Efter flere års pentest: er tiden kommet til red teaming?

En organisation, der har haft et fast pentestprogram i flere år, kan nå et punkt, hvor rapporterne begynder at ligne hinanden. Fundene bliver færre, rettelserne kommer hurtigere, og ledelsen spørger, hvad næste skridt er. Svaret hviler på, om de spørgsmål, I har brug for svar på, har flyttet sig fra, om systemerne har svagheder, til om forsvaret opdager og standser en modstander, der udnytter dem.

Hvis det er tilfældet, kan tiden være kommet til red teaming. Det betyder ikke, at pentestprogrammet skal stoppe, men at det får selskab af en øvelse, der stiller et andet spørgsmål. Hvor grænsen mellem de to testformer generelt går, er beskrevet på penetrationtest.dk. Her handler det om beslutningen for en organisation, der allerede har et modent program.

Det, årene med pentest har givet jer

Et fast pentestprogram giver et billede af svagheder i de systemer, der er testet, og et ritual for at rette dem. Over tid bliver de mest åbenlyse svagheder lukket, og organisationen lærer at stille krav til testerne og at bruge rapporterne.

Den britiske myndighed NCSC beskriver i sin vejledning om penetrationstest, at en test kun kan bekræfte, at systemerne ikke er sårbare over for kendte forhold på testtidspunktet, og at testen bedst bruges til at få sikkerhed for, at jeres egen sårbarhedsstyring virker. Vejledningen nævner afprøvning af opdagelse og reaktion som et særskilt område. Det er netop det område, en red team-øvelse dækker. → Det, red teaming afprøver

Tegn på, at spørgsmålet har flyttet sig

Nogle tegn tyder på, at programmet har nået sin naturlige grænse:

Fundene er kendte, før rapporten kommer · sikkerhedsfunktionen kan forudsige det meste af resultatet.
Rettelserne sker af sig selv · der er en proces, og den virker uden ekstra pres.
Ledelsen spørger til konsekvens · spørgsmålet er ikke længere, hvor mange fund der er, men hvad en modstander kunne nå.
Overvågningen er bygget op · der er investeret i opdagelse, men den er aldrig afprøvet mod en realistisk modstander.
Hændelser andre steder vækker bekymring · I ønsker at vide, om et lignende forløb ville blive opdaget hos jer.

Hvis flere af tegnene passer, er det sandsynligt, at en øvelse vil give læring, som endnu en pentest ikke giver. → Er organisationen klar til red teaming?

Pentestprogrammet skal fortsætte

Red teaming erstatter ikke pentest. En øvelse følger en vej mod et mål og ser ikke systematisk på alle systemer, og den finder derfor ikke alle de svagheder, som en bred test af en webapplikation eller et netværk ville finde. Nye systemer, større ændringer og krav fra kunder kræver fortsat test.

Det, der ændrer sig, er programmets samlede form. Pentesten bliver den løbende kontrol af, at svagheder findes og rettes. Red teaming bliver den lejlighedsvise afprøvning af, om forsvaret som helhed virker. Planlæg dem, så de supplerer hinanden, fx så en øvelse ikke ligger lige før en stor pentest af de samme systemer. → Red teaming i sikkerhedsprogrammet

Mellemtrin på vejen

Overgangen behøver ikke ske i ét spring. Der er former, der ligger mellem en pentest og en fuld skjult øvelse:

Assumed breach · testen starter inde i netværket og ser på, hvor langt en modstander kan komme, og om det bliver set.
Purple teaming · holdet og forsvaret arbejder sammen, så hvert skridt bruges til at forbedre opdagelsen.
En smal øvelse · ét scenarie mod én forretningsproces, med en mere afgrænset styring.

Hvert mellemtrin giver erfaring med de elementer, en fuld øvelse kræver: white team, stopregler, tidslinje og gennemgang med forsvaret. Organisationen lærer at styre, mens indsatsen er overskuelig. Mellemtrinnene har også værdi i sig selv, fordi de kan afsløre huller i logning og overvågning, som det er bedre at lukke, før en skjult øvelse sætter forsvaret på prøve. → En smal red team-øvelse

Budgettet

Spørgsmålet om budget kan være det, der afgør overgangen. Nogle organisationer flytter midler fra pentestprogrammet ved at teste nogle systemer sjældnere. Andre lægger øvelsen oveni. Begge dele kan være rigtige, men valget bør træffes bevidst og med blik for, hvad der mistes. Skriv begrundelsen ned, så den kan genbesøges, når resultatet af den første øvelse foreligger.

Hvis I reducerer pentestprogrammet, så gør det i de områder, hvor fundene er få og stabile, og bevar det, hvor ændringerne er hyppige. En øvelse, der finansieres ved at stoppe test af et system i hastig udvikling, kan efterlade et hul, som øvelsen ikke dækker. Nielco IT tilbyder både penetrationstest og red teaming, så overgangen kan drøftes samlet, men beslutningen om fordelingen er jeres. → Business case for red teaming

Et tænkt eksempel

Et pensionsselskab har i en årrække fået sin kundeportal og sit interne netværk testet hvert år. De seneste rapporter indeholder få fund, og de bliver rettet inden for de aftalte frister. Samtidig har selskabet købt døgnovervågning, men ingen ved, hvordan den reagerer på andet end de standardalarmer, leverandøren viste ved opstarten.

CISO’en foreslår ikke at erstatte pentesten. I stedet testes det interne netværk hvert andet år i stedet for hvert år, og midlerne bruges på en åben øvelse med assumed breach, hvor overvågningsleverandøren deltager. Året efter følger en skjult øvelse med et mål i pensionsadministrationen. Kundeportalen, der ændres løbende, testes fortsat som hidtil. Ledelsen får dermed svar på et nyt spørgsmål uden at miste det billede, pentesten gav.

Det skal I lade være med

At stoppe pentesten, fordi I starter red teaming · de to svarer på forskellige spørgsmål.
At springe direkte til en stor skjult øvelse · uden erfaring med styringen bliver risikoen større.
At vælge red teaming, fordi pentesten keder · beslutningen skal komme fra et nyt spørgsmål.
At forvente færre fund · øvelsen finder andre ting og ikke nødvendigvis færre.
At lade samme leverandør gøre alt uden overvejelse · et frisk blik kan være en del af værdien.

Hvad kan og ikke kan konkluderes

En moden pentestpraksis er et godt grundlag for red teaming, fordi de kendte svagheder er under kontrol. Den er ikke et bevis for, at forsvaret virker, og den siger intet om opdagelse og reaktion. En lang række rene pentestrapporter kan tværtimod dække over, at ingen har set, hvad der sker, når en modstander bevæger sig rundt i miljøet.

Tjekliste før beslutningen

☐ Kan I forudsige resultatet af den næste pentest?
☐ Er der en fast proces for rettelser, som virker?
☐ Har ledelsen stillet et spørgsmål om opdagelse og reaktion?
☐ Er der overvågning, som endnu ikke er afprøvet mod en modstander?
☐ Er det besluttet, om øvelsen finansieres ved siden af eller fra pentestprogrammet?
☐ Er et mellemtrin overvejet som første skridt? → Den første red team-øvelse

Kilder

NCSC (UK): Penetration testing: en penetrationstest bekræfter kun fravær af kendte svagheder på testtidspunktet og bruges bedst til at få sikkerhed for sårbarhedsstyringen; afprøvning af opdagelse og reaktion nævnes som særskilt område.

Senest gennemgået: oktober 2026.