Tidslinjen: red teams handlinger lagt over blue teams observationer

Efter en red team-øvelse er det let at sige, at holdet nåede målet, eller at forsvaret opdagede det. Det svære er at sige, hvor i forløbet det skete, og hvad der gik forud. Den fælles tidslinje besvarer det ved at placere hvert af holdets skridt og hver af forsvarets observationer på samme akse, så afstanden mellem handling, opdagelse og beslutning bliver synlig. Det er her, læringen fra en øvelse opstår, fordi den viser forløb og ikke bare udfald.

For sikkerhedsfunktionen er tidslinjen det dokument, der binder holdets rapport, forsvarets rapport og white teams notater sammen. Uden den bliver gennemgangen en sammenligning af to fortællinger, der hver for sig er rigtige og tilsammen uklare.

Tre kilder, én akse

Tidslinjen bygges af materiale, der allerede findes, hvis det er krævet fra start.

Holdets logbog · tidspunkt, udgangspunkt, mål og resultat for hvert skridt. → Holdets logbog
Forsvarets rapport og data · alarmer, sager, notater og beslutninger hos SOC, drift, servicedesk og leverandører. → Blue team-rapporten
White teams egne notater · afklaringer, leg-ups, pauser, ændringer i scenariet og tidspunktet for afsløringen.

Den tredje kilde kan blive glemt. Men hvis holdet fik et skub, eller white team bremsede en reaktion, påvirker det alt, der kommer efter, og det skal kunne ses på samme linje. → Leg-up

Hvad hver linje skal rumme

En tidslinje kan laves i et regneark eller et fælles dokument. Formen er mindre vigtig end indholdet, og hver begivenhed bør beskrives med de samme oplysninger.

Tidspunkt · med tidszone, i samme format for alle kilder.
Kilde · holdet, forsvaret eller white team.
Begivenhed · kort og uden tekniske detaljer, der kan bruges som opskrift.
Kategori · fx angrebsfase eller taktik i et fælles katalog som MITRE ATT&CK.
Status · set, delvist set, ikke set, eller ikke relevant for forsvaret.
Følge · hvad der skete bagefter, fx eskalering, lukning af sag eller ingen handling.

Kategorien gør det muligt at se mønstre. Hvis forsvaret systematisk ser handlinger i én fase og ikke i en anden, er det et andet fund end en enkelt overset alarm. → MITRE ATT&CK i red teaming

Enighed før gennemgang

Nationalbankens implementeringsdokument for TIBER-DK skriver, at blue team og red team før replay skal blive enige om tidslinjen for begivenhederne under den aktive test, fordi det er en forudsætning for en meningsfuld gennemgang. Reglen gælder de regulerede test, men den er lige så nyttig i en frivillig øvelse.

I praksis betyder det, at white team samler et udkast, sender det til begge hold og indkalder til et kort møde om uenighederne. Uenigheder kan handle om tidspunkter, der ikke passer, observationer, holdet ikke kan genkende, og handlinger, forsvaret ikke kan finde spor af. Nogle kan afklares; andre noteres som uafklarede. Det er bedre end at lade én side bestemme.

Sådan læses hullerne

Det interessante på tidslinjen er ikke nødvendigvis de enkelte punkter. Det er afstanden mellem dem. Tre afstande er særligt værd at se på.

Fra handling til første observation · hvor længe var holdet aktivt, før noget blev registreret? → Tid til opdagelse
Fra observation til eskalering · blev det, der blev set, vurderet og sendt videre, eller blev det liggende?
Fra eskalering til beslutning · hvor hurtigt blev der truffet en beslutning, og af hvem? → Eskalering

Hver afstand peger på en forskellig type forbedring. Lange perioder uden observationer handler om synlighed. Observationer uden eskalering handler om vurdering og bemanding. Langsomme beslutninger handler om mandat og ansvarsfordeling. Tidslinjen gør det muligt at skelne, så handlingsplanen ikke ender med at købe mere overvågning til et problem, der i virkeligheden skyldes en uklar vagtordning.

Hvem der ejer arbejdet

Tidslinjen ligger mellem holdene, og derfor er det naturligt, at white team ejer den. Holdet er part, fordi tidslinjen viser, hvor det lykkedes, og forsvaret er part, fordi den viser, hvor det ikke så noget. White team er den eneste gruppe, der har set begge sider undervejs, og som ikke har en interesse i et bestemt billede.

Udpeg en person i white team, der har ansvaret for at samle udkastet, holde styr på versioner og føre listen over uafklarede punkter. Det er ikke et stort arbejde, hvis kilderne er i orden, men det bliver uoverskueligt, hvis ingen har det som sin opgave.

Sæt også en frist. Jo længere der går fra afsløringen, jo sværere bliver det at finde forklaringer i forsvarets data, og jo mere bliver tidslinjen præget af erindring frem for dokumentation. En frist, der ligger tæt på afsløringen, giver også blue team noget konkret at arbejde frem mod i en periode, hvor mange skal fordøje, at angrebet var planlagt. Rammen for hele afslutningen hører hjemme i planen for øvelsens faser. → Faserne i en red team-øvelse

Tidspunkter, der ikke passer

Et praktisk problem er, at kilderne ikke altid deler ur. Holdets notater kan være skrevet i én tidszone, forsvarets systemer i en anden, og en leverandørs sagssystem kan runde af til hele minutter. Aftal i planlægningen, hvilken tidszone og hvilket format der gælder, og bed leverandøren om det samme.

Hvor et tidspunkt er usikkert, skal det fremgå. En tidslinje, der ser præcis ud, men bygger på skøn, giver et falsk billede af, hvor hurtigt forsvaret reagerede.

Tidslinjen i resten af afslutningen

Tidslinjen bruges flere steder. Ved replay er den manuskriptet: holdet og forsvaret gennemgår forløbet punkt for punkt og drøfter, hvad hver side tænkte. Ved purple teaming peger den på de steder, hvor det giver mening at afprøve en observation igen. Og i rapporten til ledelsen er den grundlaget for de få nøgletal, der skal stå dér. → Replay

Tidslinjen er også et følsomt dokument. Den viser, hvor organisationen var blind, og hvor længe. Den bør behandles med samme fortrolighed som holdets rapport.

Det skal I lade være med

At bygge tidslinjen af holdets logbog alene · så ser den ud, som om forsvaret intet så.
At udelade white teams indgreb · leg-ups og pauser forklarer forløbet.
At lade én side afgøre uenigheder · noter dem i stedet som uafklarede.
At skjule usikre tidspunkter · præcision, der ikke findes, giver forkerte konklusioner.
At skrive tekniske detaljer ind, der kan bruges som opskrift · tidslinjen skal beskrive, ikke instruere.
At kun se på det første og sidste punkt · læringen ligger i afstandene imellem.

Hvad kan og ikke kan konkluderes

En samlet tidslinje viser, hvordan ét forløb udviklede sig, og hvor forsvaret var tæt på eller langt fra. Den kan ikke vise, hvordan andre forløb ville have udviklet sig, og den måler kun det, der blev logget af mindst én af kilderne. Det, som ingen registrerede, findes ikke på tidslinjen, og det skal også stå i rapporten.

Kilder

Danmarks Nationalbank, TIBER-DK Implementation Document: blue team og red team skal være enige om tidslinjen før replay.
MITRE ATT&CK: offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker, brugt som fælles katalog.

Senest gennemgået: oktober 2026.