Red team, blue team, white team og purple team: hvem gør hvad?

Når en red team-øvelse går skævt, skyldes det ikke nødvendigvis holdets faglighed, men kan skyldes, at ingen vidste, hvem der havde ret til at beslutte hvad. Farverne er en kort betegnelse for fire funktioner: red team angriber efter aftale, blue team forsvarer, white team styrer og dømmer, og purple team er det samarbejde, hvor red og blue lærer af hinanden. Fordelingen bygger på definitionerne i CNSSI-ordlisten, som NIST gengiver, og på de roller, TIBER-rammerne beskriver for finanssektoren.

For en CISO er pointen ikke farverne, men ansvaret. Hvert hold skal have en navngiven leder, en klar opgave og en aftalt kontaktvej til de andre. Uden det bliver selv en veltilrettelagt øvelse svær at styre, når noget uventet sker.

Red team: holdet, der efterligner modstanderen

Red team er de folk, der gennemfører forløbet med tilladelse. De arbejder ud fra et scenarie og et mål, dokumenterer hvert skridt og holder sig inden for de spilleregler, organisationen har godkendt. Holdet kan være eksternt, internt eller en blanding, og ved større øvelser kan det bestå af flere specialister med forskellige kompetencer. → Red team-holdet

Det er værd at huske, at red team ikke vinder ved at nå målet. Holdets opgave er at skabe et forløb, som forsvaret kan måles og lære på. En leverandør, der kun taler om at komme ind, har misforstået opgaven, eller beskriver den skævt i sit tilbud.

Red teams logbog er en af øvelsens vigtigste leverancer. Den skal vise, hvad holdet gjorde, hvornår og fra hvilket udgangspunkt, så forsvaret bagefter kan lægge sine egne observationer op ved siden af. Uden en præcis logbog kan ingen afgøre, om en alarm klokken tre om natten hørte til øvelsen eller til noget helt andet. Kravet om dokumentation bør derfor stå i aftalen og ikke overlades til holdets egen praksis.

Blue team: forsvaret, som det ser ud en almindelig tirsdag

Blue team er alle, der til daglig skal opdage og håndtere angreb: SOC, IT-drift, netværks- og identitetsfolk, servicedesk og beredskabet. Hos nogle organisationer indgår også en ekstern overvågningsleverandør. TIBER-DK definerer blue team bredt som alle medarbejdere uden for kontrolteamet og nævner udtrykkeligt, at eksterne ressourcer som en ekstern SOC kan høre med. → Blue team

I en skjult øvelse ved blue team ikke, at der øves. Det giver det mest realistiske billede af hverdagens reaktion, men stiller krav til, hvordan en opdagelse håndteres, uden at øvelsen afsløres for tidligt. Aftalen med overvågningsleverandøren skal derfor afklares på forhånd, herunder om kontrakten overhovedet tillader, at leverandøren afprøves uden at være orienteret.

Blue team skal også have noget ud af øvelsen. Hvis forsvaret kun oplever den som en eksamen, de ikke vidste, de var oppe til, kan resultatet møde modstand. Det hjælper at fortælle på forhånd, at organisationen øver sig fra tid til anden, og at gennemgangen bagefter handler om processer og værktøjer. → SOC-leverandøren og øvelsen

White team: dommeren med hånden på stopknappen

CNSSI-ordlisten beskriver white team som en lille gruppe med forhåndskendskab til de uanmeldte aktiviteter, som observerer og sikrer, at testen holder sig inden for den aftalte ramme. Den bredere definition tilføjer, at gruppen håndhæver reglerne, løser problemer, svarer på spørgsmål og typisk står for evaluering og lessons learned bagefter. I TIBER-rammerne hedder funktionen kontrolteam og skal holdes så lille som muligt. → White team

White team bør have mandat til at stoppe øvelsen, til at afgøre tvivl om, hvorvidt en hændelse er øvelse eller virkelighed, og til at godkende ændringer i scenariet. Sammensætningen afhænger af scenariet, men den kan omfatte CISO’en eller en stedfortræder, en person med overblik over driften og en kontakt til ledelsen. En leder af gruppen skal kunne træffe beslutninger hurtigt og være til at få fat på. → Lederen af white team

Purple team: når holdene sætter sig sammen

Purple teaming er ikke et fjerde hold med egne folk, men en arbejdsform. Red og blue gennemgår forløbet sammen, gerne trin for trin, for at finde ud af, hvad forsvaret kunne have set, og hvad der skal til for at se det næste gang. TIBER-DK placerer både en genafspilning af forløbet (replay) og en purple teaming-session i afslutningsfasen, efter at red team og blue team har afleveret hver deres rapport. → Purple teaming

Purple teaming kan også bruges som selvstændig øvelse, hvor forsvaret ved besked fra starten. Så måles ikke hverdagens reaktion, men evnen til at forbedre overvågningen i et tæt samarbejde. Valget mellem formerne afhænger af, hvad organisationen har mest brug for at vide.

Grænserne mellem holdene

Holdene fungerer kun, hvis informationen går de rigtige veje. Red team skal have det, scenariet kræver, men ikke fordele, som en modstander ikke ville have. White team skal vide alt, men må ikke afsløre øvelsen over for blue team uden en aftalt grund. Blue team skal arbejde, som det plejer, og skal bagefter have hele forløbet at se.

Et tænkt eksempel: overvågningsleverandøren ringer en fredag aften om en mistænkelig aktivitet på en server i betalingsområdet. Den vagthavende følger beredskabsplanen og kontakter den ansvarlige, som tilfældigvis også sidder i white team. Her skal det være aftalt på forhånd, hvordan white team bekræfter, om aktiviteten hører til øvelsen, uden at stoppe en reaktion, der måske gælder et ægte angreb. Den slags beslutninger kan ikke improviseres. → Roller i TIBER-DK

Det skal I lade være med

At lade white team blive for stort · Hver ekstra person øger risikoen for, at øvelsen siver ud.
At sætte en person i både white og blue team uden en aftale · Dobbeltrollen kræver klare regler for, hvad personen gør ved en alarm.
At glemme overvågningsleverandøren · Leverandøren er en del af forsvaret og skal behandles efter en bevidst beslutning.
At bruge purple teaming som undskyldning for at springe målingen over · Først når forløbet er dokumenteret, giver samarbejdet mening.
At lade red team selv afgøre tvivlsspørgsmål · Holdet udfører; white team beslutter.

Hvad kan og ikke kan konkluderes

En tydelig rollefordeling gør det muligt at læse resultatet korrekt: hvad forsvaret så på egen hånd, hvor white team greb ind, og hvad holdet fik stillet til rådighed. Den siger intet om, hvor godt nogen af holdene klarede sig. Farverne er en organisationsmodel, ikke en kvalitetsstandard, og betegnelserne bruges ikke ens af alle leverandører.

Tjekliste til rollefordelingen

☐ Har hvert hold en navngiven leder og en stedfortræder?
☐ Står white teams beføjelser til at stoppe og ændre øvelsen på skrift?
☐ Er det besluttet, om overvågningsleverandøren er en del af blue team eller orienteret?
☐ Er der en aftalt måde at bekræfte, om en alarm skyldes øvelsen?
☐ Er det planlagt, hvornår blue team får hele forløbet at se?
☐ Er purple teaming eller replay sat i kalenderen efter øvelsen?

Kilder

CSRC Glossary: white team: definitionerne fra CNSSI 4009-2022 af white teams opgaver.
CSRC Glossary: blue team: definitionen af blue team som forsvaret over for et red team.
Danmarks Nationalbank: TIBER-DK Implementation Document: kontrolteam, blue team og eksterne ressourcer, replay og purple teaming i afslutningsfasen.

Senest gennemgået: oktober 2026.