Et af de mest almindelige fund efter en red team-øvelse er også et af de mest ubehagelige: forsvaret havde faktisk en alarm, men ingen handlede på den. Den blev lukket som støj, lå i en kø, der ikke blev tømt, eller blev læst af en person, der ikke kunne se sammenhængen. Fundet er ubehageligt, fordi det let bliver til et spørgsmål om, hvem der svigtede. Det er et spørgsmål, der ikke nødvendigvis fører til forbedringer. Det nyttige svar hviler på at forstå, hvorfor alarmen ikke blev til en handling, og hvilke forhold i processen, prioriteringen og bemandingen der gjorde det til det naturlige udfald.
Fundet er godt nyt i forklædning
En overset alarm betyder, at synligheden var der, og at en detektion virkede. Det er to af tre led i kæden. Det manglende led ligger i vurderingen, og det kan være billigere at forbedre end at bygge ny overvågning op fra bunden. Derfor er det værd at skelne skarpt mellem alarmer, der blev overset, og skridt, der slet ikke kunne ses. De to fund har forskellige årsager, forskellige ejere og forskellige løsninger. → Opdagelse, eskalering og reaktion
Mulige årsager
Når forløbet gennemgås, går nogle mønstre igen. De handler ikke nødvendigvis om den enkelte persons dømmekraft, men kan handle om de forhold, personen arbejdede under:
- Mængde · alarmen kom i en strøm af lignende alarmer, der plejer at være harmløse.
- Standardprioritet · alarmtypen var sat til lav prioritet, uanset hvilket system den kom fra.
- Manglende sammenhæng · alarmen kunne kun forstås sammen med en anden registrering, som analytikeren ikke så.
- Manglende kendskab til systemet · ingen vidste, at netop den server var tæt på noget forretningskritisk.
- Forkert modtager · alarmen endte i en fælles postkasse eller hos en leverandør, hvis aftale ikke dækkede den type hændelse.
- Vagtskifte og fravær · sagen blev påbegyndt, men ikke overdraget.
CSRC Glossary hos NIST gengiver definitioner af en falsk positiv som det, at godartet aktivitet fejlagtigt klassificeres som ondsindet. Når den slags alarmer fylder meget, lærer forsvaret med god grund, at en bestemt alarmtype oftest er harmløs. Det er en rationel tilpasning, men den gør det lettere for en modstander at gemme sig blandt dem.
Sådan gennemgår I forløbet
Gennemgangen fungerer bedst som en fælles samtale efter afsløringen, ikke som en undersøgelse. For hver alarm, der hænger sammen med holdets aktivitet, er der fem spørgsmål:
- Hvornår kom alarmen · og hvilket skridt i holdets logbog svarer den til?
- Hvem så den · en person, en leverandør eller ingen?
- Hvad blev besluttet · lukket, udskudt, sendt videre eller undersøgt?
- Hvilke oplysninger var til rådighed · og hvilke manglede for at træffe en anden beslutning?
- Hvad ville have ændret udfaldet · en anden prioritet, en ekstra oplysning, en anden modtager?
Svarene lægges ind i tidslinjen ved siden af holdets handlinger. Det kan vise sig, at to eller tre alarmer tilsammen ville have givet et klart billede, mens hver for sig lignede noget harmløst. Cybersecurity Framework 2.0 har det som et selvstændigt resultat, at information korreleres fra flere kilder. Øvelsen viser, om det sker i praksis. → Tidslinjen for red og blue team
Et tænkt eksempel
I en energivirksomhed rejste overvågningen en alarm om et usædvanligt login på en administratorkonto en søndag eftermiddag. Leverandørens analytiker så den, vurderede den som lav prioritet, fordi samme alarmtype jævnligt kom fra planlagt vedligeholdelse, og lukkede sagen med en bemærkning. To timer senere kom en ny alarm fra et andet system om en ændring i en gruppe med rettigheder. Den blev set af en anden analytiker, som ikke kendte den første sag.
Hver beslutning var forståelig for sig. Tilsammen gik et forløb forbi, som ville have været tydeligt, hvis de to alarmer var blevet set i sammenhæng. Rettelsen lå ikke i en ny regel, men i at koble alarmer, der vedrører samme konto, og i at give analytikerne besked om, hvornår der faktisk var planlagt vedligeholdelse.
Mennesker i rapporten
Gennemgangen kræver, at analytikere og vagthavende fortæller åbent om deres beslutninger. Det gør de kun, hvis de ved, at fortællingen ikke bliver brugt imod dem. Gør det klart på forhånd, at rapporten beskriver funktioner og processer, ikke navngivne personer, og at målet er at forbedre forholdene, ikke at finde en ansvarlig. Det samme gælder over for en SOC-leverandør, hvis medarbejdere også skal kunne tale frit. → Fund om mennesker i rapporten
Rettelser, der virker
Rettelserne følger af årsagerne. Nogle eksempler på begrebsniveau:
- Prioritet efter betydning · alarmer fra systemer tæt på det vigtigste får højere prioritet end samme alarm fra et mindre vigtigt system.
- Kontekst ved alarmen · oplysninger om systemets formål og ejer følger med, så analytikeren kan vurdere betydningen.
- Færre, bedre alarmer · alarmtyper, der næsten aldrig fører til noget, justeres eller fjernes, så de vigtige ikke drukner.
- Klare modtagere · hver alarmtype har en ansvarlig, også uden for arbejdstid og hos leverandøren.
- Overdragelse · åbne sager overdrages ved vagtskifte med en kort status.
Prioritér de rettelser, der lukker kæden tættest på målet, og vær opmærksom på, at nogle kræver flere hænder frem for nye regler. Det er en ledelsesbeslutning, hvor meget bemanding der skal til. → Prioritering af detektionsfund
Leverandøren og kontrakten
Hvis alarmen blev set af en overvågningsleverandør, skal gennemgangen også omfatte aftalen. Var alarmtypen omfattet af ydelsen? Var svartiden aftalt? Blev alarmen sendt videre efter aftalen, men til en modtager, der ikke reagerede? Svarene kan føre til ændringer i kontrakten, i kontaktlisterne eller i den måde, jeres egne folk tager imod henvendelser fra leverandøren. → SOC-leverandøren og øvelsen
Overvej også tidspunktet. En alarm, der kommer om natten, møder en anden bemanding end en alarm i dagtimerne. Hvis de oversete alarmer samler sig uden for arbejdstid, er det et fund i sig selv. → Overvågning uden for arbejdstid
Det skal I lade være med
- At lede efter en syndebuk · årsagen skal søges i forholdene.
- At slå oversete alarmer sammen med blinde vinkler · de kræver forskellige rettelser.
- At tilføje flere alarmer som eneste svar · flere alarmer kan gøre problemet større.
- At glemme leverandørens rolle · aftalen kan være en del af forklaringen.
- At gennemgå forløbet uden forsvarets deltagelse · de ved, hvorfor beslutningerne blev truffet.
- At ignorere bemanding · nogle huller lukkes kun med flere hænder.
Hvad kan og ikke kan konkluderes
Gennemgangen kan vise, hvorfor bestemte alarmer i et bestemt forløb ikke førte til handling. Den kan ikke vise, hvor ofte det sker i hverdagen, og den kan ikke bruges til at vurdere den enkelte analytikers dygtighed. Én overset alarm er ikke et mønster; flere med samme årsag kan være det.
Kilder
- CSRC Glossary: false positive: definitioner af falsk positiv, bl.a. fra SP 800-83 Rev. 1 og SP 800-86.
- Cybersecurity Framework 2.0, CSWP 29: analyse af uønskede hændelser, herunder korrelation af information fra flere kilder (DE.AE-03).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: Blinde vinkler · Detektionsdækning
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT
