Fra fund til bedre overvågning: detektion efter øvelsen

En red team-øvelse kan ende med en liste over handlinger, som forsvaret ikke så. Listen er værdifuld, men den bliver ikke til bedre overvågning af sig selv, og den største fejl er at behandle alle punkter som det samme problem. Arbejdet efter øvelsen hviler på at sortere hullerne efter årsag, give hver type et ejerskab og bagefter kontrollere, at forbedringen faktisk virker. Det sker på begrebsniveau i sikkerhedsfunktionen; den konkrete opsætning hører hjemme hos dem, der driver overvågningen.

Fire slags huller

Når forsvaret ikke opdagede et skridt, kan det skyldes fire forskellige ting. Den fælles tidslinje fra øvelsen gør det muligt at skelne mellem dem. → Tidslinjen for red og blue team

Ingen data · den del af miljøet, hvor holdet var aktivt, blev ikke logget eller sendt til overvågningen.
Data, men ingen alarm · aktiviteten var registreret, men intet i overvågningen reagerede på den.
Alarm, men ingen handling · en alarm kom, men blev overset, lukket eller nedprioriteret. → Oversete alarmer
Handling, men for sent · forsvaret reagerede, men så langsomt, at holdet nåede videre.

De fire kræver forskellige løsninger. Den første handler om synlighed og eventuelt om aftaler med drift og leverandører. Den anden handler om, hvad overvågningen er sat op til at reagere på. Den tredje handler om bemanding, prioritering og træning. Den fjerde handler om eskalering og mandat. En handlingsplan, der kun siger “forbedre detektion”, rammer ingen af dem præcist.

Synlighed før regler

Det er fristende at begynde med det, der kan ses hurtigt: flere alarmer. Men en alarm kan kun bygges på data, der findes. Hvis øvelsen viste, at en del af miljøet slet ikke var synlig, kommer det først. → Blinde vinkler

Spørgsmålene til den del er organisatoriske, ikke tekniske. Hvem ejer det system, der ikke logger? Har en leverandør data, organisationen ikke modtager? Står det i kontrakten, at data skal leveres? Kan organisationen bære omkostningen ved at opbevare mere? Svarene afgør, om synligheden kan forbedres hurtigt, eller om den kræver en ny aftale. Nogle gange er svaret, at data findes, men ligger et sted, hvor ingen kigger efter det.

Et fælles sprog for dækningen

For at prioritere hjælper det at beskrive hullerne i et fælles sprog. MITRE ATT&CK, en offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker baseret på observationer fra virkelige angreb, kan bruges som katalog. Hvis holdets skridt er kortlagt til kataloget, kan forsvaret se, hvilke taktikker det generelt har svært ved at se, og ikke kun hvilke enkelte handlinger. → Detektionsdækning

Lockheed Martins Cyber Kill Chain er en anden model, der deler et angreb op i syv trin, som en modstander skal gennemføre for at nå sit mål. Modellen er nyttig til at stille et enkelt spørgsmål: hvor tidligt i forløbet kunne forsvaret have grebet ind? En opdagelse tidligt i kæden giver mere tid til at reagere end en opdagelse tæt på målet. → Angrebsforløb og kill chain

Brug modellerne som sprog for prioritering, ikke som en tjekliste, hvor alle felter skal udfyldes. En organisation, der forsøger at dække alt i kataloget på én gang, kan ende med mange alarmer, som ingen har tid til at følge op på.

Prioritering af forbedringerne

Ikke alle huller er lige vigtige. Prioriteringen kan tage udgangspunkt i nogle få spørgsmål:

Afstand til målet · hvor tæt på kronjuvelerne var holdet, da forsvaret ikke så det?
Sandsynlighed · bruger de modstandere, organisationen frygter mest, den type adfærd?
Gentagelse · gik samme type hul igen flere steder i forløbet?
Indsats · kan hullet lukkes med en ændring i en aftale eller en proces, eller kræver det en større investering?
Belastning · vil en ny alarm give så mange falske positiver, at den bliver ignoreret?

Det sidste spørgsmål er let at glemme. En forbedring, der øger mængden af alarmer uden at øge bemandingen, kan gøre forsvaret dårligere. → Prioritering af detektionsfund

Ejerskab på tværs

Forbedringer af overvågningen kan gå på tværs af afdelinger og leverandører. SOC’en kan formulere, hvad den har brug for at se, men det er IT-drift eller en leverandør, der skal sende data, og det kan være en forretningsenhed, der ejer systemet. Hvert punkt i handlingsplanen skal have én ejer, også når flere skal bidrage.

Hvis overvågningen ligger hos en leverandør, er handlingsplanen et grundlag for at drøfte aftalen. Fund fra øvelsen giver konkrete eksempler på, hvad organisationen forventer at blive gjort opmærksom på, og det er lettere at forhandle ud fra end generelle krav.

Kontrollér, at det virker

En ny alarm eller en ny datakilde er ikke en forbedring, før det er vist, at den virker i praksis. Det kræver ikke en ny stor øvelse. En åben afprøvning, hvor holdet og forsvaret sammen gennemgår udvalgte skridt fra øvelsen, kan vise, om de nu bliver set og eskaleret. Purple teaming er bygget til netop det. → Purple teaming

Planlæg kontrollen som en del af handlingsplanen, med en dato og en ansvarlig. Ellers forbliver forbedringen en antagelse.

Tjekliste til detektionsdelen af handlingsplanen

Brug listen, når fundene om opdagelse skal skrives ind i planen efter øvelsen.

☐ Er hvert hul sorteret som manglende data, manglende alarm, manglende handling eller for sen handling?
☐ Er synlighedshullerne prioriteret før nye alarmer?
☐ Er hullerne beskrevet i et fælles katalog, så mønstre kan ses?
☐ Har hvert punkt én ejer, også når flere afdelinger eller leverandører skal bidrage?
☐ Er det vurderet, hvad nye alarmer betyder for bemandingen?
☐ Er der aftalt en dato for at kontrollere, at forbedringen virker?
☐ Er det besluttet, hvilke huller der accepteres midlertidigt, og af hvem?

Det sidste punkt er en ledelsesbeslutning. Ikke alle huller kan lukkes med det samme, og det skal være synligt, hvem der har accepteret, at de står åbne.

Det skal I lade være med

At skrive “forbedre detektion” som ét punkt · de fire typer huller kræver forskellige løsninger.
At bygge alarmer på data, der ikke findes · synligheden kommer først.
At forsøge at dække hele kataloget på én gang · prioritér efter afstand til målet og sandsynlighed.
At øge mængden af alarmer uden bemanding · forsvaret drukner.
At lade leverandøren alene om forbedringerne · organisationen skal formulere, hvad den har brug for.
At regne en ændring for en forbedring uden kontrol · afprøv den.

Hvad kan og ikke kan konkluderes

En øvelse viser, hvilke skridt i ét forløb forsvaret ikke så, og hvorfor. Den viser ikke, hvad forsvaret overser i andre forløb, og en forbedring rettet mod øvelsens skridt kan være for snæver. Brug derfor fundene til at forstå typer af huller, ikke kun de konkrete handlinger, der gik ubemærket hen.

Kilder

MITRE ATT&CK: offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker baseret på virkelige observationer.
Lockheed Martin, Cyber Kill Chain: modellen med syv trin, som skal give bedre synlighed i et angreb.

Senest gennemgået: oktober 2026.