Når purple teaming bliver en undervisningsdag

Purple teaming skal være et fælles arbejde, hvor holdet afprøver noget, og forsvaret undersøger, om det blev set, og hvorfor. Alligevel kan en session glide over i noget andet: holdet præsenterer, forsvaret lytter, og dagen ender med en stak slides og en god fornemmelse, men uden en eneste ændring i overvågningen. Det sker ikke af ond vilje. Det sker, når formålet ikke er skarpt nok, og når ingen har ansvaret for at holde sessionen på sporet.

Svaret på, hvordan I undgår det, hviler på tre ting: et spørgsmål, der skal besvares, en arbejdsform, hvor forsvaret er aktivt, og en beslutning, der skal træffes, før deltagerne går hjem.

Tegnene på, at sessionen er ved at glide

Det er lettere at rette kursen undervejs end at redde en session bagefter. Hold øje med disse tegn:

Holdet taler, forsvaret noterer · hvis forsvaret ikke selv kigger i sine data, er det en præsentation.
Emnerne skifter hurtigt · mange emner på kort tid giver overblik, men ingen dybde.
Ingen spørger hvorfor · en observation uden forklaring fører ikke til en rettelse.
Diskussionen handler om værktøjer · samtalen bevæger sig mod produkter og funktioner i stedet for jeres egen opsætning.
Ingen beslutninger på tavlen · efter flere timer er der intet, der skal ændres.

Den, der leder sessionen, skal have mandat til at standse og spørge, hvad der skal komme ud af den næste time. → Planlægning af en purple team-session

Spørgsmålet forsvinder

En oplagt årsag til en undervisningsdag er, at sessionen aldrig havde et præcist spørgsmål. “Vi vil blive klogere på angreb mod identiteter” er et emne, ikke et spørgsmål. “Opdager vi, når en almindelig konto får tildelt administratorrettigheder uden for den normale proces?” kan besvares, og svaret kan føre til en handling.

TIBER-EU’s vejledning om purple teaming lægger vægt på, at deltagerne på forhånd definerer omfang, mål, tidspunkt og spilleregler for de konkrete aktiviteter. Vejledningen er skrevet til de regulerede test, men kravet om et klart formål gælder i alle former for purple teaming. → Purple teaming

Holdet bliver underviser

Et red team ved meget om, hvordan angreb gennemføres, og det er fristende at dele det hele. Men når holdet bliver underviser, bliver forsvaret publikum. Vejledningen fra TIBER-EU beskriver, at holdet skal forklare sine taktikker og mål tydeligt, anerkende forsvarets styrker og åbne for en samtale om det, der kan forbedres. Det er en anden rolle end at holde foredrag.

En praktisk regel er, at holdet forklarer, hvad det gjorde og hvorfor, og at forsvaret derefter selv undersøger, hvad der kan ses. Først når forsvaret har kigget, drøfter I sammen, hvad der manglede. Rækkefølgen sikrer, at forsvaret lærer at finde sporene i sine egne systemer og ikke kun hører om dem.

Forsvaret går i forsvarsposition

Den modsatte faldgrube er, at forsvaret oplever sessionen som en eksamen. TIBER-EU’s vejledning bemærker, at det blå team lige efter den aktive del af en test kan have svært ved at skifte fra en forsvarende til en samarbejdende holdning. Det gælder også uden for de regulerede test, især hvis sessionen følger kort efter en skjult øvelse, hvor forsvaret ikke opdagede holdet.

Gør det klart, at purple teaming handler om kontroller og arbejdsgange, ikke om den enkelte analytikers indsats. Lad lederen af sikkerhedsfunktionen sige det højt ved starten. Og sørg for, at det, forsvaret gjorde godt, også bliver noteret. → Blue team

Et laboratorium i stedet for jeres miljø

En anden måde, sessionen kan miste sit formål på, er når afprøvningen flyttes til et demonstrationsmiljø. Det kan der være gode grunde til, fx hensynet til produktionen, men så afprøver I ikke jeres egne kontroller. Forsvaret ser, hvordan en handling kunne se ud i et andet miljø, og det er undervisning, ikke en afprøvning.

Hvis et særskilt miljø er nødvendigt, skal det ligne jeres eget så meget som muligt, og resultatet skal læses med det forbehold. Endnu bedre er det at aftale, hvilke dele af produktionen sessionen må berøre, hvem der kan stoppe den, og hvordan driften orienteres. Den slags afklaringer hører hjemme i planlægningen og ikke i de første minutter af sessionen, hvor de ellers let bliver grunden til, at alle går over i et demonstrationsmiljø. → Produktionssystemer i red teaming

For mange deltagere

En session med for mange deltagere bliver let en forestilling. Folk, der ikke har en rolle, stiller generelle spørgsmål, og dem, der skal arbejde, får mindre tid. Hold kredsen til dem, der afprøver, dem, der forsvarer, og dem, der skal eje beslutningerne. Hvis ledelsen eller forretningen skal høre om resultatet, er en kort orientering bagefter et bedre valg end en plads i rummet.

Der er undtagelser. TIBER-EU’s vejledning nævner drøftelser omkring et bord som en form, hvor også ledelse og ejere af forretningsprocesser kan deltage. Det er en bevidst anden session med et andet formål, ikke en teknisk session med flere tilhørere. → Red teaming, tabletop og beredskabsøvelse

Uden beslutning er det kun en god dag

Afslut hver session med en fast runde: hvad har vi lært, hvad skal ændres, hvem ejer det, og hvornår afprøver vi det igen? Hvis svaret er, at intet skal ændres, skal det også stå klart, og det skal begrundes. Ellers er der ingen forskel på purple teaming og et velholdt kursus. Sæt tid af til runden i dagsordenen, i god tid før sessionen slutter, så den ikke bliver klemt af en drøftelse, der trækker ud. Den, der skriver notatet, læser beslutningerne højt, og deltagerne bekræfter dem, før de går. → Hvad skal skrives ned i purple teaming?

Det skal I lade være med

At starte uden et præcist spørgsmål · et emne giver en snak, et spørgsmål giver et svar.
At lade holdet holde foredrag · forsvaret skal selv undersøge sine data.
At behandle sessionen som en eksamen · det skaber forsvar i stedet for læring.
At invitere alle · kredsen skal være dem, der arbejder og ejer beslutningerne.
At lade samtalen handle om produkter · den skal handle om jeres egen opsætning og drift.
At slutte uden beslutninger · så er sessionen et kursus, ikke en øvelse.

Hvad kan og ikke kan konkluderes

En velstyret purple team-session kan vise, om forsvaret kan finde og forstå bestemte handlinger i sine egne data, og hvilke ændringer der skal til. En session, der er gledet over i undervisning, kan højst vise, at deltagerne har hørt om emnet. Ingen af delene siger noget om, hvordan forsvaret klarer sig mod et skjult angreb. Den viden kræver en anden øvelsesform. → Purple teaming eller red teaming

Kilder

ECB, TIBER-EU Purple Teaming Guidance (2025): omfang, mål, tidspunkt og spilleregler defineres på forhånd; holdet forklarer taktikker og mål og åbner for forbedringer; det blå team kan have svært ved at skifte til en samarbejdende holdning; drøftelser omkring et bord kan inddrage ledelse og procesejere.

Senest gennemgået: oktober 2026.