Det, red teaming afprøver, som en pentestrapport ikke viser

En sikkerhedsfunktion kan have en stak gode pentestrapporter og stadig ikke kunne svare på, hvad der ville ske en søndag morgen, hvis en angriber var på vej mod kundedata. Red teaming afprøver netop det: om opdagelse, eskalering, reaktion og ledelsens beslutninger hænger sammen, når et forløb rammer organisationen. Svaret hviler på, at øvelsen måler forsvaret som et samlet system, hvor en pentest måler forekomsten af svagheder i et afgrænset område.

Forskellen er ikke, at den ene er bedre end den anden. De svarer på hvert sit spørgsmål. Den generelle grænsedragning mellem ydelserne er forklaret for købere på penetrationtest.dk. Her er vinklen CISO’ens: hvad får sikkerhedsfunktionen at vide, som den ikke kan læse i et fundkatalog?

Fra fundliste til forløb

En pentestrapport er bygget som en liste. Hvert fund har en alvorlighed og en anbefaling, og listen bliver kortere, efterhånden som rettelserne gennemføres. Det er en nyttig styringsform for IT-driften, men den fortæller ikke, hvordan fundene spiller sammen, eller hvordan organisationen opfører sig, når de bliver brugt.

En red team-øvelse er bygget som en tidslinje. Den viser, hvad holdet gjorde, og ved siden af, hvad forsvaret så og gjorde. Nogle af de vigtigste iagttagelser kan ligge i mellemrummet: alarmen, der kom, men blev lukket som støj; mistanken, der blev nævnt på et vagtskifte, men ikke skrevet ned; beslutningen, der ventede på en leder, som ikke var til at træffe. → Tidslinjen: red teams handlinger og blue teams observationer

Opdagelse: ser forsvaret overhovedet noget?

Det første spørgsmål er synlighed. Har organisationen logning og overvågning de steder, hvor et angreb mod det valgte mål ville bevæge sig? En pentest kan anbefale bedre logning, men den afprøver ikke nødvendigvis, om logningen faktisk fanger noget i drift. Øvelsen gør, fordi den efterlader spor, som enten bliver set eller ikke bliver set. → Blinde vinkler

Det er ikke et nederlag, at noget ikke blev set. Det er information. Et forløb, der passerer uden en eneste alarm, fortæller præcist, hvor der skal investeres i synlighed, og hvilke antagelser om overvågningen der ikke holdt.

Synlighed handler også om tid. En observation, der først bliver set ved en ugentlig gennemgang, er ikke det samme som en alarm, der bliver behandlet inden for vagten. Øvelsen gør det muligt at skelne mellem de to, fordi holdets logbog giver et fast tidspunkt at sammenligne med. Det er grundlaget for at tale om tid til opdagelse uden at gætte.

Eskalering: når den rette person får besked

Et forsvar kan opdage mere, end det handler på. Spørgsmålet er, om en observation når frem til en person med mandat, og om det sker i tide. Det afhænger af vagtordninger, kontaktlister, aftaler med overvågningsleverandøren og den enkelte analytikers mod til at slå alarm. Ingen af de forhold kan afprøves i en almindelig teknisk test. → Eskalering: fra alarm til beslutning

Et tænkt eksempel: overvågningen hos en forsikringskoncern registrerer et usædvanligt login, og analytikeren sender en mail til IT-driftens fælles postkasse. Mailen bliver læst næste morgen. Teknisk virkede alt, men kæden brast mellem to organisationer. Det er den slags fund, der flytter fokus fra værktøjer til processer.

Reaktion og beslutninger

Når et angreb er opdaget og eskaleret, skal nogen beslutte, hvad der skal ske. Skal en server isoleres? Skal ledelsen orienteres? Hvem taler med overvågningsleverandøren, og hvem vurderer, om der er tale om en hændelse, der skal håndteres efter beredskabsplanen? Øvelsen viser, om beslutningerne bliver truffet af de rigtige personer i en rimelig rækkefølge.

Her ligger også en af øvelsens mest værdifulde sider for direktionen. Den viser, hvordan beredskabsplanen fungerer, når den bruges af mennesker under tidspres, og ikke kun hvordan den ser ud på papir. Resultatet kan derfor bruges til at forbedre både planen og de øvelser, der træner den. Det kan vise sig, at planen forudsætter personer eller oplysninger, som ikke er til stede uden for kontortid, eller at to funktioner hver især tror, den anden har ansvaret for første skridt. → Opdagelse, eskalering og reaktion

Sammenhængen mellem små svagheder

Den sidste forskel handler om kombinationer. En pentest vurderer hvert fund for sig, og et fund med lav alvorlighed kan blive nedprioriteret. I en øvelse kan tre sådanne fund tilsammen udgøre den vej, holdet brugte til målet. Det giver en anden prioritering, fordi værdien af at lukke ét led kan være større end summen af alvorlighederne.

For sikkerhedsfunktionen betyder det, at handlingsplanen efter en øvelse kan se anderledes ud end efter en pentest. Den indeholder færre tekniske rettelser og flere ændringer i processer, rettigheder, overvågningsregler og ansvar på tværs af afdelinger. Nogle af ejerne sidder uden for IT, fx i HR, økonomi eller hos en leverandør. Det kræver en anden form for opfølgning, hvor CISO’en skal kunne forklare, hvorfor et lille fund pludselig står øverst på listen.

Rapporten fra en øvelse skal derfor vise angrebsvejen som en helhed og pege på de led, hvor en rettelse eller en bedre opdagelse ville have brudt kæden. → Red team-rapporten

Det skal I lade være med

At bestille red teaming for at få flere fund · Øvelsen leverer færre og andre iagttagelser end en pentest, og det er meningen.
At læse øvelsen som karakter til SOC’en · Resultatet handler om hele kæden, også processer, leverandører og ledelse.
At springe den fælles tidslinje over · Uden den kan ingen se, hvor opdagelse og reaktion svigtede.
At prioritere fund efter alvorlighed alene · Et led i en angrebsvej kan være vigtigere end dets vurdering antyder.
At droppe pentesten, fordi der nu er en øvelse · De to svarer på forskellige spørgsmål og supplerer hinanden.

Hvad kan og ikke kan konkluderes

En øvelse kan vise, hvordan opdagelse, eskalering og reaktion fungerede i ét forløb mod ét mål, og hvilke svagheder der tilsammen gjorde forløbet muligt. Den kan ikke give et overblik over alle svagheder i et system, og den kan ikke erstatte løbende test af enkelte områder. Et forløb, hvor holdet blev stoppet, er heller ikke et bevis på, at forsvaret vil stoppe den næste angriber.

Tjekliste: er det et red team-spørgsmål?

☐ Handler jeres spørgsmål om, hvad forsvaret gør, frem for hvilke svagheder der findes?
☐ Ønsker ledelsen at se, hvordan beredskabsplanen virker i praksis?
☐ Er der en overvågningsfunktion, hvis reaktion kan måles?
☐ Er de seneste pentestfund kendte og under behandling?
☐ Kan organisationen afsætte folk til at gennemgå tidslinjen bagefter?
☐ Er det aftalt, at rapporten skal vise angrebsvejen som helhed?

Nogle organisationer når frem til red teaming efter flere års almindelige test. → Efter flere års pentest

Kilder

CSRC Glossary: red team: formålet med at vise følgerne af vellykkede angreb og hvad der virker for forsvarerne.
ECB: TIBER-EU: test af forebyggelse, opdagelse og reaktion uden forhåndsviden hos forsvaret.

Senest gennemgået: oktober 2026.