Inddæmning under øvelsen: må blue team lukke ned?

Når forsvaret opdager holdet og vurderer aktiviteten som et angreb, er det naturlige næste skridt at begrænse skaden: spærre en konto, isolere en maskine, blokere forbindelser eller tage et system ud af drift. Det er netop den reaktion, en øvelse skal kunne måle. Men nogle former for inddæmning rammer forretningen hårdere end selve øvelsen, og enkelte kan ikke gøres om. Svaret på titlens spørgsmål er derfor et ja med forbehold. Det hviler på en aftale før start, der skelner mellem den inddæmning, der skal have lov at ske, den, white team skal vurdere først, og den, der aldrig må ske på grund af en øvelse.

Inddæmning er en del af det, der måles

Cybersecurity Framework 2.0 fra NIST placerer inddæmning under incident mitigation, hvor formålet er at forhindre, at en hændelse breder sig, og at begrænse virkningerne. For finansielle virksomheder under DORA indgår det i artikel 11, stk. 2, litra c, at der hurtigt skal kunne aktiveres planer for inddæmningsforanstaltninger, der passer til de enkelte typer hændelser.

En øvelse, hvor forsvaret aldrig får lov at inddæmme, måler kun halvdelen af reaktionen. Spørgsmålet er ikke kun, om forsvaret så holdet, men også om det kunne stoppe det, og om indgrebet var rettet mod det rigtige. Udgangspunktet bør derfor være, at forsvaret reagerer, som det plejer, og at white team kun griber ind, når reaktionen bliver uforholdsmæssig. → Opdagelse, eskalering og reaktion

Tre kategorier af reaktion

Det er nyttigt at dele de mulige reaktioner i tre kategorier og skrive dem ind i rules of engagement:

Frit · afgrænsede indgreb med begrænset følge for driften, fx at spærre en konto, nulstille adgangskoder for berørte brugere, isolere en enkelt arbejdsstation eller blokere en ekstern adresse.
Efter samråd · indgreb, der kan ramme flere brugere eller en forretningsfunktion, fx at isolere en server, afbryde forbindelsen til en leverandør eller lukke en tjeneste for en kortere periode. White team skal have mulighed for at vurdere dem, før de gennemføres.
Aldrig på grund af øvelsen · indgreb, der rammer kunder, sikkerhed eller kritiske funktioner, eller som ikke kan gøres om, fx at lukke betalingsflowet, slette data eller genetablere systemer fra backup.

Hvor grænserne går, afhænger af organisationens systemer og robusthed. Et tænkt eksempel: et pensionsselskab tillader frit, at forsvaret isolerer enkelte maskiner, men kræver samråd, før forbindelsen til administrationsleverandøren afbrydes, fordi det stopper udbetalingerne. De systemer, der er fredet i øvelsen, giver et godt udgangspunkt for den sidste kategori. → Fredede områder

Sådan griber white team ind uden at afsløre alt

Hvis forsvaret står over for et indgreb i den midterste eller sidste kategori, skal white team kunne påvirke beslutningen. Det kræver, at white team hører om den i tide, og at der er aftalt en måde at gribe ind på. TIBER-DK, Nationalbankens ramme for regulerede test, siger, at kontrolteamet om nødvendigt skal inddæmme den eskalering, der følger af en opdagelse. Uden for de regulerede rammer er der tre mulige veje:

Udsættelse · en person i white team med en naturlig rolle i hændelseshåndteringen beder om, at indgrebet venter, mens situationen vurderes.
Kontrolleret afsløring · den, der skal træffe beslutningen, får at vide, at forløbet er en øvelse, og beslutter, hvad der ville være sket.
Simuleret indgreb · beslutningen træffes og noteres med tidspunkt, men gennemføres ikke. I målingen tæller den som en beslutning.

Den sidste vej er særligt nyttig ved indgreb, der ville ramme kunderne. Den bevarer målingen af beslutningen uden at lade øvelsen få virkninger uden for organisationen. Aftal på forhånd, hvordan et simuleret indgreb noteres, og hvem der bekræfter det, så det ikke bliver en efterrationalisering, når øvelsen er slut. → Lederen af white team

Holdet og inddæmningen

Inddæmningen påvirker også holdet. Hvis forsvaret afbryder holdets adgang, skal det være aftalt, om holdet må forsøge at genvinde den, eller om det skal trække sig og vente på white teams beslutning. Begge dele kan være meningsfulde. Det første afprøver, om forsvaret ryddede grundigt op. Det andet giver white team ro til at vælge det næste skridt. Det skal under ingen omstændigheder være op til holdet selv at beslutte det i situationen. → Rules of engagement

Det samme gælder, hvis forsvarets indgreb rammer holdets egen infrastruktur uden for organisationen. Holdet skal acceptere det som en del af øvelsen og melde til white team, hvis det har betydning for, om scenariet kan gennemføres. → Når blue team opdager holdet

Når inddæmningen rammer kolleger

Inddæmning kan ramme medarbejdere, der intet har gjort. En konto, holdet har brugt, tilhører en kollega, som pludselig ikke kan arbejde. En maskine, der isoleres, står på et skrivebord. Planlæg derfor, hvordan berørte medarbejdere får hjælp og hurtigt kan arbejde igen, uden at øvelsen afsløres unødigt. Servicedesken skal kunne hjælpe som ved en almindelig hændelse. Når øvelsen er afsløret, bør de berørte få en forklaring, så ingen går rundt med en oplevelse af at have været mistænkt. → Medarbejderhensyn

Efter øvelsen: hvad skal blive, og hvad skal fjernes?

Forsvarets indgreb under øvelsen efterlader ændringer: spærrede konti, blokerede adresser, ændrede regler og isolerede maskiner. Nogle af dem er forbedringer, der bør blive. Andre var kun relevante for holdets forløb og kan fjernes. Gennemgå dem sammen med oprydningen efter holdet, så miljøet ikke ender i en tilstand, ingen har besluttet. → Oprydning efter øvelsen

Det skal I lade være med

At forbyde al inddæmning · så måles kun halvdelen af reaktionen.
At lade alle indgreb være tilladt · nogle koster mere end øvelsen er værd.
At aftale grænserne mundtligt · de skal stå i rules of engagement.
At lade holdet beslutte, om det må genvinde adgang · det er white teams beslutning.
At glemme de kolleger, der rammes · de skal kunne arbejde igen og have en forklaring.
At efterlade forsvarets ændringer uden gennemgang · nogle skal blive, andre fjernes.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om forsvaret kunne inddæmme holdets aktivitet, hvor hurtigt det skete, og om indgrebet ramte det rigtige. Simulerede og udsatte indgreb viser beslutningen, men ikke om den kunne være gennemført i praksis. Det er en afprøvning af vilje og vurdering, ikke af den tekniske evne til at gennemføre indgrebet.

Tjekliste til inddæmning

☐ Er reaktionerne delt i frit, efter samråd og aldrig på grund af øvelsen?
☐ Ved white team, hvordan det hører om større indgreb i tide?
☐ Er det aftalt, hvilke veje white team bruger til at gribe ind?
☐ Står det i rules of engagement, om holdet må genvinde en afbrudt adgang?
☐ Kan servicedesken hjælpe berørte kolleger uden at afsløre øvelsen?
☐ Er forsvarets ændringer med i gennemgangen efter øvelsen?

Kilder

Cybersecurity Framework 2.0, CSWP 29: inddæmning af hændelser under incident mitigation (RS.MI-01).
DORA, forordning (EU) 2022/2554: artikel 11, stk. 2, litra c, om planer for inddæmningsforanstaltninger.
Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamets ansvar for at inddæmme eskaleringen efter en opdagelse.

Senest gennemgået: oktober 2026.