Holdets logbog: hvorfor red team skal dokumentere hvert skridt

Efter en red team-øvelse er der to fortællinger om de samme uger: holdets om, hvad det gjorde, og forsvarets om, hvad det så. Læringen opstår, når de to lægges oven på hinanden, og det kræver, at holdets fortælling er skrevet ned undervejs og ikke rekonstrueret bagefter. Kravet til logbogen hviler derfor på tre formål: den skal kunne skille øvelsen fra et rigtigt angreb mens øvelsen kører, den skal bære tidslinjen og replay bagefter, og den skal dokumentere, at holdet holdt sig inden for rammerne.

For sikkerhedsfunktionen er logbogen ikke et internt arbejdsredskab for leverandøren. Det er en leverance, som skal stå i aftalen med krav til indhold, form og adgang.

Tre formål med samme dokument

Adskillelse undervejs · når blue team eskalerer, skal white team kunne slå op og se, om holdet var aktivt i det system på det tidspunkt. → Øvelse eller rigtigt angreb?
Grundlag for læring · tidslinjen, replay og rapporten bygger på holdets notater om tid, sted og handling.
Dokumentation af rammerne · logbogen viser, at holdet ikke gik ud over scope, og hvornår white team traf beslutninger.

Nationalbankens implementeringsdokument for TIBER-DK skriver, at holdet skal logge relevante handlinger som dokumentation og som læringsgrundlag for blue team, og at det er en fordel, hvis kontrolteamet også fører log over angrebet set fra sin side. Rammen gælder de regulerede test, men kravet er lige så relevant i en frivillig øvelse.

Hvad en brugbar logbog indeholder

Logbogen skal være detaljeret nok til at kunne sammenlignes med forsvarets data, men den skal ikke være en opskrift. Den beskriver, hvad der skete, ikke hvordan man gør det igen.

Tidspunkt · med tidszone og så præcist, at det kan matches med organisationens egne logs.
Udgangspunkt og mål · hvilket system eller hvilken konto holdet arbejdede fra, og hvad handlingen rettede sig mod.
Handlingens karakter · beskrevet på et niveau, der kan kortlægges til et fælles katalog.
Resultat · lykkedes det, mislykkedes det, eller blev holdet stoppet?
Spor · hvad holdet efterlod eller ændrede, så det kan fjernes ved afslutningen.
Beslutninger · hvornår white team blev kontaktet, og hvad der blev besluttet.

Indeholder øvelsen social engineering eller fysisk adgang, skal de dele også i logbogen: hvornår en henvendelse blev foretaget, til hvilken funktion, og hvordan den endte, eller hvornår holdet var ved en bestemt indgang, og om det blev stoppet. Her gælder det samme hensyn som i rapporten. Notér rolle og afdeling frem for navne, og skriv kun det, der er nødvendigt for at kunne sammenligne med forsvarets egne observationer. Logbogen må ikke blive en oversigt over, hvilke kolleger der lod sig narre. → Persondata i øvelsen

Det sidste punkt i listen er let at glemme. Et leg-up, en pause eller en ændring i scenariet skal stå i samme logbog som holdets handlinger, ellers kan tidslinjen ikke læses rigtigt bagefter. → Leg-up

Et fælles sprog for handlingerne

For at holdets log og forsvarets observationer kan sammenlignes, hjælper det, at handlingerne beskrives med et fælles sprog. MITRE ATT&CK er en offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker baseret på virkelige observationer, og et hold kan kortlægge sine handlinger til den. Det gør det muligt at se, hvilke taktikker forsvaret opdagede, og hvilke der gik under radaren. → MITRE ATT&CK i red teaming

I TIBER-DK skal holdet ved de ugentlige statusmøder fremlægge et udfyldt skema efter ATT&CK sammen med status på handlinger og flag. Uanset rammen er pointen, at kortlægningen sker løbende og ikke bliver et skøn, når rapporten skrives. Kataloget er et sprog til at beskrive og sammenligne, ikke en liste over ting, holdet skal nå igennem. Spørg leverandøren, hvordan den kortlægger, og bed om et eksempel på en anonymiseret logbog, før aftalen underskrives.

Hvem der har adgang, og hvornår

Logbogen er følsom. Den beskriver vejen ind i organisationen og eventuelt, hvilke konti og systemer der var sårbare. Under øvelsen bør kun white team og holdet have adgang. Blue team må ikke se den, før øvelsen er afsluttet, ellers forsvinder grundlaget for målingen.

Aftal, hvor logbogen opbevares, og hvordan white team får adgang til den løbende. En logbog, der kun deles som et dokument ved statusmøderne, kan ikke bruges, når en eskalering skal afklares en lørdag aften. → Statusmøder mellem white team og red team

Efter øvelsen ejer organisationen materialet. I TIBER-DK står det udtrykkeligt, at den testede virksomhed er juridisk ejer af alt materiale fra testen. Det er en god model at skrive ind i kontrakten for frivillige øvelser også.

Fra logbog til tidslinje og replay

Når øvelsen er afsluttet, bliver holdets logbog lagt sammen med blue teams egne optegnelser til en samlet tidslinje. Her ses, hvornår holdet gjorde noget, hvornår forsvaret så det, og hvad der skete imellem. Tidslinjen er grundlaget for at måle opdagelse og reaktion. → Tidslinjen

Ved replay gennemgår holdet og blue team forløbet sammen, skridt for skridt. Uden en præcis logbog bliver det en samtale om, hvad man husker, og ikke en gennemgang af, hvad der faktisk skete. → Replay

Logbogen som dokumentation

Logbogen kan også få betydning, hvis noget går galt. Hvis et system falder ud under øvelsen, eller en medarbejder klager over en henvendelse, viser logbogen, hvad holdet gjorde, og om det var inden for rammerne. Det beskytter både organisationen og holdet. Derfor skal logbogen føres løbende og ikke kunne ændres bagefter uden spor. Den bruges også ved afslutningen, hvor listen over spor er grundlaget for at kontrollere, at alt er fjernet.

Det skal I lade være med

At lade logbogen være leverandørens interne sag · den skal stå i aftalen som en leverance.
At acceptere en logbog skrevet bagefter · den skal føres løbende.
At udelade white teams beslutninger · de er en del af tidslinjen.
At dele logbogen med blue team undervejs · så måles der ikke længere noget.
At glemme tidszoner og præcision · tidspunkter skal kunne matches med organisationens logs.
At lade leverandøren beholde logbogen · organisationen bør eje materialet.

Hvad kan og ikke kan konkluderes

En god logbog gør det muligt at skille øvelse fra angreb, at bygge en troværdig tidslinje og at dokumentere, at rammerne blev holdt. Den kan ikke vise, hvad forsvaret så; det kræver blue teams egne data. Og en logbog, der er ført løst, kan ikke rettes op bagefter, så kravene skal stilles, før øvelsen begynder.

Tjekliste til aftalen

☐ Står logbogen i aftalen som en leverance?
☐ Er det aftalt, hvad den skal indeholde?
☐ Kortlægges handlingerne til et fælles katalog?
☐ Har white team løbende adgang?
☐ Er det aftalt, at organisationen ejer logbogen?
☐ Kan logbogen ikke ændres uden spor?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: holdets pligt til at logge relevante handlinger, kontrolteamets egen log, ugentlige statusmøder med ATT&CK-skema og virksomhedens ejerskab til materialet.
MITRE ATT&CK: offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker.

Senest gennemgået: oktober 2026.