Rules of engagement i red teaming: det, pentestens spilleregler ikke dækker

Spillereglerne for en penetrationstest handler mest om systemer: hvad der må testes, hvornår, og hvem der kontaktes, hvis noget går galt. En red team-øvelse rækker længere, og reglerne skal derfor også tage stilling til mennesker, bygninger, et forløb, forsvaret ikke kender til, og situationer, hvor øvelsen skal stoppes. Svaret på, hvad der skal med, hviler på et enkelt princip: Holdet skal kunne se i dokumentet, om en handling er tilladt, uden at skulle spørge.

Hvad rules of engagement er, og hvad de rummer for en almindelig test, er forklaret på penetrationtest.dk. Her handler det om de punkter, en red team-øvelse lægger oven i.

Hvad dokumentet skal kunne

NIST’s begrebsordbog gengiver definitionen fra SP 800-115: rules of engagement er detaljerede retningslinjer og begrænsninger for udførelsen af sikkerhedstest. De fastlægges før testen begynder og giver testholdet bemyndigelse til definerede aktiviteter uden behov for yderligere tilladelser.

Den sidste del er afgørende i en red team-øvelse. Holdet arbejder i længere tid, eventuelt uden for arbejdstid og i situationer, hvor det ikke er muligt at ringe og spørge. Hvis reglerne er vage, må holdet enten gætte eller stoppe. Begge dele svækker øvelsen. TIBER-DK forudsætter, at red team præsenterer rules of engagement sammen med eskaleringskontakter og procedurer, før den aktive test begynder, og det er en god praksis også uden for de regulerede test. → Tilladelser til en red team-øvelse

Mennesker

Hvis social engineering indgår, skal reglerne sige, hvem der må kontaktes, og hvem der ikke må. Det gælder grupper som nyansatte, medarbejdere på barsel eller sygeorlov, ansatte hos leverandører og personer i særligt udsatte roller. Reglerne bør også sige, hvilke kanaler der må bruges, og hvilke der er udelukket, fx private telefonnumre og private profiler. → Personer, der ikke må være mål

Dertil kommer tonen. Reglerne skal udelukke henvendelser, der spiller på frygt for afskedigelse, sygdom, familie eller andre personlige forhold, og de skal sige, hvad holdet gør, hvis en medarbejder bliver tydeligt påvirket. Etik er ikke en sag for holdets egen vurdering, men en del af aftalen.

Reglerne bør også sige, hvordan henvendelserne registreres, så det bagefter kan ses, hvem der blev kontaktet, hvornår og hvordan. Det er grundlaget for en ordentlig debriefing af de berørte medarbejdere og for at kunne svare, hvis nogen senere spørger, hvad der skete.

Bygninger

Fysisk adgang kræver egne regler. Hvilke adresser er omfattet, og hvilke dele af bygningerne? Hvilke tidsrum må holdet være til stede i? Er der områder, der er helt udelukket, fx serverrum hos en udlejer, laboratorier eller områder med særlige sikkerhedskrav?

Reglerne skal også sige, hvad holdet ikke må gøre, uanset hvad det ville kræve at nå målet. Det kan være at beskadige døre, låse eller inventar, at tage noget med fra bygningen eller at efterlade noget uden aftale. Og de skal sige, hvordan holdet opfører sig, hvis det bliver standset: hvem det viser tilladelsesbrevet til, og hvem der kontaktes. Holdet skal altid trække sig roligt, hvis en situation kan udvikle sig til konfrontation, også selv om det betyder, at målet ikke nås. → Fysisk adgang i red teaming

Det skjulte forløb

I en skjult øvelse ved forsvaret ikke, at der øves. Det rejser spørgsmål, som en pentest ikke nødvendigvis møder. Hvad gør holdet, hvis det opdager, at forsvaret er på sporet? Må holdet forsøge at undgå opdagelse, og hvor langt må det gå? Hvad sker der, hvis forsvaret iværksætter en hændelsesreaktion, der inddrager eksterne parter?

Reglerne skal sikre, at holdet aldrig hindrer et ægte beredskab. Holdet må ikke slette forsvarets logfiler, slå overvågning fra eller på anden måde svække organisationens evne til at håndtere en rigtig hændelse. Grænsen mellem at undgå at blive set og at skade forsvaret skal beskrives, så den er til at forstå.

Det skal også fremgå, hvem holdet orienterer, når det mærker, at forsvaret reagerer. Holdet bør melde det til white team med det samme, så gruppen kan følge reaktionen og vurdere, om den skal have lov at løbe. Holdets egne valg i den situation er en del af målingen, og de skal stå i logbogen. → Øvelse eller rigtigt angreb?

Data og spor

Holdet vil møde data, herunder personoplysninger, og reglerne skal sige, hvad det må se, gemme og tage med. Udgangspunktet bør være, at holdet kun dokumenterer det nødvendige for at bevise, at et mål er nået, og at fortrolige data ikke kopieres ud af organisationen.

Reglerne skal også sige, hvordan holdet registrerer de ændringer, det foretager, så de kan fjernes bagefter, og hvordan materiale opbevares og slettes efter øvelsen. Hvis holdet støder på data, der er mere følsomme end ventet, skal det stoppe den del og orientere white team, før det går videre. → Persondata i øvelsen

Kommunikation og stop

Til sidst skal reglerne sige, hvordan holdet og white team kommunikerer, og hvad der sker, når noget går galt. Det omfatter kontaktpersoner, der kan nås døgnet rundt, en aftalt måde at bekræfte, at en henvendelse er ægte, og de kriterier, der udløser en pause eller et stop. Stopreglerne kan stå i et særskilt dokument, men rules of engagement skal henvise til dem. Det skal også stå, hvem der kan ændre reglerne undervejs, og hvordan en ændring dokumenteres. En mundtlig aftale ved et statusmøde er ikke nok; ændringen skal skrives ind, godkendes af white team og være kendt af hele holdet, før den bruges. → Stopregler

Det skal I lade være med

At genbruge pentestens skabelon uden tilføjelser · mennesker, bygninger og det skjulte forløb mangler.
At overlade etikken til holdets vurdering · grænserne skal stå på skrift.
At glemme ægte beredskab · holdet må aldrig svække evnen til at håndtere en rigtig hændelse.
At formulere grænserne uklart · holdet skal kunne afgøre det uden at spørge.
At godkende dokumentet uden driftens deltagelse · nogen skal kunne vurdere risikoen for systemerne.

Hvad kan og ikke kan konkluderes

Gode rules of engagement gør øvelsen forudsigelig for dem, der skal styre den, og giver holdet et klart mandat. De kan ikke forudse alle situationer, og de erstatter ikke white teams løbende vurdering. Dokumentet er en aftale mellem parterne, ikke en garanti for, at intet går galt, og det skal opdateres, hvis scenariet ændres.

Tjekliste til rules of engagement

☐ Står det, hvem der må og ikke må kontaktes, og via hvilke kanaler?
☐ Er adresser, tidsrum og udelukkede områder beskrevet?
☐ Står det, hvad holdet aldrig må gøre i bygningerne?
☐ Er det klart, at holdet ikke må hindre et ægte beredskab?
☐ Er håndteringen af data og spor beskrevet?
☐ Henviser dokumentet til stopreglerne og kontaktpersonerne?

Kilder

CSRC Glossary: Rules of Engagement: definitionen fra NIST SP 800-115 af rules of engagement og den bemyndigelse, de giver.
Danmarks Nationalbank: TIBER-DK Implementation Document: red team præsenterer rules of engagement, eskaleringskontakter og procedurer i testplanen før den aktive test.

Senest gennemgået: oktober 2026.