medarbejdere uden for kontrolteamet som blue team.

For en øvelse uden for de regulerede rammer er det nyttigt at tænke i funktioner frem for afdelinger:

Opdagelse · SOC, overvågningsleverandør og de driftsfolk, der ser logs og alarmer.
Vurdering · den, der beslutter, om en alarm er en hændelse, og hvor alvorlig den er.
Reaktion · IT-drift, identitets- og netværksfolk, der kan isolere, spærre og genoprette.
Eskalering · vagthavende, CISO, ledelse og beredskab.
Første linje · servicedesk, reception og medarbejdere, der melder noget mistænkeligt.

Når blue team defineres sådan, bliver det tydeligt, hvem der skal holdes uvidende, og hvem der skal indgå i læringen. → Holdene i øvelsen

Eksterne parter i forsvaret

Dele af forsvaret kan ligge hos leverandører. TIBER-DK nævner udtrykkeligt, at blue team kan omfatte eksterne ressourcer, fx fra en ekstern SOC. Det gælder også driftsleverandører, der håndterer hændelser på deres egne systemer, og cloududbydere, hvis egne sikkerhedsfunktioner kan reagere på holdets aktivitet.

For hver ekstern part skal det afklares, om den indgår som en del af blue team og dermed holdes uvidende, eller om en kontaktperson skal kende til øvelsen. Afklaringen hører hjemme i planlægningen og skal stemme med parternes kontrakter. → SOC-leverandøren og øvelsen

Uvidenhed uden urimelighed

Blue team ved ikke, at der øves, og derfor behandler de holdets aktivitet som et rigtigt angreb. Det er formålet, men det har en pris. Medarbejdere kan arbejde om natten, inddrage ledelsen og bruge ressourcer på en hændelse, der viser sig at være konstrueret. Nogle vil opleve det som at være blevet ført bag lyset af deres egen organisation.

Det kan ikke fjernes, men det kan mindskes. Fortæl blue team på forhånd og generelt, at organisationen gennemfører øvelser fra tid til anden, uden at nævne tidspunkt eller form. Sørg for, at white team kan gribe ind, hvis en reaktion bliver uforholdsmæssig, fx hvis en vagthavende står over for at lukke en forretningskritisk tjeneste. Og sørg for, at forsvaret bagefter hører, at deres indsats blev set. → Inddæmning under øvelsen

Overvej også, hvem der faktisk er uvidende. I mindre sikkerhedsfunktioner er der få personer, og det kan være svært at holde white team adskilt fra forsvaret. Hvis en nøgleperson i forsvaret også skal være i white team, går den del af målingen tabt, og det bør stå i rapporten.

Når forsvaret opdager noget

Når blue team ser aktivitet, de vurderer som et angreb, gør de det, de skal: eskalerer, undersøger og reagerer. White team skal i det øjeblik have en procedure, der skelner mellem øvelse og rigtig hændelse uden at afsløre mere end nødvendigt. Hvordan det sker, og om øvelsen kan fortsætte efter en opdagelse, er en del af rules of engagement. → Når blue team opdager holdet

En opdagelse er ikke en fiasko for øvelsen. Den er et af de resultater, der skal måles, og den bør dokumenteres med tidspunkt og forløb, så den kan sammenholdes med holdets egen logbog.

Bemanding og tidspunkt

Blue team er ikke det samme hold hele døgnet. Om dagen er der flere hænder og kortere vej til beslutningstagerne; om natten og i weekenden er der måske én vagthavende og en leverandør, der ringer op. Hvis øvelsen kun foregår i dagtimerne, måler den kun dagholdet. → Overvågning uden for arbejdstid

Tag stilling til det i planlægningen. Det kan være et bevidst valg at lade dele af forløbet ligge uden for arbejdstid, men så skal white team også være til rådighed på de tidspunkter, og de vagthavende skal kunne nå en person, der kan træffe beslutninger. Ferieperioder og større driftsændringer bør som udgangspunkt undgås, fordi bemandingen er usædvanlig, og resultatet derfor siger mindre om hverdagen.

Blue teams egen rapport

Forsvaret ved ting, holdet ikke ved. Hvilke alarmer kom, hvilke blev vurderet og afvist, og hvilke beslutninger blev truffet undervejs? I TIBER-DK udarbejder blue team en selvstændig rapport efter den aktive testperiode, hvor forsvaret for hvert af holdets skridt beskriver, hvad der blev opdaget, og hvilke logposter der svarer til det, sammen med erfaringer og emner til purple teaming. Rammen gælder de regulerede test, men tanken er nyttig i enhver øvelse. → Blue team-rapporten

Uden blue teams egen beskrivelse bliver rapporten holdets version alene. Med den bliver det muligt at se, hvor forsvaret var tæt på, og hvor det var blindt. → Tidslinjen for red og blue team

Det skal I lade være med

At definere blue team som SOC’en alene · eskalering, reaktion og første linje er også forsvaret.
At glemme de eksterne · overvågnings- og driftsleverandører skal have en klar plads.
At lade nøglepersoner i forsvaret sidde i white team uden at notere det · målingen påvirkes.
At se en opdagelse som en fejl ved øvelsen · den er et resultat.
At springe blue teams egen beskrivelse over · holdets version er kun den ene halvdel.
At afsløre øvelsen uden at anerkende indsatsen · forsvaret har arbejdet, som om det var alvor.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, hvordan blue team opdagede, vurderede og reagerede på et bestemt forløb på et bestemt tidspunkt. Den kan ikke vise, hvordan forsvaret ville klare et andet scenarie, en anden bemanding eller et andet tidspunkt på døgnet. Og den siger intet om den enkelte medarbejders dygtighed, kun om, hvordan funktionerne spillede sammen.

Tjekliste til blue team

☐ Er blue team defineret ud fra funktioner, også uden for SOC’en?
☐ Er det afklaret for hver ekstern part, om den indgår i blue team?
☐ Er det noteret, hvis nøglepersoner i forsvaret også er i white team?
☐ Kan white team gribe ind ved uforholdsmæssige reaktioner?
☐ Er det aftalt, at blue team bidrager med sin egen beskrivelse af forløbet?
☐ Er det planlagt, hvordan forsvarets indsats anerkendes ved afsløringen?

Kilder

CSRC Glossary: blue team: definitioner fra CNSSI 4009-2022.
Danmarks Nationalbank, TIBER-DK Implementation Document: blue team som alle medarbejdere uden for kontrolteamet, eksterne ressourcer som en ekstern SOC, og blue teams testrapport.

Senest gennemgået: oktober 2026.