Ransomware som scenarie: hvad øvelsen kan vise, uden at noget krypteres

Ransomware er en trussel, som direktion og bestyrelse kender fra omtalen af hændelser, og derfor er det et oplagt scenarie i en red team-øvelse. Men øvelsen må ikke gøre det, angriberen gør. Ingen data krypteres, ingen systemer lammes, og ingen backup slettes. Svaret på, hvad scenariet så kan vise, hviler på et enkelt greb: målet formuleres som et flag, der beviser, at holdet kunne have gjort skaden, og øvelsen måler, om forsvaret opdager og stopper forløbet, før det kommer så langt.

Det gør ransomware-scenariet til en øvelse i alt det, der sker før skaden. Selve skaden og genopretningen må afprøves på andre måder.

Hvad angrebet er, og hvor øvelsen stopper

MITRE ATT&CK, der er en offentlig vidensbase over modstanderes adfærd, beskriver kryptering af data som en teknik under taktikken Impact. Formålet er at gøre data og systemer utilgængelige, for eksempel for at kræve løsepenge for nøglen. Det er det sidste trin i et forløb, der har bestået af flere forudgående skridt.

Øvelsen stopper før det trin. Holdet bevæger sig mod de systemer, hvor skaden ville ramme hårdest, og beviser, at det har nået dem. Derefter er scenariet gennemført. Det er de forudgående skridt, der giver forsvaret mulighed for at gribe ind, og det er dem, øvelsen måler.

Scenariet bør tage udgangspunkt i jeres trusselsbillede og ikke i en generel forestilling om ransomware. Hvilke systemer ville en modstander ramme for at presse netop jer? Er det produktionen, kundeservicen, betalingerne eller de systemer, som medarbejderne ikke kan arbejde uden? Svaret afgør, hvor flagene skal placeres.

Flaget beviser muligheden

I de regulerede test for finanssektoren defineres flagmål som centrale mål i de IKT-systemer, der understøtter kritiske funktioner, og scope skal angive, hvilket aspekt af fortrolighed, integritet, tilgængelighed eller autenticitet hvert flag dækker. Et ransomware-scenarie handler om tilgængelighed og kan formuleres på samme måde i en frivillig øvelse. → Målet for øvelsen

Eksempler på flag, der passer til scenariet:

Rettigheder, der ville give kontrol over mange systemer · holdet dokumenterer, at det har opnået dem, uden at bruge dem til ændringer.
Adgang til backup-systemerne · holdet viser, at det kunne nå dem, men ændrer intet.
En aftalt markørfil på et kritisk system · en harmløs fil, som white team har godkendt, placeres som bevis.
Adgang til styringen af virtualisering eller drift · dokumenteret og stoppet der.

Flaget skal være aftalt på forhånd, og det skal være klart, hvordan holdet beviser det, uden at det ændrer noget i driften. Alt, holdet placerer eller opretter for at bevise et flag, skal registreres i logbogen og fjernes ved afslutningen, så intet efterlades i de kritiske systemer.

Hvad scenariet kan vise

Ransomware-scenariet giver svar på spørgsmål, som ledelsen kan stille direkte.

Bliver forløbet opdaget, før holdet når flaget? · og i hvilken fase? → Tid til opdagelse
Bliver det, der opdages, eskaleret? · eller vurderes det som enkeltstående hændelser?
Træffes beslutningen om at isolere? · hvem har mandatet, og hvor lang tid tager det?
Er backup beskyttet mod den, der har fået brede rettigheder? · kunne holdet have nået dem?

Det tredje spørgsmål kræver omtanke. Hvis forsvaret beslutter at isolere systemer eller afbryde forbindelser, kan det ramme driften, selvom angrebet er en øvelse. Det skal være aftalt på forhånd, hvordan white team håndterer det. → Inddæmning under øvelsen

Hvad scenariet ikke afprøver

Fordi intet krypteres, afprøver scenariet ikke genopretningen. Det viser ikke, om backup faktisk kan læses tilbage, hvor lang tid det tager, eller om forretningen kan køre i nødprocedurer imens. Det afprøver heller ikke krisestabens beslutninger om kommunikation, myndigheder og forhandling.

Den amerikanske myndighed CISA anbefaler i sin vejledning om ransomware at afprøve beredskabsplanen jævnligt og at teste, at backup er tilgængelig og intakt i en genopretningssituation. Det er andre øvelser end red teaming. En tabletop-øvelse eller en beredskabsøvelse kan tage over, hvor red team-øvelsen stopper, gerne med udgangspunkt i det, red team-forløbet viste. → Red teaming, tabletop og beredskabsøvelse

Kombinationen kan også tænkes ind i selve øvelsen. Når holdet har nået flaget, kan white team aktivere krisestaben med en simuleret meddelelse om, at systemerne nu er krypteret. Det kræver forberedelse og en klar markering af, at meldingen er en del af øvelsen. → Krisestaben i øvelsen

Stopregler og produktion

Et ransomware-scenarie foregår tæt på de systemer, hvor en fejl gør mest skade. Det stiller større krav til stopreglerne end andre scenarier.

Skriv i rules of engagement, at holdet ikke må ændre, slette eller kryptere data, ikke må stoppe tjenester og ikke må ændre i backup. Udpeg de systemer, hvor holdet kun må dokumentere adgang, og de systemer, der er helt fredede. Aftal, hvem der kan stoppe øvelsen, og hvordan det sker, hvis noget uventet påvirker driften. → Stopregler

Ledelsens forventninger

Fordi ransomware er så synligt et emne, kan ledelsen forvente, at øvelsen svarer på, om organisationen kan modstå et angreb. Det kan den ikke fuldt ud. Forklar på forhånd, at øvelsen viser, om angrebet bliver opdaget og stoppet, før skaden sker, og at genopretningen må afprøves for sig.

Forklar også, hvordan et resultat skal læses. Hvis holdet når flaget uden at blive opdaget, betyder det ikke, at et rigtigt angreb ville have lykkedes på samme måde, men at forsvaret ikke stoppede dette forløb. Hvis forsvaret stopper holdet tidligt, betyder det ikke, at organisationen er sikret mod ransomware, men at denne vej blev opdaget. Begge resultater er brugbare, når de præsenteres sådan.

Det skal I lade være med

At lade holdet udføre kryptering, også i begrænset omfang · det er skade, ikke øvelse.
At glemme backup i scope · det er dér, scenariet giver mest viden.
At undlade at aftale håndtering af isolation · forsvarets reaktion kan ramme driften.
At love ledelsen et svar på genopretning · det kræver en anden øvelse.
At bruge en markørfil, der ikke er godkendt · alt, der placeres, skal være aftalt og fjernes.

Hvad kan og ikke kan konkluderes

Et ransomware-scenarie kan vise, om forsvaret opdager og stopper et forløb, før holdet når de systemer, hvor skaden ville ske, og om backup kunne være nået. Det kan ikke vise, om organisationen kan genoprette sine systemer, eller hvor lang tid en reel nedetid ville vare.

Tjekliste før scenariet godkendes

☐ Er flagene formuleret, så de kan bevises uden ændringer i driften?
☐ Står forbuddet mod kryptering, sletning og stop af tjenester i rules of engagement?
☐ Er backup med i scope som mål for dokumentation?
☐ Er det aftalt, hvordan forsvarets beslutning om isolation håndteres?
☐ Er genopretning planlagt som en separat øvelse?

Kilder

MITRE ATT&CK, Data Encrypted for Impact (T1486): kryptering af data for at gøre systemer utilgængelige, under taktikken Impact.
Kommissionens delegerede forordning (EU) 2025/1190 om TLPT: artikel 1, nr. 14 (flagmål), og bilag II om flagenes sikkerhedsaspekt.
CISA, #StopRansomware Guide: anbefaling om at afprøve beredskabsplanen og teste backup i en genopretningssituation.

Senest gennemgået: oktober 2026.