Lige efter et angreb: hører red teaming hjemme i genopretningen?

Efter en alvorlig hændelse vil ledelsen vide to ting: hvad der skete, og om det kan ske igen. En red team-øvelse kan bidrage til det andet spørgsmål, men ikke til det første, og den hører først hjemme, når hændelsen er håndteret, og de umiddelbare forbedringer er gennemført. Svaret hviler på forskellen mellem en bagudrettet undersøgelse af en hændelse og en fremadrettet øvelse, der afprøver, om forsvaret nu kan opdage og standse et lignende forløb.

Det er et spørgsmål om timing og formål. Bestilt for tidligt kan øvelsen forstyrre genopretningen og give resultater, der hurtigt bliver forældede. Bestilt på det rigtige tidspunkt kan den give ledelsen et bedre grundlag end en erklæring om, at alt er rettet.

En øvelse er ikke en undersøgelse

En hændelse undersøges for at finde ud af, hvordan angriberen kom ind, hvad der blev berørt, og om angriberen stadig er til stede. Det er et arbejde for de personer, der håndterer hændelsen, og det bygger på spor i logs, systemer og netværk. NIST definerer en hændelse som noget, der faktisk eller potentielt bringer fortrolighed, integritet eller tilgængelighed af et informationssystem eller dets data i fare.

En red team-øvelse gør noget andet. Den efterligner en modstander i et aftalt scenarie for at måle, om forsvaret opdager og reagerer. Den finder ikke spor efter den rigtige angriber, og den kan ikke bruges som dokumentation for, at angriberen er væk. → Det, red teaming tester

Hvis de to aktiviteter blandes sammen, bliver begge svagere. Undersøgelsen kan blive forstyrret af aktivitet, der ligner angriberens, og øvelsens resultater bliver svære at fortolke, fordi miljøet ikke er stabilt.

Hvorfor det er for tidligt, mens hændelsen står på

Så længe hændelsen ikke er afsluttet, er der tre gode grunde til at vente med en øvelse. For det første har blue team og de eksterne, der hjælper, travlt med det, der faktisk er sket. En øvelse, der kræver deres opmærksomhed, tager ressourcer fra genopretningen.

For det andet er miljøet i bevægelse. Systemer bliver genetableret, adgang bliver lukket, og nye kontroller bliver indført. Resultaterne af en øvelse midt i den proces kan være forældede, før rapporten er skrevet.

For det tredje bliver det svært at skelne. Hvis blue team opdager mistænkelig aktivitet, skal de kunne gå ud fra, at den er reel. En samtidig øvelse kan skabe tvivl på et tidspunkt, hvor tvivl er farlig. → Øvelse eller rigtigt angreb

Det rigtige tidspunkt

En øvelse giver mening, når hændelsen er lukket, oprydningen er gennemført, og de forbedringer, der blev besluttet, er i drift. Det er der, spørgsmålet ændrer sig fra “hvad skete der” til “holder det, vi har lavet om”.

Brug konklusionerne fra hændelsen som grundlag for scenariet. Hvis angriberen kom ind gennem en leverandørforbindelse, kan scenariet tage udgangspunkt i samme type adgang. Hvis det var opdagelsen, der svigtede, kan øvelsen fokusere på det. Øvelsen skal ikke genopføre hændelsen trin for trin, men afprøve de forhold, hændelsen viste var svage. → Scenarievalg

Et assumed breach-scenarie kan være oplagt her. Det starter med, at holdet allerede har en aftalt adgang, og måler derfra, hvordan forsvaret opdager og standser bevægelsen videre ind. Det svarer til den situation, organisationen lige har været i. → Assumed breach som scenarie

Brug viden fra håndteringen af hændelsen

De personer, der håndterede hændelsen, kan vide mere om organisationens svage punkter end nogen anden. De har set, hvilke logs der manglede, hvilke alarmer der kom for sent, og hvor beslutningerne gik i stå. Den viden bør indgå, når scenariet og målene for øvelsen fastlægges.

Det betyder ikke, at de skal kende detaljerne i øvelsen. En eller to personer kan bidrage til planlægningen som en del af white team, mens resten af blue team bliver målt som normalt. Aftal, hvad de må dele med kolleger, og hvornår.

Nielco IT har indsigt i og erfaring med incident response og hackerangreb. Uanset hvem der leverer øvelsen, bør leverandøren kunne forklare, hvordan den adskiller rollen som modstander i øvelsen fra arbejdet med den hændelse, der gik forud. Spørg også, hvordan materiale fra hændelsen behandles, hvis holdet får adgang til det under planlægningen, og hvem der må se det.

Hvad ledelsen kan forvente

Efter en hændelse kan der være et pres for at kunne sige, at nu er organisationen sikker. En red team-øvelse kan ikke levere den erklæring. Den kan vise, om forsvaret i et bestemt scenarie opdagede og reagerede, og hvor hurtigt. Det er et bedre svar end en liste over gennemførte tiltag, fordi det viser, om tiltagene virker sammen.

Gør det klart for ledelsen, at øvelsen kan afsløre nye svagheder, og at det er en del af formålet. En øvelse, der finder huller efter en hændelse, er ikke et tegn på, at genopretningen er mislykket, men på at der stadig er arbejde at gøre. Aftal på forhånd, hvordan resultatet formidles til bestyrelsen, så det ikke bliver læst som en ny hændelse eller som en dom over dem, der håndterede den første.

Hensyn til de mennesker, der var berørt

En hændelse belaster de personer, der håndterede den. En skjult øvelse kort tid efter kan opleves som en kontrol af dem, eller som en ny hændelse, der sætter dem under pres igen. Overvej, om blue team skal kende til øvelsen, eller om den kan gennemføres åbent som en purple team-aktivitet. → Purple teaming

Det samme gælder medarbejdere, der blev ramt af social engineering i forbindelse med hændelsen. Hvis øvelsen skal omfatte personrettede elementer, bør det ske med særlig omtanke og i samråd med HR.

Det skal I lade være med

At bruge øvelsen til at undersøge hændelsen · den finder ikke spor efter den rigtige angriber.
At starte, før hændelsen er lukket · øvelsen tager ressourcer og skaber tvivl.
At genopføre hændelsen trin for trin · afprøv de svage forhold, ikke historien.
At love ledelsen en erklæring om, at alt er sikkert · øvelsen måler et scenarie, ikke alt.
At glemme de mennesker, der var berørt · en ny skjult øvelse kan være en belastning.

Hvad kan og ikke kan konkluderes

En øvelse efter en hændelse kan vise, om de forbedringer, der blev gennemført, gør forsvaret bedre til at opdage og standse et lignende forløb. Den kan ikke vise, hvad der skete under hændelsen, og den kan ikke dokumentere, at angriberen er væk. Hvis hændelsen kan have betydning for anmeldelse, forsikring eller myndigheder, skal de spørgsmål håndteres særskilt.

Tjekliste før øvelsen bestilles

☐ Er hændelsen lukket, og er oprydningen gennemført?
☐ Er de besluttede forbedringer i drift?
☐ Er konklusionerne fra hændelsen brugt i valget af scenarie?
☐ Er det besluttet, om blue team skal kende til øvelsen?
☐ Ved ledelsen, hvad øvelsen kan og ikke kan vise?

Kilder

NIST CSRC Glossary, Incident: hændelse som noget, der faktisk eller potentielt bringer fortrolighed, integritet eller tilgængelighed af et informationssystem eller dets data i fare (efter FIPS 200).

Senest gennemgået: oktober 2026.