Modstandersimulering: at efterligne en bestemt type angriber

En øvelse, hvor holdet bare forsøger at komme så langt som muligt, siger noget om holdet, men mindre om de angribere, organisationen faktisk står over for. Modstandersimulering, på engelsk adversary emulation, er den del af red teaming, hvor holdet bevidst efterligner en bestemt type modstander: dens mål, dens tålmodighed og den adfærd, den er kendt for. Svaret på, om det giver mening for jer, hviler på, om I har et trusselsgrundlag, der er konkret nok til at bygge en modstander op af.

Begrebet bruges i MITRE ATT&CK-rammen, der beskriver sig selv som et fælles sprog og en ramme, red teams kan bruge til at efterligne bestemte trusler og planlægge deres arbejde. For CISO’en er pointen ikke rammen, men disciplinen: at holdets valg skal kunne begrundes i en beskrevet modstander og ikke i holdets egne vaner.

Hvorfor efterligne en bestemt modstander?

Et forsvar er bygget til at stoppe noget bestemt. Overvågningsregler, rettighedsstyring og beredskabsplaner afspejler, hvad organisationen tror, den er oppe imod. Hvis øvelsen efterligner en anden slags angriber end den, forsvaret er indrettet efter, bliver resultatet svært at bruge. Hvis den efterligner den rigtige, bliver det tydeligt, om forsvarets antagelser holder.

Simuleringen gør også resultatet lettere at forklare. Direktionen forstår bedre en sætning som en økonomisk motiveret gruppe, der går efter betalinger, kom til godkendelsestrinnet uden at blive set, end en liste over tekniske skridt. Modstanderen giver øvelsen en fortælling, som forretningen kan forholde sig til.

En større organisation kan have mere end én relevant modstander. En pensionskasse kan frygte både svindel med udbetalinger og spionage mod investeringsbeslutninger, og de to kræver vidt forskellige øvelser. Vælg den modstander, hvis mål ligger tættest på det, ledelsen har udpeget som vigtigst, og gem de andre til senere øvelser. Et valg mellem modstandere er også et valg mellem de dele af forsvaret, der bliver afprøvet, og det bør derfor træffes bevidst i white team og ikke overlades til leverandøren alene.

Hvad en modstanderprofil skal indeholde

En brugbar profil beskriver på et overordnet niveau, hvem modstanderen er, hvad den vil opnå, og hvordan den foretrækker at arbejde. Den skal være detaljeret nok til at styre holdets valg og overordnet nok til at kunne deles i white team uden at blive en drejebog.

Motiv · økonomisk vinding, spionage, sabotage eller ønsket om at skabe opmærksomhed.
Mål · hvilke funktioner og data en sådan modstander normalt interesserer sig for.
Tålmodighed og ressourcer · om modstanderen foretrækker at arbejde hurtigt og larmende eller langsomt og skjult.
Sandsynlige indgange · beskrevet som kategorier, fx via medarbejdere, leverandører eller internetvendte systemer.
Kendt adfærd · det, der er dokumenteret om modstanderens måde at arbejde på, henvist til kilder.

Profilen kommer fra trusselsefterretning. Den kan være lavet internt, købt hos en specialiseret leverandør eller udarbejdet som en del af øvelsen. → Trusselsefterretning som grundlag

Fortid og fremtid i profilen

En profil, der kun bygger på det, en modstander har gjort tidligere, risikerer at teste gårsdagens angreb. TIBER-DK løser det ved at bede leverandøren af trusselsefterretning om at supplere de dokumenterede elementer med fremadskuende, plausible elementer, men med en tydelig adskillelse mellem det, der er belagt med beviser, og det, der er en hypotese. Rammen tillader også, at højst et af de endelige scenarier ikke er trusselsledet, så nye angrebsformer kan afprøves.

Den adskillelse er værd at kopiere uden for finanssektoren. Den gør det muligt bagefter at sige, om forsvaret stoppede noget, der er set i virkeligheden, eller noget, der kunne komme. Begge dele er nyttige, men de skal ikke blandes sammen i rapporten. → Scenarievalg

Realisme med grænser

Ingen øvelse kan efterligne en modstander fuldstændigt. En rigtig angriber kan have mere tid, tager risici, som et red team ikke må tage, og ignorerer hensyn til drift og mennesker. Øvelsen har spilleregler, fredede områder, en tidsramme og etiske grænser. Det betyder, at simuleringen altid er en tilnærmelse.

Det er vigtigt at sige højt. En CISO, der præsenterer resultatet for bestyrelsen, bør forklare, hvor øvelsen var forsigtigere end en virkelig modstander, og hvad det betyder for konklusionen. Ellers kan et forløb, hvor holdet blev stoppet, blive læst som et bevis på, at den pågældende type angriber ville blive stoppet. → Hvad red teaming ikke kan svare på

Hvad det kræver af holdet

Modstandersimulering stiller andre krav til red team end en bred test. Holdet skal kunne arbejde disciplineret efter en profil, også når en anden vej ville være hurtigere. Det skal kunne dokumentere, hvilke valg der fulgte af profilen, og hvilke der var holdets egne. Og det skal kunne justere tempoet, så det svarer til den modstander, der efterlignes.

Spørg derfor leverandøren, hvordan holdet sikrer, at simuleringen følger profilen, og hvordan afvigelser bliver noteret. Spørg også, hvem der udarbejder profilen, og om det er de samme personer, der gennemfører øvelsen. En adskillelse mellem efterretning og udførelse kan give et mere uafhængigt grundlag. → Red team-holdet

Simulering eller fri øvelse?

Ikke alle øvelser behøver en detaljeret modstander. En mere fri form, hvor holdet arbejder mod et mål med sine egne valg, kan være nyttig, når organisationen vil finde ukendte veje, eller når trusselsbilledet er uklart. Den giver bare et andet resultat: mere om, hvad der er muligt, og mindre om, hvad en bestemt modstander ville gøre. Valget hænger sammen med, hvordan scenariet bygges op. → Scenariebaseret test

Det skal I lade være med

At kalde en øvelse modstandersimulering uden en profil · Uden en beskrevet modstander er der intet at efterligne.
At bruge en profil uden kilder · Antagelser, der ikke kan efterprøves, giver en modstander, der ikke kan forsvares over for ledelsen.
At blande dokumenteret og hypotetisk adfærd · Hold dem adskilt, så resultatet kan læses korrekt.
At glemme øvelsens begrænsninger · Forklar, hvor holdet var mere forsigtigt end en virkelig angriber.
At lade holdet fravige profilen uden at notere det · Afvigelser skal fremgå af logbog og rapport.

Hvad kan og ikke kan konkluderes

En simulering kan vise, hvordan forsvaret reagerede på adfærd, der ligner en bestemt type modstander, under de aftalte forhold. Den kan ikke vise, hvordan den rigtige modstander ville klare sig, og den siger intet om andre typer angribere. Konklusionen gælder også kun det trusselsbillede, profilen byggede på på det tidspunkt.

Tjekliste før en modstandersimulering

☐ Findes der en skriftlig profil med motiv, mål og kendt adfærd?
☐ Er kilderne bag profilen angivet?
☐ Er dokumenterede og fremadskuende elementer holdt adskilt?
☐ Er øvelsens begrænsninger i forhold til en virkelig modstander beskrevet?
☐ Har leverandøren forklaret, hvordan holdet følger profilen?
☐ Er det aftalt, hvordan afvigelser fra profilen dokumenteres?

Kilder

MITRE ATT&CK: Adversary Emulation and Red Teaming: ATT&CK som fælles sprog og ramme til at efterligne bestemte trusler og planlægge arbejdet.
Danmarks Nationalbank: TIBER-DK Implementation Document: trusselsscenarier skrevet fra angriberens synsvinkel, adskillelse af dokumenterede og fremadskuende elementer og højst et scenarie, der ikke er trusselsledet.

Senest gennemgået: oktober 2026.