Hvad sikkerhedsfunktionen får ud af en red team‑øvelse

En CISO, der skal forsvare udgiften til en red team-øvelse, bliver spurgt, hvad organisationen får for pengene. Svaret hviler ikke på antallet af fund, men på det, øvelsen kan vise om sammenhængen mellem forebyggelse, opdagelse og reaktion: et dokumenteret forløb, et svar på et bestemt spørgsmål og et grundlag for at prioritere forbedringer i overvågning og beredskab.

Udbyttet afhænger af, at leverancerne er aftalt på forhånd, og af at sikkerhedsfunktionen selv afsætter tid til at bruge dem. En øvelse, hvis rapport ender i en mappe, har kun givet en dyr bekræftelse af det, nogen måske allerede anede.

Et forløb i stedet for en liste

En pentestrapport kan være en liste over svagheder i et afgrænset område. Udbyttet af en red team-øvelse er anderledes. Det er beskrivelsen af en vej fra udgangspunkt til mål, med de valg, holdet traf, de kontroller, der bremsede, og dem, der ikke gjorde.

For sikkerhedsfunktionen betyder det, at resultatet kan læses som en fortælling om, hvordan flere mindre forhold tilsammen gav en modstander mulighed for at komme videre. Den slags sammenhænge er svære at se i enkeltstående test. Leverancen bør derfor indeholde en klar beskrivelse af angrebsvejen og ikke kun en opremsning af svagheder. → Red team-rapporten

Forløbet har også værdi, når holdet ikke nåede målet. Så viser beskrivelsen, hvilke kontroller der holdt, og hvor mange forsøg der skulle til, før holdet måtte skifte retning. Det er dokumentation for, at en investering virkede, og den slags er lige så nyttig i budgetsamtalen som et hul, der skal lukkes.

Tidslinjen: hvad forsvaret så, og hvornår

Den mest værdifulde leverance kan være tidslinjen. Når holdets logbog lægges ved siden af forsvarets egne observationer, kan I se, hvilke handlinger der udløste en alarm, hvilke der blev logget uden at nogen så det, og hvilke der slet ikke efterlod spor.

Det giver sikkerhedsfunktionen noget, den ikke nødvendigvis har adgang til: et sammenligningsgrundlag for, hvor lang tid der gik fra en handling til en reaktion, og hvor i kæden reaktionen gik i stå. Tidslinjen kræver, at begge sider dokumenterer omhyggeligt, og det skal stå i aftalen. Blue team kan kun bidrage, hvis logning og sagsbehandling gemmes i perioden, så det skal også overvejes, før øvelsen begynder. → Tidslinjen fra red team og blue team

Et svar til ledelsen

Øvelsen blev bestilt for at besvare et spørgsmål. Ledelsen skal have et svar på netop det spørgsmål, formuleret så det kan bruges i en beslutning. Det kan være, at et bestemt forretningsmål kunne nås uden at blive opdaget, eller at forsvaret reagerede, men for sent til at forhindre skaden.

Et sådant svar er mere brugbart for ledelsen end en lang liste. Det giver sikkerhedsfunktionen et konkret grundlag at argumentere ud fra, når budget og prioriteter skal fastlægges, og det kan følges op ved næste øvelse.

Svaret kan også bruges uden for sikkerhedsfunktionen. Risikostyringen kan opdatere sin vurdering af den forretningsfunktion, der var mål, og forretningens ejere får et konkret billede af, hvad en hændelse kunne betyde for dem. Det kan være her, at øvelsen flytter noget, fordi ejerne af en funktion ser deres egen proces beskrevet fra en modstanders side. → Afrapportering til ledelsen

Prioriteter til overvågningen

Øvelsen viser, hvor overvågningen har blinde vinkler i forhold til det scenarie, der blev afprøvet. Leverandører kan beskrive holdets handlinger med MITRE ATT&CK, en offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker baseret på observationer fra virkelige angreb. Det giver et fælles sprog, så SOC og overvågningsleverandør kan se, hvilke typer adfærd de dækkede, og hvilke der gik under radaren.

Resultatet er ikke en fuld oversigt over overvågningens dækning. Det er et udsnit, set gennem ét scenarie. Men udsnittet er konkret, og det kan bruges til at prioritere, hvor nye regler eller bedre logning giver mest. Når samme beskrivelse bruges ved næste øvelse, kan I også se, om prioriteringen virkede. → Detektionsdækning

Læring hos forsvaret

Udbyttet for blue team kommer først, når forsvaret får forløbet at se. TIBER-DK, Nationalbankens ramme for de regulerede test i finanssektoren, placerer både en genafspilning af forløbet og en purple teaming-session i afslutningsfasen, efter at red team og blue team har afleveret hver deres rapport. Rammen gælder kun de udpegede virksomheder, men den viser, at læringen er en planlagt del af øvelsen og ikke et tilvalg.

For de medarbejdere, der forsvarede organisationen, kan gennemgangen være det, der gør øvelsen meningsfuld. De får at se, hvad de kunne have opdaget, og de får mulighed for at afprøve forbedringer, mens forløbet stadig er frisk. Det styrker også relationen mellem sikkerhedsfunktionen og forsvaret, fordi øvelsen bliver noget, man lærer af sammen, og ikke noget, der blev gjort mod dem. → Replay

Det, øvelsen ikke leverer

En red team-øvelse leverer ikke en garanti. Den viser ikke, at organisationen er sikker, og den siger intet om scenarier, der ikke blev afprøvet. Den erstatter heller ikke pentest, sårbarhedsstyring eller audit, som svarer på andre spørgsmål. Den giver heller ikke et tal, der kan sammenlignes direkte med andre organisationer, fordi scenarier, mål og regler er forskellige fra øvelse til øvelse.

Den leverer heller ikke forbedringerne i sig selv. Udbyttet bliver først reelt, når fundene omsættes til en handlingsplan med ejere og frister, og når nogen følger op. Det arbejde ligger hos jer. → Handlingsplanen efter øvelsen

Det skal I lade være med

At måle udbyttet på antallet af fund · værdien ligger i forløbet og tidslinjen.
At springe gennemgangen med blue team over · så går den vigtigste læring tabt.
At lade rapporten stå alene · uden handlingsplan bliver intet forbedret.
At forvente en sikkerhedsgaranti · øvelsen belyser ét scenarie på ét tidspunkt.
At aftale leverancerne bagefter · de skal stå i aftalen, før holdet går i gang.

Hvad kan og ikke kan konkluderes

En øvelse kan give sikkerhedsfunktionen et dokumenteret billede af, hvordan forsvaret håndterede et realistisk forløb, og et grundlag for at prioritere. Den kan ikke sige, hvordan forsvaret ville håndtere et andet scenarie, en anden modstander eller samme forløb et halvt år senere. Udbyttet er et øjebliksbillede, der først får varig værdi, når det bruges.

Tjekliste til leverancerne

☐ Er det aftalt, at rapporten beskriver angrebsvejen og ikke kun svagheder?
☐ Er der krav om en tidslinje, der kan lægges op mod forsvarets observationer?
☐ Er der et kort svar til ledelsen på det oprindelige spørgsmål?
☐ Er gennemgangen med blue team og overvågningsleverandøren sat i kalenderen?
☐ Er der afsat tid og ejere til handlingsplanen?

Kilder

MITRE ATT&CK: vidensbase over modstanderes taktikker og teknikker baseret på observationer fra virkelige angreb.
Danmarks Nationalbank: TIBER-DK Implementation Document: genafspilning og purple teaming i afslutningsfasen efter red team- og blue team-rapporterne.

Senest gennemgået: oktober 2026.