Når white team opdager en ægte hændelse midt i øvelsen

Blue team eskalerer en alarm, og white team tjekker som aftalt holdets logbog. Aktiviteten passer ikke med noget, holdet har gjort. I det øjeblik er der en mulig rigtig hændelse i en organisation, hvor forsvaret er under observation, og hvor få kender sandheden. Svaret på, hvad der skal ske, hviler på en enkel prioritering: den rigtige hændelse går forud for øvelsen, altid. Øvelsen sættes på pause, beredskabet tager over, og white team sørger for, at holdets spor og den rigtige angribers spor ikke bliver blandet sammen.

Det lyder enkelt, men det kræver forberedelse. Under en øvelse er der to ting, der gør situationen sværere end ellers: blue team tror måske, at det hele er en øvelse, og de, der ved bedre, er bundet af fortrolighed.

Hvordan white team opdager det

White team opdager ikke nødvendigvis en hændelse direkte. Det kan ske, når en observation ikke kan forklares med øvelsen.

Aktivitet uden for holdets log · blue team ser noget, som ikke matcher holdets notater om tid, system og handling.
Holdet melder selv · holdet ser tegn på, at nogen andre har været i et system før det.
Eskalering, der ikke passer · en hændelse rapporteres et sted, holdet aldrig har været.
Uventede fund · holdet støder på værktøjer, konti eller ændringer, som ingen kan forklare.

Den modsatte fejl er lige så farlig. Hvis rygtet om en øvelse har spredt sig, kan nogen i forsvaret afvise en rigtig alarm med den begrundelse, at det nok bare er testen. Derfor skal reglen være, at blue team behandler alt som ægte, og at kun white team kan afgøre, hvad der hører til øvelsen. Den afgørelse skal kunne træffes hurtigt, også uden for normal arbejdstid.

For at kunne skelne skal white team have adgang til en opdateret logbog fra holdet hele tiden, ikke kun ved statusmøderne. → Holdets logbog

Stop holdet først

Det første skridt er at stoppe holdets aktivitet i de berørte systemer, og eventuelt i hele øvelsen. Hvis holdet fortsætter, bliver det svært for beredskabet at se, hvad der er øvelse, og hvad der er angreb. Holdet skal heller ikke undersøge den rigtige hændelse på eget initiativ. Dets tilladelse gælder øvelsen, ikke en undersøgelse. → Stopregler

Nationalbankens implementeringsdokument for TIBER-DK forudser situationen: opdages et faktisk kompromis eller andre ekstraordinære forhold, kan kontrolteamet suspendere testen og skal konsultere Nationalbankens testledere. Frivillige øvelser har ingen sådan myndighed i baggrunden, så beslutningen ligger hos white team og den sponsor, der har mandat til at stoppe.

Overdragelse til beredskabet

Når holdet er stoppet, skal den rigtige hændelse håndteres efter organisationens normale beredskabsplan. Det betyder, at de, der normalt ville blive kaldt ind, bliver kaldt ind, også selv om de ikke kender til øvelsen. → Beredskabsplanen under en red team-øvelse

Her opstår et dilemma. Skal blue team og beredskabet have at vide, at der også kører en øvelse? Som regel ja, i det omfang det er nødvendigt for at håndtere hændelsen korrekt. Hvis beredskabet ikke ved, at noget af den aktivitet, de ser, stammer fra et hold med tilladelse, kan de bruge tid på det forkerte eller drage forkerte konklusioner. White team bør give beredskabet holdets logbog for den relevante periode, så de kan sortere øvelsens spor fra.

Ledelsen af hændelsen ligger hos den, beredskabsplanen udpeger, ikke hos white team. White teams rolle skifter til at være bindeled: at forklare, hvad øvelsen har rørt, og at holde holdet væk.

Holdet bør stå til rådighed for spørgsmål om, hvad det har gjort, men det skal ikke deltage i håndteringen, medmindre organisationen beslutter det som en ny og selvstændig opgave.

Spor, der skal bevares

Øvelsen kan have efterladt adgange, konti og ændringer, som skal fjernes ved afslutningen. Under en rigtig hændelse kan oprydningen ødelægge spor, som beredskabet har brug for. Aftal derfor, at oprydning ikke sker, før beredskabet har givet lov. Det gælder også holdets egne logs og materiale, som kan være vigtige for at forstå tidslinjen. → Oprydning efter øvelsen

Fortrolighed og kommunikation

Under en rigtig hændelse kan der opstå krav om at informere ledelse, kunder, leverandører eller myndigheder. Den information skal handle om den rigtige hændelse. Øvelsen skal ikke blandes ind i den eksterne kommunikation, medmindre det er nødvendigt for at forklare forløbet, og så skal det besluttes af ledelsen. Om og hvornår noget skal indberettes, følger organisationens egne procedurer og de regler, der gælder for den. → Øvelse eller rigtigt angreb?

Internt skal kredsen, der kender til øvelsen, udvides kontrolleret. Skriv ned, hvem der får at vide hvad, og hvornår. Det gør det muligt bagefter at forklare forløbet over for revision eller ledelse.

Hvad der sker med øvelsen

Når hændelsen er håndteret, skal white team og sponsor beslutte, om øvelsen genoptages, ændres eller afsluttes. Det afhænger af, hvor meget blue team nu ved, om systemerne har ændret sig, og om organisationen har overskud til at fortsætte. Det kan være bedst at afslutte og planlægge en ny øvelse senere, når hændelsen er lukket og lært af.

Den del af øvelsen, der nåede at blive gennemført, er stadig brugbar. Og selve forløbet er en lære: hvordan virkede samspillet mellem white team, holdet og beredskabet, da det gjaldt? Tag det med i evalueringen, både det, der gik godt, og de steder, hvor procedurerne knirkede.

Det skal I lade være med

At lade holdet fortsætte, mens hændelsen afklares · det gør det sværere at skelne.
At lade holdet undersøge den rigtige hændelse · tilladelsen rækker ikke dertil.
At holde fast i fortroligheden over for beredskabet · de skal kunne sortere øvelsens spor fra.
At rydde op i øvelsens adgange med det samme · beredskabet skal give lov først.
At blande øvelsen ind i den eksterne kommunikation uden en ledelsesbeslutning · hændelsen er det, der skal kommunikeres.
At starte uden en aftalt procedure · situationen kan ikke improviseres sikkert.

Hvad kan og ikke kan konkluderes

En rigtig hændelse under en øvelse viser, at forsvaret blev udfordret af en virkelig modstander, og det fortæller noget om, hvordan beredskabet fungerede under realistiske forhold. Den siger ikke, at øvelsen var årsag til hændelsen, og den siger ikke noget om hændelsens omfang, før beredskabet har afklaret det. Hvilke konklusioner der kan drages om forsvaret, afhænger af den efterfølgende undersøgelse.

Tjekliste før start

☐ Er der en procedure for en ægte hændelse under øvelsen?
☐ Har white team adgang til holdets logbog hele tiden?
☐ Er det aftalt, hvem der kan stoppe øvelsen?
☐ Er det aftalt, hvornår beredskabet får at vide, at der kører en øvelse?
☐ Er oprydning sat på pause, indtil beredskabet giver lov?

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: suspension af testen ved et faktisk kompromis eller andre ekstraordinære forhold.
NIST SP 800-61 Rev. 3: anbefalinger om hændelseshåndtering som del af den samlede styring af cybersikkerhedsrisici.

Senest gennemgået: oktober 2026.