Detektionsdækning: kortlæg, hvad I faktisk kan se

En sikkerhedsfunktion kan have et billede af, hvad den kan opdage, som bygger på antagelser: en leverandør har oplyst det, en regel er slået til, eller et system er sat op til at logge. Detektionsdækning er forsøget på at gøre billedet konkret. Et dækningskort viser for en række kendte former for angrebsadfærd, om forsvaret har data, om der findes en detektion, og om den er afprøvet. Kortet bliver først pålideligt, når det jævnligt holdes op mod virkeligheden, og her spiller red teaming og purple teaming hver sin rolle.

Hvad et dækningskort er

Et dækningskort er en oversigt, ikke et system. Den tager udgangspunkt i en liste over adfærd, som en modstander kan tænkes at bruge, og angiver for hver, hvor godt forsvaret er rustet. MITRE ATT&CK kan bruges som liste, fordi rammen beskriver modstanderes taktikker og teknikker ud fra observationer og giver et fælles sprog på tværs af hold og leverandører. → MITRE ATT&CK i red teaming

ATT&CK har også en del om detektion. Rammen beskriver detektionsstrategier som overordnede tilgange til at opdage bestemte teknikker. Det er nyttigt som reference, men det er ikke et mål i sig selv at have en strategi for hver teknik. Kortet skal afspejle jeres trusselsbillede og jeres miljø.

Tre niveauer af dækning

Det vigtigste valg er, hvad der tæller som dækning. En enkel skala med tre niveauer gør kortet ærligt:

Data findes · de relevante registreringer dannes og indsamles, så adfærden i princippet kan ses.
Detektion findes · der er en regel, en analyse eller en rutine, som skal reagere på adfærden.
Detektion er afprøvet · det er vist i jeres eget miljø, at adfærden faktisk udløser en reaktion, der når frem til en person.

Kun det tredje niveau svarer på spørgsmålet om, hvad I faktisk kan se. De to første er forudsætninger. Notér også, hvornår en linje sidst blev afprøvet, og af hvem. En afprøvning fra før en større systemændring er mindre værd end en fra sidste måned, og en afprøvning, som leverandøren selv har foretaget, er en anden ting end en, jeres eget forsvar har set. Et kort, der ikke skelner mellem niveauerne, ser fuldere ud, end virkeligheden er.

Start med trusselsbilledet

Et dækningskort over alle kendte teknikker er stort og svært at vedligeholde. Det er mere nyttigt at starte med de former for adfærd, som er relevante for de modstandere, der sandsynligvis interesserer sig for organisationen, og for de veje, der fører mod det, I helst vil beskytte. → Trusselsefterretning

Et tænkt eksempel: en realkreditvirksomhed vælger at kortlægge dækningen for den adfærd, der knytter sig til misbrug af identiteter og adgang til betalingsflowet. Kortet bliver mindre, men hver linje har en ejer og en begrundelse. Resten af listen kan komme til senere. Når trusselsbilledet ændrer sig, fx fordi en ny type modstander begynder at interessere sig for sektoren, bliver kortet udvidet med de linjer, der følger med. Kortet vokser dermed i takt med den viden, organisationen har om sine modstandere, og ikke i takt med længden af en katalogliste.

Hvad red teaming bidrager med

En red team-øvelse afprøver dækningen i en realistisk sammenhæng. Den viser, om de detektioner, der står som afprøvede, også virkede, da en modstander bevægede sig gennem miljøet uden at sige, hvad den lavede. Den viser også, hvor kortet var for optimistisk, fx fordi en detektion kun virkede i et testmiljø eller kun i dagtimerne.

Men en øvelse berører kun en lille del af kortet. Holdet vælger én eller få veje mod målet, og alt det, holdet ikke gjorde, er stadig uafprøvet. Resultatet bør derfor bruges til at rette konkrete linjer i kortet, ikke til at erklære hele kortet sandt eller falsk. → Blinde vinkler

Hvad purple teaming bidrager med

Purple teaming er bedre egnet til at afprøve mange linjer i kortet. I en åben session udfører holdet en række aftalte handlinger, og forsvaret ser med og kontrollerer, om data og detektioner virker. Formen er hurtigere og mere systematisk, men den måler ikke, om forsvaret ville have reageret uden at være advaret. De to former supplerer hinanden: purple teaming afprøver bredden, red teaming afprøver sammenhængen. → Purple teaming

Dækning, der ligger hos andre

En del af dækningen kan ligge uden for organisationen. En overvågningsleverandør har sine egne regler, en cloududbyder har indbyggede funktioner, og en driftsleverandør ser hændelser på de systemer, den driver. Kortet skal vise, hvem der står for hver linje, og hvordan I ved, at linjen holder. Hvis svaret er, at leverandøren har oplyst det, er linjen på andet niveau, indtil den er afprøvet.

Aftal med leverandørerne, at dækningen kan afprøves, og at de deltager i at forklare resultatet. Det kan kræve en ændring i kontrakten, og det er lettere at få på plads før en øvelse end bagefter. Notér også, hvilke linjer der afhænger af en enkelt leverandørs ydelse. Hvis leverandøren skiftes ud, eller ydelsen ændres, skal netop de linjer afprøves igen, før kortet kan regnes for gældende. → SOC-leverandøren og øvelsen

Kortet som styringsværktøj

For CISO’en er dækningskortet nyttigt ud over øvelserne. Det gør det muligt at drøfte investeringer i overvågning med en konkret begrundelse: hvilke linjer flytter sig fra et niveau til et andet, hvis et nyt system indføres, eller hvis en leverandørs ydelse udvides. Det gør det også lettere at vurdere en leverandørs påstand om dækning, fordi påstanden kan holdes op mod det, der er afprøvet i jeres miljø. → Sikkerhedsværktøjernes værdi

Kortet skal have en ejer og en fast rytme for opdatering. Systemændringer, nye leverandører og ændringer i trusselsbilledet kan alle flytte linjer, også i den forkerte retning. Hold detaljerne fortrolige; over for ledelsen er et overblik over niveauerne for de vigtigste områder tilstrækkeligt.

Det skal I lade være med

At kalde data for dækning · at noget registreres, betyder ikke, at nogen reagerer.
At tro på et farvet kort · et kort med mange grønne felter kan bygge på antagelser.
At kortlægge alt fra start · begynd med det, der er relevant for jeres trusselsbillede.
At lade én øvelse validere hele kortet · holdet gik kun ad nogle veje.
At acceptere en leverandørs dækning uden afprøvning · vis det i jeres eget miljø.
At lade kortet stå uændret · systemer og trusler ændrer sig.

Hvad kan og ikke kan konkluderes

Et dækningskort kan vise, hvor forsvaret har afprøvet evne til at opdage bestemte former for adfærd, og hvor det kun er antaget. Det kan ikke vise, at en modstander vil blive opdaget, fordi en modstander kan vælge veje, der ikke er på kortet, eller kombinere adfærd på måder, der ikke er afprøvet.

Kilder

MITRE ATT&CK: taktikker og teknikker som fælles sprog for modstanderadfærd.
MITRE ATT&CK, Detection Strategies: detektionsstrategier som overordnede tilgange til at opdage bestemte teknikker.

Senest gennemgået: oktober 2026.