Længerevarende angrebssimulering: hvorfor tiden er en del af testen

En kort øvelse kan vise, om en enkelt handling bliver opdaget, men den kan ikke vise, hvordan forsvaret klarer sig, når en modstander arbejder roligt over uger. Svaret hviler på, at tid ændrer både angriberens muligheder og forsvarets chancer: en lang øvelse afprøver vedholdende opmærksomhed, opfølgning på svage signaler og evnen til at samle spor, der hver for sig ser harmløse ud.

Derfor er varigheden ikke en praktisk detalje i tilbuddet. Den er en del af det spørgsmål, øvelsen skal besvare. Når sikkerhedsfunktionen bestiller en længerevarende angrebssimulering, bestiller den også en bestemt slags måling.

Det, en lang øvelse kan vise

En modstander med et klart mål har ikke nødvendigvis travlt. Den kan vente på et skift i vagtplanen, på en ferieperiode eller på, at en adgang bliver glemt. En øvelse over længere tid giver mulighed for at efterligne den adfærd og dermed afprøve noget, som en koncentreret test ikke når.

Det handler blandt andet om:

Vedholdenhed · bliver lavfrekvent aktivitet over tid opfanget, eller drukner den i den daglige støj?
Sammenkædning · kan analytikerne forbinde enkeltobservationer fra forskellige uger til ét forløb?
Overdragelse · overlever en mistanke vagtskifte, ferie og skift af sagsbehandler?
Organisatoriske ændringer · hvad sker der, når systemer, roller eller leverandører ændres midt i perioden?

Det er netop i de overgange, at et forsvar kan miste tråden. En lang øvelse gør dem synlige. → Det, red teaming afprøver, som en pentestrapport ikke viser

Varighed er en beslutning, ikke en standard

Der findes intet universelt svar på, hvor lang en øvelse skal være. Varigheden skal udledes af formålet, af det scenarie, I har valgt, og af den modstander, øvelsen skal ligne. En øvelse om en bestemt forretningsproces kan være kortere end en øvelse, der skal afprøve forsvaret af flere kronjuveler. → Målet for øvelsen

Til sammenligning fastsætter Nationalbankens implementeringsdokument for TIBER-DK, at den aktive testfase i en TIBER-DK-test altid strækker sig over mindst tolv uger, og at hele forløbet med forberedelse og afslutning planlægges over omkring 60 uger. Det tal gælder den regulerede ramme for udpegede finansielle virksomheder. Det er ikke en målestok for andre øvelser, men det viser, at realistisk modstandersimulering i den ramme betragtes som et forløb over måneder.

Spørg derfor leverandøren, hvordan den foreslåede periode hænger sammen med scenariet. Et svar, der kun handler om kalenderen, er for tyndt.

Planlægning over flere måneder

En lang øvelse stiller andre krav til planlægningen end en kort. White team skal kunne følge forløbet hele vejen, også når nøglepersoner holder ferie. Det kræver stedfortrædere, faste statusmøder og en klar aftale om, hvem der træffer beslutninger, hvis noget uventet sker. → White team

Planen bør også tage højde for kendte begivenheder i perioden. Det kan være en systemmigrering, en regnskabsafslutning, en revision eller et skift af driftsleverandør. Nogle af dem kan gøre øvelsen mere realistisk. Andre kan gøre den for risikabel og bør føre til pause eller udelukkelse.

Aftal på forhånd, hvordan øvelsen inddeles. En mulighed er at vælge faser med tydelige milepæle, så ledelsen kan se fremdrift uden at blive informeret om detaljer, der kan afsløre øvelsen. → Faserne i en red team-øvelse

Hvad der skal måles undervejs

En lang øvelse giver mulighed for at måle udvikling og ikke kun enkeltøjeblikke. Aftal derfor før start, hvilke målepunkter white team skal notere løbende. Det kan være, hvornår en handling første gang gav et spor i overvågningen, hvornår sporet blev set af en analytiker, og hvornår det blev eskaleret. → Tid til opdagelse og tid til reaktion

Notér også det, der ikke skete. Hvis blue team undersøgte en mistanke og lukkede den igen, er det en vigtig oplysning om beslutningsgrundlaget og ikke en fejl at skjule. Over flere måneder kan sådanne afsluttede mistanker vise et mønster, som en kort test aldrig ville afdække.

Hold målepunkterne få og stabile. Skifter I definitioner midt i perioden, kan tidslinjen ikke sammenlignes med sig selv bagefter.

Risiko, der vokser med tiden

Jo længere en øvelse varer, jo flere ting kan gå galt. Adgange, holdet har opnået, skal holdes under kontrol i hele perioden. Der er større risiko for, at øvelsen forveksles med en reel hændelse, og at nogen uden for white team opdager, at der foregår noget usædvanligt.

Det betyder ikke, at lange øvelser er farligere i sig selv. Det betyder, at risikostyringen skal være lige så vedholdende som angrebet. Stopregler, kontaktlister og logbog skal holdes opdaterede, og white team skal løbende kunne se, hvor holdet står. → Stopregler

En særlig risiko er hemmeligholdelsen. Over mange uger vokser sandsynligheden for, at viden om øvelsen spreder sig. Begræns kredsen, brug et kodenavn, og aftal, hvad der sker, hvis øvelsen bliver kendt for tidligt.

Når I bestiller en længerevarende øvelse

En lang øvelse kræver mere af leverandøren end tid. Holdet skal kunne arbejde disciplineret over en lang periode, dokumentere hvert skridt og holde sig inden for rammerne, selv når det er fristende at gå en genvej. Nielco IT tilbyder blandt andet længerevarende angrebssimulering, og større opgaver løses med tilknyttede konsulenter, der arbejder i Nielco IT’s regi.

Spørg til:

Bemanding · hvem er på holdet i hele perioden, og hvad sker der ved fravær?
Dokumentation · hvordan føres logbogen, så tidslinjen kan genskabes bagefter?
Rapportering undervejs · hvad får white team at vide, og hvor ofte?
Afslutning · hvordan fjernes adgange og spor, når perioden er slut?

Varighed, bemanding og antal scenarier er blandt de forhold, der bestemmer omfanget. Læs mere under pris og tilbud.

Det skal I lade være med

At vælge varighed efter budgettet alene · perioden skal passe til scenariet, ellers måler øvelsen noget andet end det, I spørger om.
At glemme ferier og spidsbelastninger · white team skal være bemandet hele vejen.
At lade adgange ligge ukontrolleret · alt, holdet opnår, skal kunne følges og fjernes.
At sammenligne direkte med en TIBER-DK-test · den regulerede ramme har egne krav, som ikke gælder andre øvelser.
At bede om løbende fuld rapportering til mange · det svækker hemmeligholdelsen og dermed resultatet.

Hvad kan og ikke kan konkluderes

En længerevarende øvelse kan vise, hvordan forsvaret håndterede en tålmodig modstander i et bestemt scenarie og i en bestemt periode. Den kan ikke vise, at forsvaret ville klare en anden modstander eller et andet tidspunkt lige så godt. At holdet ikke blev opdaget over mange uger, er et vigtigt resultat, men det er ikke en måling af hele organisationens sikkerhed.

Tjekliste før en lang øvelse

☐ Er varigheden begrundet i formål og scenarie?
☐ Er white team bemandet med stedfortrædere i hele perioden?
☐ Er kendte begivenheder i perioden vurderet?
☐ Er stopregler og kontaktlister aftalt og opdateret?
☐ Er det aftalt, hvordan holdets adgange holdes under kontrol?
☐ Er der en plan for, hvad der sker, hvis øvelsen bliver kendt?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: den aktive testfase i en TIBER-DK-test varer mindst tolv uger; hele forløbet planlægges over omkring 60 uger.

Senest gennemgået: oktober 2026.