Leg‑up: når white team giver holdet et skub

Et red team har begrænset tid, og det arbejder under regler, som en rigtig modstander ikke har. Derfor kan holdet gå i stå tidligt i et forløb, selv om resten af scenariet stadig er værd at afprøve. Et leg-up er den hjælp, white team giver for at få holdet videre: en adgang, en placering eller en oplysning, som holdet ellers selv skulle have skaffet. Værdien hviler på tre forudsætninger: at hjælpen er planlagt så vidt muligt, at den bliver godkendt af de rette, og at den bliver dokumenteret, så rapporten kan skelne mellem det, holdet nåede selv, og det, det fik.

Begrebet kommer fra TIBER-rammerne, men det kan også bruges i red team-øvelser uden for finanssektoren.

Hvorfor holdet kan få brug for hjælp

En modstander kan bruge måneder på at forberede sig, prøve mange gange og acceptere at blive opdaget af og til. Holdet har et aftalt tidsrum og må ikke skade medarbejdere, drift eller tredjeparter. Det er en bevidst forskel, og den betyder, at holdet kan sidde fast ved vejen ind, selv om en tålmodig modstander ville være kommet igennem. → Grænser for red teaming

TIBER-DK beskriver det sådan, at holdet er begrænset af tid og ressourcer og af moralske, etiske og juridiske grænser, og at det derfor må forventes at få brug for lejlighedsvise leg-ups for at kunne gennemføre et helt forløb ind, igennem og ud. Formålet er at få mest mulig læring ud af en test, der er begrænset i tid.

Hvad et leg-up kan bestå af

Et leg-up beskrives på et niveau, hvor ledelsen kan forstå det. Mulige former er:

En adgang · en konto med almindelige rettigheder, som en nyansat medarbejder ville få.
En placering · et udgangspunkt på kontornettet eller i en bestemt del af organisationen.
Fysisk adgang · at holdet bliver lukket ind i en bygning, så den digitale del kan afprøves.
Information · oplysninger, en modstander kunne have skaffet sig over tid, men som holdet ikke kan nå at indhente.
Et næste trin · hjælp forbi et bestemt punkt i kæden, så de senere trin kan afprøves.

Fælles for dem er, at de springer et stykke af forløbet over. Det overspringte bliver ikke afprøvet. Det er prisen for at nå længere ind. Lockheed Martin beskriver i sin Cyber Kill Chain de trin, en modstander skal gennemføre for at nå sit mål. Med den model i hånden er det let at vise ledelsen, præcis hvilke trin et leg-up har sprunget over, og hvilke der stadig blev afprøvet for alvor. → Angrebsforløb og modeller

Planlagte og ad hoc leg-ups

TIBER-DK skelner mellem to slags. De planlagte står i holdets testplan med en beskrivelse af angrebsvejen, forudsætninger, mulige leg-ups og frister for, hvornår de skal stilles til rådighed. De skal drøftes på forhånd med kontrolteamet og Nationalbankens TIBER-team, så kontrolteamet kan forberede dem i god tid. Ad hoc leg-ups opstår undervejs, når holdet sidder fast et uventet sted, og skal drøftes og godkendes, før de gives.

Skelnen er nyttig uden for TIBER. Et planlagt leg-up kan forberedes uden hast: kontoen kan oprettes, så den ligner andre konti, og ejeren af systemet kan inddrages, hvis det er nødvendigt. Et ad hoc leg-up skal besluttes hurtigt, og der er en risiko for, at det bliver givet for let, fordi tiden løber. Aftal derfor på forhånd, hvem der kan godkende et ad hoc leg-up, og hvilke typer der kræver ledelsens ja. → Lederen af white team

Hvornår et leg-up giver mening

Et leg-up er et værktøj til læring, ikke en redningsplanke for et forløb, der går dårligt. Spørg, før det gives:

Hvad er formålet · hvilke dele af forsvaret skal afprøves, som ellers ikke bliver det?
Hvad springes over · hvilke trin bliver ikke afprøvet, og er det acceptabelt?
Hvad betyder det for målingen · hvordan skal forsvarets reaktion efter leg-uppet læses?
Hvad er alternativet · er et skift til et andet udgangspunkt eller et andet scenarie bedre?

Hvis holdet sidder fast, fordi forsvaret virker, er det i sig selv et resultat. Det skal ikke skjules af et leg-up, men noteres, før hjælpen gives. → Når holdet ikke kommer ind

Et leg-up kan også give mening fra starten. Hvis spørgsmålet bag øvelsen handler om, hvad der sker, når en modstander allerede er inde, kan hele øvelsen begynde med en tildelt adgang. Det er en anden form, assumed breach, hvor udgangspunktet er aftalt fra begyndelsen. → Udgangspunktet ved assumed breach

Sådan dokumenteres et leg-up

Uden dokumentation bliver rapporten misvisende. En læser kan tro, at holdet selv kom forbi et punkt, som white team i virkeligheden åbnede. Hvert leg-up bør noteres med:

Tidspunkt · hvornår det blev besluttet, og hvornår det blev givet.
Indhold · hvad holdet fik, beskrevet så forsvaret kan forstå det.
Begrundelse · hvorfor det blev givet, og hvad der var forsøgt forinden.
Godkendelse · hvem der sagde ja.
Overspringning · hvilke trin i forløbet der derfor ikke blev afprøvet.

I TIBER-DK er leg-ups et fast punkt på de ugentlige statusmøder, både de planlagte og dem, der opstår undervejs. Oplysningerne skal ind i holdets logbog og i tidslinjen, så forsvarets observationer kan læses i den rigtige sammenhæng. → Tidslinjen for red og blue

Det skal I lade være med

At give leg-ups for at redde holdets omdømme · formålet er læring, ikke at holdet når målet.
At give hjælp uden at notere det · så kan resultatet ikke læses korrekt.
At lade et leg-up give mere end nødvendigt · jo mindre der springes over, jo mere bliver afprøvet.
At glemme at notere, hvorfor holdet sad fast · det kan være et af øvelsens vigtigste fund.
At bruge en konto, der skiller sig ud · en tildelt adgang skal ligne en almindelig medarbejders.

Hvad kan og ikke kan konkluderes

Med veldokumenterede leg-ups kan rapporten vise, hvordan forsvaret klarede de senere trin i et forløb, selv om holdet ikke nåede dertil på egen hånd. Den kan ikke vise, om en modstander ville have kommet forbi det punkt, hvor hjælpen blev givet. Et forløb med mange leg-ups siger mere om forsvaret indefra end om evnen til at holde modstandere ude.

Tjekliste til leg-ups

☐ Er mulige leg-ups beskrevet i testplanen?
☐ Er det aftalt, hvem der kan godkende et leg-up undervejs?
☐ Bliver det noteret, hvorfor holdet sad fast, før hjælpen gives?
☐ Er de overspringte trin beskrevet for hvert leg-up?
☐ Fremgår alle leg-ups af tidslinjen og rapporten?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: leg-ups i testplanen med frister, forudgående drøftelse med kontrolteam og TIBER-team, ad hoc leg-ups godkendt undervejs, leg-ups som punkt på statusmøderne og formålet om et helt forløb ind, igennem og ud.
Lockheed Martin, Cyber Kill Chain: kill chain som model for de trin, en modstander skal gennemføre for at nå sit mål.

Senest gennemgået: oktober 2026.