Red team‑rapporten: hvad den skal indeholde

En pentestrapport er en liste over svagheder. En red team-rapport er en fortælling om, hvordan en modstander bevægede sig mod et mål, hvad forsvaret så undervejs, og hvorfor det lykkedes eller ikke lykkedes. Indholdet hviler på den forskel: rapporten skal kunne bruges af forsvaret til at genskabe forløbet, af ejerne af rettelserne til at handle og af ledelsen til at forstå, hvad øvelsen betyder.

Svaret på titlens spørgsmål er derfor, at rapporten skal rumme et ledelsesresumé, en fortælling pr. scenarie, en tidslinje, fund med rodårsager og prioriterede anbefalinger samt de forhold, der begrænser konklusionerne. Kravene bør stå i kontrakten, før øvelsen begynder.

Hvad de regulerede rammer kræver

De tekniske reguleringsstandarder for TLPT, Kommissionens delegerede forordning (EU) 2025/1190, fastsætter i bilag V, hvad det røde teams testrapport som minimum skal indeholde. Listen omfatter de kritiske eller vigtige funktioner og systemer, der var mål, et resumé af hvert scenarie, flag, der blev nået og ikke nået, angrebsveje og fremgangsmåder med og uden held, afvigelser fra testplanen og eventuelle forstærkninger. Rapporten skal også beskrive de tiltag fra det blå team, testerne kender til, og fundene med deres kritikalitet, en analyse af de grundlæggende årsager og anbefalinger med prioritet.

Kravet gælder kun de regulerede test. For en frivillig øvelse er listen et godt udgangspunkt, når I skal beskrive, hvad I forventer at modtage. → Kontrakten om en red team-øvelse

Ledelsesresumé

TIBER-EU’s vejledning om det røde teams rapport beskriver et kort resumé i et sprog, som ledelse og bestyrelse kan forstå. Ifølge vejledningen skal det forklare, hvilke funktioner og systemer der blev afprøvet, give en overordnet tidslinje og et overblik over scenarierne, fremhæve de vigtigste fund, herunder styrker, og pege på de vigtigste kategorier af anbefalinger.

For CISO’en er resumeet det afsnit, der med størst sandsynlighed bliver læst af andre end sikkerhedsfunktionen. Kræv, at det kan stå alene, at det ikke indeholder tekniske detaljer, der kan misbruges, og at det skelner mellem det, holdet nåede, og det, forsvaret opdagede. → Afrapportering til direktion og bestyrelse

Fortællingen pr. scenarie

Kernen i rapporten er fortællingen. For hvert scenarie skal den vise, hvor holdet startede, hvilke skridt det tog, hvor det mødte modstand, og hvor det nåede eller ikke nåede flaget. Fortællingen giver det overblik, en liste over enkeltfund ikke kan: at tre små svagheder tilsammen åbnede en vej, som ingen af dem alene ville have åbnet.

Fortællingen skal også rumme de veje, der ikke lykkedes. Et forsøg, der blev stoppet af en kontrol eller en opmærksom medarbejder, er et resultat, og det viser, hvor forsvaret virker. Bed om, at fortællingen skrives, så en læser uden teknisk baggrund kan følge hovedlinjen. → Angrebsvejen som rapportens rygrad

Tidslinje og grundlag for forsvaret

Rapporten skal indeholde en tidslinje over holdets handlinger med tidspunkter og nok oplysninger til, at forsvaret kan finde de samme hændelser i sine egne logs. Uden den kan blue team ikke skrive sin egen rapport, og den fælles gennemgang bagefter mister sit grundlag.

Hvor detaljeret tidslinjen er, afhænger af modtageren. Den fulde version hører til forsvaret og white team. Den skal ikke indgå i materiale, der deles bredt. → Tidslinjen for red og blue team

Fund, rodårsager og anbefalinger

Fundene i en red team-rapport skal beskrives anderledes end i en pentestrapport. TIBER-EU’s vejledning nævner, at hvert fund kategoriseres efter funktionerne identificere, beskytte, opdage, reagere og genoprette, og at kritikaliteten ikke kun bør bygge på en teknisk score, men også på fundets placering, nærheden til kritiske systemer og konsekvensen for funktionen.

Det vigtigste krav er rodårsagerne. Vejledningen beskriver, at holdet skal se på mennesker, processer og teknologi samlet og ikke kun på det tekniske. En svaghed, der skyldes manglende ejerskab til et system, rettes ikke ved at lukke den ene åbning. → Rodårsager efter red teaming

Anbefalingerne skal være prioriterede og knyttet til fund og rodårsager. De skal være konkrete nok til at få en ejer, men ikke så detaljerede, at de bliver en opskrift i forkerte hænder.

Begrænsninger og forbehold

En ærlig rapport fortæller også, hvad den ikke kan bære. Det gælder fx:

Afvigelser fra planen · scenarier, der blev ændret eller stoppet, og hvorfor.
Hjælp fra white team · leg-ups og andre tilladelser, der gjorde det muligt at komme videre.
Tid og ressourcer · hvad en modstander uden øvelsens begrænsninger kunne have nået.
Modstanderens niveau · hvilket niveau der faktisk var nødvendigt, sammenlignet med det, scenariet forudsatte.
Udeladte områder · systemer og personer, der var fredet.

Det sidste punkt om modstanderens niveau nævnes i TIBER-EU’s vejledning og er nyttigt for ledelsen. Hvis et scenarie bygget på en avanceret modstander i praksis kunne gennemføres med langt enklere midler, er det et vigtigt budskab. → Leg-up

Form, bilag og udkast

Aftal også rapportens form. En praktisk opdeling er en hoveddel, der kan læses af sikkerhedsfunktionen og ejerne af rettelserne, og bilag med tidslinje, tekniske detaljer og dokumentation, som kun en lille kreds får adgang til. Opdelingen gør det lettere at dele det rigtige med de rigtige uden at skrive rapporten om bagefter.

Bed om et udkast, før rapporten er endelig. White team skal kunne kontrollere, at fakta om miljøet er korrekte, at fortrolige oplysninger ikke er kommet med ved en fejl, og at fundene om mennesker er skrevet som fund om arbejdsgange. Det er derimod ikke white teams opgave at blødgøre holdets konklusioner. Hvis I er uenige i en vurdering, skrives uenigheden ind som en kommentar, så læseren kan se begge synspunkter.

Aftal endelig, hvilket format rapporten leveres i, hvordan den overføres sikkert, og hvor længe holdet må beholde sin egen kopi og sine arbejdsnoter.

Det skal I lade være med

At bestille øvelsen uden krav til rapporten · indholdet skal aftales før start.
At acceptere en fundliste uden fortælling · forløbet er det, der adskiller red teaming fra pentest.
At nøjes med tekniske rettelser · rodårsager i processer og ejerskab skal med.
At dele den fulde rapport bredt · tidslinje og detaljer hører til en lille kreds.
At overse de mislykkede veje · de viser, hvor forsvaret virker.
At lade white team omskrive holdets konklusioner · uenighed noteres separat.

Hvad kan og ikke kan konkluderes

Rapporten dokumenterer, hvad holdet gjorde, hvad det nåede, og hvad det kunne se af forsvarets reaktioner i ét forløb. Den kan ikke alene vise, hvad forsvaret faktisk registrerede; det kræver blue team-rapporten. Den er heller ikke en fuld oversigt over svagheder i miljøet. Hvordan en almindelig pentestrapport læses, er beskrevet på penetrationtest.dk; en red team-rapport skal læses som et forløb, ikke som en liste. → Blue team-rapporten

Kilder

Kommissionens delegerede forordning (EU) 2025/1190: artikel 12, stk. 2, og bilag V om minimumsindholdet i det røde teams testrapport.
ECB, TIBER-EU Red Team Test Report Guidance (2025): ledelsesresumé, fortælling pr. scenarie, kategorisering af fund, rodårsager på tværs af mennesker, processer og teknologi samt modstanderens nødvendige niveau.

Senest gennemgået: oktober 2026.