OT og produktion i en red team‑øvelse: målet er nået, før anlægget røres

Ledelsen i en produktionsvirksomhed vil gerne vide, om en modstander kan nå fra en mail i kontornettet til de styringer, der driver fabrikken. Samtidig kan ingen acceptere, at en øvelse standser en linje, ændrer en recept eller sætter en sikkerhedsfunktion ud af kraft. Svaret er at placere flaget ved grænsen til OT: holdet skal bevise, at det kunne have nået en position, hvorfra processen kunne påvirkes, og så stoppe dér. Det hviler på en enkel skelnen, som også MITRE ATT&CK for ICS bruger, mellem at komme ind og bevæge sig rundt i et miljø og at gribe ind i selve den fysiske proces.

Resultatet bliver et kort over angrebsvejen frem til anlægget og et billede af, hvem der opdagede hvad undervejs. Det bliver ikke et bevis for, hvad der ville være sket med maskinerne, og det skal heller ikke være det.

Hvorfor flaget står ved grænsen

OT er de systemer, der styrer og overvåger fysiske processer: pumper, ventiler, robotter, ovne og adgangsanlæg. NIST beskriver i SP 800-82 Rev. 3, at de har særlige krav til ydeevne, pålidelighed og personsikkerhed. En fejl kan ramme mennesker, miljø og udstyr, ikke kun data.

En red team-øvelse er skjult for det meste af organisationen. Operatørerne ved ikke, at der øves, og det er netop pointen. Men det betyder også, at ingen ved anlægget står klar til at gribe ind, hvis noget uventet sker. Kombinationen af skjult øvelse og fysisk proces er grunden til, at selve styringen holdes ude. → Systemer, der ikke må røres

Det, øvelsen i stedet kan afprøve, er vejen derhen. Hvor let er det at komme fra kontornettet til den mellemzone, hvor IT og OT mødes? Hvem har adgang dertil, og bliver det bemærket, når en ukendt konto bruger den?

Hvad et OT-flag kan være

Flaget skal være noget, der kan dokumenteres uden at ændre noget i anlægget. Det aftales på forhånd med white team og med den, der ejer produktionen. Eksempler på flag, der ligger før grænsen:

Adgang til mellemzonen · holdet viser, at det har fået fodfæste på en server, som både IT og OT bruger.
En konto med rettigheder i OT · holdet viser, at det har fået fat i en konto, der kunne logge på et styringssystem, uden at den bruges dertil.
Anlægsdokumentation · holdet viser, at tegninger, netoversigter eller vedligeholdelsesplaner kunne hentes fra kontornettet.
Leverandørens vej ind · holdet viser, at en fjernadgang til service af anlægget kunne misbruges fra den kompromitterede del af nettet.

Hvert flag svarer på samme spørgsmål: var modstanderen i en position, hvor næste skridt ville have været at påvirke processen? → Målet for øvelsen

ATT&CK for ICS som fælles sprog

MITRE ATT&CK for ICS ordner en modstanders handlinger i et industrielt miljø i tolv taktikker. De første handler om at komme ind, holde fast, finde rundt og flytte sig. De sidste tre handler om at hindre sikkerheds- og beskyttelsesfunktioner i at reagere, om at forstyrre eller skade den fysiske styring og om at påvirke systemer og omgivelser.

Den opdeling gør det let at skrive grænsen ind i rules of engagement. Holdet må gerne efterligne de tidlige taktikker op til den aftalte linje. De tre sidste taktikker beskrives kun i rapporten som det, en modstander kunne have gjort herfra, og de udføres ikke. Det giver også rapporten en struktur, som OT-folkene kender. → MITRE ATT&CK i red teaming

Anlæggets folk i white team

I en kontorøvelse består white team af få personer fra ledelse og sikkerhed. Når produktionen er i nærheden, mangler der en person, der kender anlægget. Det kan være driftschefen eller den, der har ansvaret for den funktionelle sikkerhed. Personen skal kunne sige, hvad der er farligt, og have mandat til at stoppe øvelsen med det samme.

Stopreglerne skal skrives i anlæggets sprog. Det er ikke nok at skrive “ingen påvirkning af produktionen”. Skriv i stedet, hvilke netsegmenter, systemer og vagtperioder der er ude, og hvad der sker, hvis en operatør melder om noget usædvanligt. Aftal også, hvad holdet gør, hvis det ved et uheld får adgang længere ind end planlagt: stopper, dokumenterer og melder til white team. → Stopregler

Leverandører med fjernadgang til anlæggene er en del af billedet. Om deres adgang må indgå som vej ind, og om de skal kende til øvelsen, er en aftale for sig. → Leverandørscenariet

Opdagelse på begge sider af grænsen

Øvelsen siger kun noget om forsvaret, hvis det er klart, hvem der kunne have set holdet. I nogle virksomheder overvåger SOC’en kun kontornettet, mens OT-nettet passes af produktionen eller af en leverandør. Så kan holdet bevæge sig i mellemzonen uden at nogen har ansvar for at kigge.

Det er et resultat i sig selv. Rapporten kan vise, hvor overvågningen stopper, og om alarmer fra OT-siden når frem til nogen, der kan handle. Operatører, der bemærker en ukendt bruger på en skærm, er også en del af forsvaret og skal tælles med, når tidslinjen lægges.

Når anlægget selv skal afprøves

Er spørgsmålet, hvordan styringerne selv tåler et angreb, er en skjult øvelse det forkerte værktøj. Det hører hjemme i en åben, planlagt test med anlæggets folk til stede, helst på et testanlæg, en simulator eller under et planlagt stop. Opslagsværket penetrationtest.dk beskriver de hensyn, der gælder ved test af produktionsanlæg.

De to kan kombineres. Øvelsen viser, at en modstander kan nå grænsen. En senere, åben test viser, hvad der kunne være sket bagved. Holdes de adskilt, kan begge gennemføres forsvarligt. → Produktionssystemer i red teaming

Det skal I lade være med

At lade flaget ligge i selve styringen · en skjult øvelse har ingen operatør klar til at gribe ind.
At skrive stopregler, som kun IT forstår · anlæggets folk skal kunne genkende dem.
At glemme skifteholdene · natten og weekenden har en anden bemanding.
At lade OT-leverandøren opdage øvelsen tilfældigt · aftal på forhånd, hvem der kender til den.
At læse et stop ved grænsen som tryghed · det viser vejen, ikke anlæggets modstandskraft.

Hvad kan og ikke kan konkluderes

Øvelsen kan vise, om en modstander kunne komme fra kontornettet til en position tæt på produktionen, hvor lang tid det tog, og om nogen opdagede det. Den kan ikke vise, om styringerne selv ville have modstået et angreb, eller hvilke fysiske følger et angreb ville have fået. Det kræver en anden slags afprøvning.

Tjekliste før en øvelse med OT i nærheden

☐ Er flaget placeret før grænsen og beskrevet, så det kan dokumenteres uden ændringer i anlægget?
☐ Er en person med kendskab til anlægget med i white team og har mandat til at stoppe?
☐ Er de udelukkede segmenter, systemer og tidsrum skrevet i anlæggets sprog?
☐ Er det aftalt, hvad holdet gør ved utilsigtet adgang til OT?
☐ Er det klart, hvem der overvåger mellemzonen og OT-nettet?
☐ Er OT-leverandørens rolle og kendskab til øvelsen aftalt?

Kilder

MITRE ATT&CK for ICS, taktikker: de tolv taktikker for angreb på industrielle styresystemer, herunder Inhibit Response Function, Impair Process Control og Impact.
NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security: OT-systemers særlige krav til ydeevne, pålidelighed og personsikkerhed.

Senest gennemgået: oktober 2026.