MITRE ATT&CK i red teaming: rammen bag rapport og måling

Efter en red team-øvelse kan sikkerhedsfunktionen stå med to beretninger, der ikke passer sammen: holdets logbog og forsvarets alarmer, skrevet i hver sit sprog. MITRE ATT&CK kan bygge bro mellem dem. Rammen er et offentligt katalog over modstanderes taktikker og teknikker, og når både red og blue sætter deres beretning ind i samme katalog, bliver det muligt at se, hvad der blev set, og hvad der ikke blev. Svaret på, hvad ATT&CK kan i en øvelse, hviler på den fælles struktur, ikke på indholdet af de enkelte teknikker.

MITRE beskriver selv ATT&CK som en globalt tilgængelig vidensbase om modstanderes taktikker og teknikker baseret på observationer fra virkeligheden. Rammen nævner fire anvendelser: opdagelse og analyse, trusselsefterretning, modstandersimulering og red teaming samt vurdering af egne evner. En øvelse kan berøre dem alle.

Taktikker og teknikker i almindelige ord

Rammen er bygget op som en matrix. Kolonnerne er taktikker, det vil sige de overordnede formål, en modstander kan have på et givet tidspunkt, fx at få fodfæste eller at hente data ud. Under hver taktik står teknikker, som beskriver måder at nå formålet på. Hver teknik har et fast id, så den kan henvises til entydigt.

For en CISO er detaljerne mindre vigtige end princippet. Taktikkerne giver et overblik, ledelsen kan forstå. Teknikkerne giver en præcision, forsvaret kan arbejde med. Og id’erne gør det muligt at sammenligne på tværs af øvelser, leverandører og år.

Rammen opdateres løbende, og både taktikker og teknikker kan få nye navne eller blive delt op. Notér derfor, hvilken version af ATT&CK en øvelse brugte, så en sammenligning senere ikke falder på, at kataloget har ændret sig. Det er en lille detalje, men den sparer tid, når næste øvelse skal holdes op mod den forrige.

ATT&CK i planlægningen

I planlægningen bruges rammen til at beskrive den modstander, der skal efterlignes. Trusselsefterretningen kan pege på, hvilke taktikker og teknikker en bestemt type angriber er kendt for at bruge, og white team kan se, hvilke dele af forsvaret scenariet derfor vil udfordre. → Modstandersimulering

TIBER-DK gør det til en fast del af processen. Leverandøren af trusselsefterretning udfylder en ATT&CK-skabelon med de teknikker, de valgte modstandere er kendt for eller forventes at bruge. Red team udfylder skabelonen videre under testen, og blue team får den fuldt udfyldte skabelon sammen med red team-rapporten i afslutningsfasen. Skabelonen følger altså øvelsen fra efterretning til læring.

Uden for TIBER-rammen kan samme greb bruges i mindre skala. Bed leverandøren om at levere holdets handlinger kortlagt i rammen som en del af rapporten, og aftal på forhånd, at blue team får kortet. Så er der et fælles udgangspunkt, når holdene mødes bagefter, og en struktur, som overvågningsleverandøren kan arbejde videre med i sit eget system.

ATT&CK i målingen

Efter øvelsen kan holdets handlinger kortlægges i rammen. Ved siden af noterer blue team, hvilke af handlingerne der blev set, hvilke der udløste en alarm, og hvilke der blev eskaleret. Resultatet er et kort over, hvor forsvaret havde synlighed i netop dette forløb. → Detektionsdækning

Kortet er nyttigt, fordi det kan gøres op mod det, forsvaret troede, det kunne se. Forsvaret har en antagelse om, hvilke teknikker overvågningen dækker, og den står måske i en kontrakt med overvågningsleverandøren. Øvelsen viser, om forventningen holdt i praksis. Forskellen mellem forventet og faktisk dækning kan være en af de mest brugbare iagttagelser. → Blue team-rapporten

ATT&CK i rapporten og over tid

Når rapporten bruger ATT&CK-id’er, kan den læses af andre end dem, der deltog. En overvågningsleverandør kan tage id’erne og kontrollere sine regler. En intern revision kan se, hvilke dele af kataloget der blev afprøvet. Og den næste øvelse kan bygge videre på samme kort. → Måling over tid

Over flere øvelser kan kortene lægges sammen. Det giver ikke et fuldt billede af forsvaret, men det viser, hvilke områder der er afprøvet flere gange, hvilke der aldrig er blevet det, og om synligheden er blevet bedre. Det er et mere ærligt grundlag for ledelsesrapportering end et samlet tal. → Nøgletal til ledelsen

Fælles sprog i purple teaming

Rammen er særlig nyttig, når red og blue sætter sig sammen efter øvelsen. I stedet for at diskutere, hvad holdet præcis gjorde, kan de pege på et id og spørge: hvad burde vi have set her, og hvad skal der til? Samtalen bliver kortere og mere præcis, og forbedringerne kan noteres direkte i samme struktur. → Purple teaming

Hvor rammen ikke rækker

ATT&CK beskriver modstanderes adfærd. Den beskriver ikke organisationens processer, beslutninger eller samarbejde med leverandører. Hvis en alarm blev set, men ikke eskaleret, viser kortet en grøn markering for opdagelse, selv om kæden brast bagefter. Rapporten skal derfor supplere kortet med en beskrivelse af eskalering og reaktion. Det gælder også de dele af øvelsen, der handlede om mennesker og bygninger, som kun delvist passer ind i et teknisk katalog.

Rammen er også bred. En øvelse afprøver kun en lille del af kataloget, og en markering betyder kun, at netop den variant blev set i netop det forløb. Andre måder at udføre samme teknik på kan gå ubemærket hen. Et farvelagt kort kan derfor se mere betryggende ud, end det er. → Angrebsforløb og kill chain

Det skal I lade være med

At bruge kataloget som indkøbsliste for holdet · Teknikkerne skal følge af modstanderprofilen, ikke af ønsket om at dække mange felter.
At læse en grøn markering som fuld dækning · Den gælder én variant i ét forløb.
At nøjes med kortet · Eskalering, beslutninger og samarbejde skal beskrives ved siden af.
At skifte struktur fra øvelse til øvelse · Sammenligning kræver, at samme ramme bruges hver gang.
At gemme kortet hos red team · Blue team og overvågningsleverandøren skal have det for at kunne bruge det.

Hvad kan og ikke kan konkluderes

En kortlægning i ATT&CK kan vise, hvilke af de afprøvede teknikker forsvaret så og ikke så i et bestemt forløb, og hvordan synligheden udvikler sig over flere øvelser. Den kan ikke vise, at forsvaret dækker en teknik generelt, og den siger intet om processer og beslutninger. Kortet er et udsnit, ikke en certificering.

Tjekliste til brugen af ATT&CK

☐ Er det aftalt, at efterretning, holdets logbog og forsvarets observationer kortlægges i samme ramme?
☐ Følger de valgte teknikker af modstanderprofilen?
☐ Får blue team og overvågningsleverandøren det udfyldte kort?
☐ Suppleres kortet af en beskrivelse af eskalering og reaktion?
☐ Gemmes kortet, så det kan sammenlignes med næste øvelse?

Kilder

MITRE ATT&CK: vidensbasen om modstanderes taktikker og teknikker baseret på observationer fra virkeligheden.
MITRE ATT&CK: Resources: de fire anvendelser, herunder modstandersimulering og red teaming samt vurdering af egne evner.
Danmarks Nationalbank: TIBER-DK Implementation Document: ATT&CK-skabelonen, som efterretningsleverandøren og red team udfylder, og som blue team modtager i afslutningsfasen.

Senest gennemgået: oktober 2026.