Hvad er red teaming? En øvelse i at opdage og stoppe en målrettet modstander

En sikkerhedsfunktion kan kende sine sårbarheder fra år til år og alligevel ikke vide, om et sammenhængende angreb ville blive set i tide. Red teaming er en aftalt øvelse, hvor et hold med tilladelse efterligner en bestemt slags modstander mod et mål, som organisationen selv har udpeget, mens forsvaret arbejder, som det plejer. Svaret hviler på fire elementer: et mål, en modstander, et scenarie og en måling af opdagelse og reaktion.

Den amerikanske CNSSI-ordliste, som NIST gengiver, beskriver et red team som en gruppe, der er autoriseret og organiseret til at efterligne en mulig modstanders evner. Formålet er ifølge samme definition at forbedre forsvaret ved at vise følgerne af et vellykket angreb og ved at vise, hvad der virker for forsvarerne. Den sidste halvdel er det, der adskiller øvelsen fra en liste over fund.

Fire byggesten

Målet · det, en modstander ville have: adgang til betalingsflowet, direktionens mail eller kunderegistret. Målet gør øvelsen til et spørgsmål, der kan besvares. → Målet for øvelsen
Modstanderen · en beskrevet type angriber med motiv og sandsynlig adfærd, beskrevet på et overordnet niveau. Beskrivelsen hviler på trusselsefterretning frem for gætværk. → Trusselsefterretning som grundlag
Scenariet · udgangspunkt, forløb og grænser, aftalt og godkendt på forhånd.
Målingen · hvad forsvaret så, hvornår det blev set, hvem der eskalerede, og hvilke beslutninger der fulgte.

Mangler en af de fire, bliver resultatet svært at bruge. Uden mål er der intet at stoppe. Uden måling står organisationen tilbage med en fortælling om, at holdet kom ind, men uden viden om, hvad forsvaret gjorde undervejs.

Hvem deltager?

En øvelse involverer tre parter. Red team gennemfører forløbet. Blue team er forsvaret: SOC, IT-drift, beredskab og eventuelt en ekstern overvågningsleverandør. White team er den lille kontrolgruppe, der kender til øvelsen, styrer den og kan stoppe den. Når red og blue bagefter gennemgår forløbet sammen for at lære af det, kaldes samarbejdet purple teaming. → Holdene i øvelsen

I TIBER-EU, den europæiske ramme for trusselsbaseret etisk red teaming i finanssektoren, hedder kontrolgruppen kontrolteam, og forsvaret kender ikke på forhånd til testen. Betegnelserne skifter altså mellem rammer og leverandører. Det afgørende er, at rollerne, beføjelserne og kontaktvejene står på skrift, før noget går i gang.

Hvad organisationen får ud af det

En øvelse viser forsvaret som en kæde frem for en række enkeltdele. Overvågningen så måske et usædvanligt login, men alarmen nåede aldrig en person med mandat til at handle. Eller holdet blev standset tidligt, og spørgsmålet bliver så, om det skyldtes en rutine, der virker, eller et heldigt sammentræf. Den slags iagttagelser står ikke nødvendigvis i en almindelig testrapport. → Det, red teaming afprøver

Resultatet kan bruges på tre måder. Det peger på huller i overvågning og logning. Det viser, hvor eskalering og beredskab skal justeres. Og det giver direktionen et konkret billede af, hvordan en målrettet hændelse kunne udvikle sig hos netop jer. TIBER-EU understreger selv, at testene ikke ender med bestået eller dumpet, men skal belyse styrker og svagheder.

Forløbet har groft sagt tre dele. I forberedelsen aftales mål, scenarie, spilleregler og white team, og de nødvendige tilladelser indhentes. Under selve øvelsen arbejder holdet efter planen, mens white team følger med og griber ind, hvis drift eller mennesker kommer i klemme. I afslutningen lægges holdets handlinger op mod forsvarets observationer, så det bliver tydeligt, hvor kæden holdt, og hvor den brast. Det kan være i den sidste del, at den egentlige læring opstår, og den del bør derfor have lige så meget plads i planen som de to første. → Faserne i en red team-øvelse

Hvornår giver en øvelse mening?

Red teaming kræver noget at afprøve. Der skal være en funktion, der overvåger og reagerer, og de mest åbenlyse svagheder bør være kendte og under behandling. Ellers bruger holdet sin tid på at bekræfte forhold, som en almindelig penetrationstest ville have fundet hurtigere. Forskellen på de to ydelser er forklaret for købere generelt på penetrationtest.dk.

Organisationen skal også kunne tåle et ærligt resultat. En øvelse, der kun må lykkes, eller som på forhånd er dømt til at mislykkes, giver ingen ny viden. Ledelsen skal være indstillet på, at resultatet kan pege på processer og ansvar og ikke kun på teknik. Et godt tegn er, at sikkerhedsfunktionen allerede kan beskrive, hvilke hændelser den forventer at opdage, og hvem der skal handle, når det sker. Så har øvelsen en hypotese at afprøve. Modenheden kan vurderes, før der bestilles. → Er organisationen klar til red teaming?

Den regulerede udgave i finanssektoren

For finansielle virksomheder findes en særlig form. DORA, forordning (EU) 2022/2554, kræver trusselsledet penetrationstest (TLPT) af de virksomheder, myndighederne udpeger. I Danmark sker den slags test efter TIBER-DK, som Danmarks Nationalbank koordinerer, og en TIBER-DK-test gælder ifølge Nationalbanken som en DORA-TLPT. → TIBER-DK forklaret

Red teaming uden for den ramme er en anden ydelse. Den kan give mening som supplement, også i en bank eller et forsikringsselskab, men den tæller ikke som TLPT og bør ikke beskrives sådan. Nielco IT tilbyder red teaming med social engineering, fysisk adgang og længerevarende angrebssimulering, men er ikke udbyder under TIBER-DK eller DORA-TLPT.

Det skal I lade være med

At bestille et navn frem for et formål · Skriv det spørgsmål, øvelsen skal besvare, før omfanget drøftes.
At springe white team over · Nogen med mandat skal kunne stoppe forløbet og skelne øvelsen fra en ægte hændelse.
At måle succes på, om holdet kom ind · Værdien ligger i, hvad forsvaret så og gjorde undervejs.
At lade hele organisationen kende datoen · Et advaret forsvar viser opmærksomhed, ikke hverdagens reaktion.
At kalde en øvelse TLPT · Kun en test inden for den regulerede ramme kan bruges som TLPT.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan vise, hvordan et bestemt scenarie mod et bestemt mål forløb under de aftalte forhold, og hvor forsvaret opdagede, eskalerede eller overså. Den kan ikke vise, at andre veje til målet er lukkede, eller at forsvaret reagerer på samme måde næste gang. Ét forløb er et udsnit, ikke en samlet vurdering af sikkerheden. → Hvad red teaming ikke kan svare på

Tjekliste før den første samtale med en leverandør

☐ Står det spørgsmål, øvelsen skal besvare, i én sætning?
☐ Er et mål udpeget, som ledelsen genkender som vigtigt?
☐ Findes der en funktion, der skal opdage og reagere?
☐ Er det besluttet, hvem der sidder i white team?
☐ Er det afklaret, om en reguleret ramme gælder for organisationen?
☐ Er der afsat tid og folk til at bruge resultatet bagefter?

Kilder

NIST CSRC Glossary: red team: definitionen fra CNSSI 4009-2022 om at efterligne en mulig modstander og vise, hvad der virker for forsvarerne.
ECB: TIBER-EU: rammen, rollerne og at testene ikke giver bestået eller dumpet.
Danmarks Nationalbank: TIBER-DK/TLPT: Nationalbankens rolle, og at en TIBER-DK-test gælder som DORA-TLPT.
DORA, forordning (EU) 2022/2554: artikel 26 om trusselsledet penetrationstest.

Senest gennemgået: oktober 2026.