Øvelse eller rigtigt angreb? Sådan holdes de adskilt

Under en skjult red team-øvelse kan forsvaret se aktivitet, der kan stamme fra holdet, fra en rigtig angriber eller fra begge. Adskillelsen hviler på en aftalt procedure, hvor white team kan sammenholde det, forsvaret ser, med holdets egen dokumentation og give et svar uden at afsløre øvelsen unødigt. På engelsk kaldes det deconfliction. Uden proceduren risikerer organisationen to fejl: at stoppe en reaktion mod et ægte angreb, fordi nogen tror, det er øvelsen, eller at sætte et fuldt beredskab i gang mod noget, der var planlagt.

Begge fejl er dyre. Den første kan koste data og drift. Den anden koster tillid, tid og i værste fald henvendelser til kunder eller myndigheder om noget, der aldrig var en hændelse.

To forløb, der kan ligne hinanden

En red team-øvelse er bygget til at ligne et rigtigt angreb. Det er hele pointen. Men det betyder også, at forsvaret ikke kan se forskel, og at white team heller ikke altid kan det uden at slå op. Hvis holdet og en ægte angriber er aktive i samme periode, kan sporene blande sig.

Der er et ekstra hensyn. En modstander, der får kendskab til en planlagt øvelse, kan forsøge at gemme sig bag den. Hvis organisationen har en vane med at afskrive mistænkelig aktivitet som “nok bare testen”, har den skabt et skjulested. Adskillelsen skal derfor gå begge veje: den skal bekræfte øvelsen, og den skal kunne afvise, at noget hører til den.

Grundreglen: alt er ægte, indtil det modsatte er bekræftet

Forsvaret skal arbejde, som det plejer. Det betyder, at enhver mistanke behandles som en mulig hændelse og eskaleres efter den almindelige beredskabsplan. Det er white team, der griber ind, ikke blue team, der holder igen. → Beredskabsplanen i øvelsen

Når en eskalering når en person i white team, er spørgsmålet ikke, om det føles som øvelsen, men om det kan dokumenteres. Kun en bekræftelse mod holdets logbog og den aftalte plan tæller. Hvis der er tvivl, fortsætter reaktionen, og white team arbejder videre med afklaringen parallelt.

Det, white team skal have adgang til

Proceduren virker kun, hvis white team kan svare hurtigt. Det kræver, at nogle ting er på plads, før den aktive test begynder.

Holdets logbog · løbende opdateret med tidspunkter, udgangspunkter og de systemer, holdet har berørt, så den kan holdes op mod en alarm.
Aftalte kendetegn · oplysninger, som white team kan bruge til at genkende holdets aktivitet, uden at blue team kender dem.
En sikker kontaktvej · en kanal mellem white team og holdets leder, som ikke går gennem systemer, blue team overvåger eller administrerer.
Svartid · en aftale om, hvor hurtigt holdet skal bekræfte eller afkræfte, også uden for arbejdstid.
Stedfortrædere · mindst én person i white team, der kan svare, når lederen ikke kan. → Lederen af white team

TIBER-DK beskriver, hvordan kontrolteamet skal sikre sig at blive informeret om enhver opdagelse af testen, både fra egne medarbejdere og fra relevante IKT-leverandører, og om nødvendigt inddæmme den eskalering, der følger. Kravene gælder en TIBER-test, men behovet er det samme i enhver skjult øvelse.

Sådan forløber en afklaring

Proceduren bør kunne stå på en side og være kendt af alle i white team. Et forløb kan se sådan ud:

Eskaleringen modtages · en person i white team bliver kontaktet i sin almindelige rolle, fx som ansvarlig for beredskabet.
Oplysningerne samles · tidspunkt, system, konti og hvad forsvaret har gjort indtil nu.
Holdet spørges · via den sikre kanal, med en kort beskrivelse af det observerede.
Svaret holdes op mod logbogen · white team vurderer, om holdets forklaring dækker alt det observerede eller kun en del.
Beslutningen træffes · øvelse, ikke øvelse eller uafklaret. Uafklaret behandles som ikke øvelse.
Afklaringen noteres · hvem spurgte, hvornår, hvad blev besluttet, og hvordan reaktionen blev håndteret.

Det sidste punkt er ikke administration for sin egen skyld. Hver afklaring er et målepunkt: den viser, at forsvaret så noget, hvor hurtigt det nåede op i eskaleringen, og hvad der skete bagefter. → Tidslinjen for red og blue

Hvis holdets forklaring ikke dækker det observerede, er øvelsen ikke længere det vigtigste. Så gælder reglerne for en reel hændelse. → En ægte hændelse midt i øvelsen

Dækhistorier og kontrolleret afsløring

Når forsvaret har opdaget holdets aktivitet, står white team over for et valg. Skal reaktionen have lov at fortsætte, så den kan måles? Skal den bremses, så øvelsen kan fortsætte? Eller skal en enkelt person indvies?

TIBER-DK forventer, at kontrolteamet har forberedt troværdige dækhistorier på forhånd, så testens fortrolighed kan bevares, hvis blue team opdager den. Det er en nyttig tanke også uden for TIBER. En dækhistorie kan være en forklaring, der får en eskalering til at lande et sted, hvor white team har kontrollen, uden at det kræver en løgn om sikkerheden. Den skal aftales med ledelsen, fordi den påvirker medarbejdere, der handler i god tro.

Kontrolleret afsløring er det andet redskab: én navngiven person får at vide, at aktiviteten er øvelsen, og bliver bedt om at holde det for sig selv. Beslutningen træffes af white team og noteres. → Fortrolighed om øvelsen

Leverandører og vagtselskab

Observationer kan opstå uden for organisationen: hos overvågningsleverandøren, driftsleverandøren eller vagtselskabet. Hvis de ikke ved, hvem de skal ringe til, går eskaleringen den almindelige vej og kan nå personer, der ikke kender til øvelsen. Aftal derfor, hvordan leverandørens eskalering når white team, og om en kontaktperson hos leverandøren skal kende til øvelsen. → SOC-leverandøren og øvelsen

For fysisk adgang gælder det samme. Et vagtselskab, der tilkalder politi til en person i bygningen, skal have en måde at få bekræftet, om personen har et tilladelsesbrev, og en kontakt, der kan svare med det samme.

Det skal I lade være med

At lade blue team afgøre, om det er øvelsen · forsvaret skal handle, white team skal afklare.
At acceptere “det er sikkert testen” som svar · kun en bekræftelse mod logbogen tæller.
At bruge en kontaktvej, som blue team administrerer · så kan afklaringen selv afsløre øvelsen.
At glemme nat og weekend · en eskalering klokken to om natten skal også kunne afklares.
At undlade at notere afklaringerne · de er en del af målingen og grundlaget for rapporten.

Hvad kan og ikke kan konkluderes

En velfungerende procedure gør det muligt at skelne mellem øvelse og angreb med rimelig sikkerhed og at bruge hver eskalering som et målepunkt. Den kan ikke udelukke, at en rigtig angriber er aktiv samtidig, og en bekræftelse af, at én aktivitet var øvelsen, siger intet om resten af det, forsvaret har set.

Tjekliste til afklaringsproceduren

☐ Er det skrevet ned, hvem i white team der modtager eskaleringer?
☐ Har white team adgang til holdets logbog under hele øvelsen?
☐ Er der en sikker kanal til holdets leder, også uden for arbejdstid?
☐ Er svartiden aftalt?
☐ Ved overvågningsleverandør og vagtselskab, hvem de skal kontakte?
☐ Ligger beslutningen om at indvie en enkelt person hos en navngiven rolle?
☐ Bliver hver afklaring noteret med tidspunkt og beslutning?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: kontrolteamets pligt til at blive informeret om opdagelser og inddæmme eskaleringen, forberedte dækhistorier og konsultation før blue team indvies.
NIST CSRC Glossary, White Team: white team som gruppen, der kender til de uanmeldte aktiviteter og holder testen inden for rammen.

Senest gennemgået: oktober 2026.