Ordbog for red teaming: fra white team til replay

Red teaming har sit eget sprog, og flere af ordene er engelske. Når en sikkerhedsfunktion bestiller, styrer og bruger en øvelse, er det en fordel, at alle parter lægger det samme i ordene. Forklaringerne nedenfor bygger på den måde, begreberne bruges i praksis, og for de finansielle rammers vedkommende på Nationalbankens implementeringsdokument for TIBER-DK.

Ordbogen er sorteret efter emne frem for alfabet, så beslægtede ord står sammen. Hvor et begreb har sin egen artikel, peger et link videre. Brug gerne listen som udgangspunkt for et fælles begrebsark i opgavebeskrivelsen, så leverandør, white team og ledelse taler om det samme fra første møde.

Holdene og rollerne

Red team · det hold, der efterligner en modstander og forsøger at nå øvelsens mål inden for de aftalte regler.
Blue team · forsvaret: overvågning, reaktion og drift, som i en skjult øvelse ikke ved, at der øves. I TIBER-DK kaldes alle i virksomheden uden for kontrolteamet for blue team.
White team · den lille gruppe, der kender til øvelsen, styrer den, godkender ændringer og kan stoppe den. Kaldes også kontrolhold.
Kontrolteam · TIBER-DK’s betegnelse for white team, ledet af en udpeget leder i virksomheden.
Purple team · ikke et selvstændigt hold, men et samarbejde, hvor red og blue arbejder sammen for at lære.
Sponsor · den leder, der har bestilt øvelsen, bærer ansvaret for den og modtager resultatet.
Trusselsefterretningsudbyder · den part, der leverer efterretningen bag scenarierne. I TLPT-sammenhæng er det en ekstern leverandør.

→ Red team, blue team, white team og purple team

Planlægning og styring

Rules of engagement · de aftalte spilleregler for øvelsen: hvad holdet må, hvornår, mod hvad, og hvordan der kommunikeres.
Scope · de systemer, lokationer, personer og processer, øvelsen omfatter, og dem, der er udelukket.
Fredede områder · systemer eller personer, der ikke må berøres.
Stopregler · de forhold, der får white team til at sætte øvelsen på pause eller afbryde den.
Tilladelsesbrev · det dokument, holdet kan fremvise som bevis for, at aktiviteten er godkendt.
Kodenavn · et neutralt navn, der bruges om øvelsen, så formålet ikke afsløres i mails og kalendere.
Need to know · princippet om, at kun de personer, der har brug for at kende til øvelsen for at kunne udføre deres rolle, bliver informeret.
Risikovurdering af øvelsen · vurderingen af, hvad selve øvelsen kan forstyrre, og hvilke forholdsregler der skal tages.

→ Rules of engagement i red teaming

Mål og scenarier

Kronjuveler · de aktiver, der vil skade organisationen mest, hvis de kompromitteres.
Flag · konkrete delmål, der viser, at holdet er nået til et bestemt punkt. I TIBER-DK fastlægges flag for hver kritisk funktion i scope.
Scenarie · en beskrevet fortælling om en sandsynlig modstander, dens motiv og den vej, øvelsen tager udgangspunkt i.
Trusselsefterretning · viden om relevante modstandere og deres adfærd, som scenarierne bygger på.
Modstandersimulering · at efterligne en bestemt type angriber så tæt som muligt.
Assumed breach · et scenarie, der begynder med, at modstanderen allerede har en vis adgang.

→ Målet for øvelsen

Under øvelsen

Leg-up · hjælp fra white team, der giver holdet et skub videre, når det sidder fast, så øvelsen kan nå de dele, der skal afprøves. I TIBER-DK forberedes leg-ups af kontrolteamet.
Logbog · holdets dokumentation af hvert skridt med tidspunkt, så forløbet kan genskabes bagefter.
Statusmøde · fast møde mellem white team og red team om fremdrift, risiko og beslutninger.
Eskalering · den vej, en mistanke tager fra den første observation til en beslutning.
Reel hændelse under øvelsen · et ægte angreb eller en driftsforstyrrelse, der opstår, mens øvelsen kører, og som white team skal kunne skelne fra øvelsen.
Pause · et midlertidigt stop for holdets aktiviteter, besluttet af white team, fx ved driftsproblemer.
Inddæmning · forsvarets handlinger for at begrænse et angreb, fx ved at isolere et system.

→ Leg-up

Efter øvelsen

Red team-rapport · holdets beskrivelse af forløbet, vejen til målet og iagttagelser om forsvaret.
Blue team-rapport · forsvarets egen beskrivelse af, hvad det så, og hvordan det reagerede.
Tidslinje · red teams handlinger lagt over blue teams observationer, så det fremgår, hvad der blev set og hvornår.
Replay · en fælles gennemgang efter øvelsen, hvor red og blue sammen går forløbet igennem trin for trin. I TIBER-DK holdes en replay, når begge rapporter er afleveret.
Purple teaming · fælles øvelse efter replay, hvor holdene undersøger, hvad forsvaret kunne have set, og afprøver alternativer.
Afhjælpningsplan · planen for, hvad der skal forbedres, hvem der gør det, og hvornår.
Rodårsag · det bagvedliggende forhold, der forklarer flere enkeltfund, fx en uklar ansvarsfordeling eller en proces, der ikke følges.
Debriefing · samtalen med medarbejdere, der har været mål for social engineering, så oplevelsen bliver til læring og ikke til skyld.
Genafprøvning · en senere kontrol af, om udvalgte forbedringer virker.
Oprydning · fjernelse af konti, adgange og andet, holdet har efterladt.

→ Replay

Rammer og regulering

TIBER-EU · ECB’s europæiske ramme for trusselsbaseret etisk red teaming.
TIBER-DK · Danmarks Nationalbanks danske implementering af TIBER-EU.
TLPT · threat-led penetration testing, den avancerede trusselsbaserede test, som DORA stiller krav om for udpegede finansielle virksomheder.
TIBER Cyber Team · Nationalbankens team, som følger og faciliterer en TIBER-DK-test.
Attestation · den bekræftelse, der afslutter en TLPT og dokumenterer, at testen er gennemført efter rammen.

Rammerne gælder for de virksomheder, som myndighederne udpeger. Red teaming uden for rammerne bruger flere af de samme ord, men er ikke en test under dem. → TIBER-DK forklaret

Måling

Detektionsdækning · et overblik over, hvilken adfærd forsvaret kan se.
Tid til opdagelse · tiden fra en handling til, at forsvaret registrerer den.
Tid til reaktion · tiden fra opdagelse til, at forsvaret handler.
Blinde vinkler · områder, hvor forsvaret mangler synlighed.
Oversete alarmer · alarmer, der faktisk blev udløst under øvelsen, men som ingen fulgte op på.
MITRE ATT&CK · en vidensbase over modstanderes taktikker og teknikker, brugt som fælles katalog til planlægning og rapport.

→ Tid til opdagelse og tid til reaktion

Det skal I lade være med

At bruge samme ord om forskellige ting · aftal på forhånd, om white team og kontrolteam er det samme hos jer.
At kalde en øvelse TLPT, fordi den ligner · betegnelsen hører til den regulerede ramme.
At lade engelske fagord stå uforklarede i rapporten til ledelsen · ikke alle læsere kender dem.
At blande replay og purple teaming sammen · den ene gennemgår forløbet, den anden øver videre.

Hvad kan og ikke kan konkluderes

Ordene er værktøjer til at tale præcist om en øvelse. De er ikke en standard, og leverandører kan bruge dem lidt forskelligt. Nogle ord, fx white team og kontrolteam, dækker næsten det samme, mens andre, fx flag og kronjuveler, ligger tæt op ad hinanden uden at være ens. Når en betegnelse er afgørende, fx i en kontrakt eller over for et tilsyn, skal betydningen skrives ud.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: roller (kontrolteam, blue team), flag, leg-ups, replay og purple teaming i TIBER-DK.
ECB, TIBER-EU: den europæiske ramme for trusselsbaseret etisk red teaming.
MITRE ATT&CK: vidensbase over modstanderes taktikker og teknikker.

Senest gennemgået: oktober 2026.