“Vores SOC opdager det”: en antagelse, som øvelsen kan afprøve

Når bestyrelsen spørger, hvad der sker, hvis organisationen bliver angrebet, er et nærliggende svar, at overvågningen er købt hos en leverandør, og at leverandørens SOC opdager det. SOC står for security operations center, den funktion, der overvåger systemerne og reagerer på alarmer. Svaret kan være rigtigt, men det er en antagelse, indtil den er afprøvet. Om den holder, hviler på tre ting: hvad aftalen med leverandøren faktisk dækker, om en alarm når frem til nogen hos jer med mandat til at handle, og om nogen har set kæden virke over for et realistisk angreb. Det sidste kan en red team-øvelse give et svar på.

Det er ikke mistillid til leverandøren at stille spørgsmålet. Det er en del af ledelsens tilsyn med, om foranstaltningerne virker. En god leverandør vil i øvrigt have en interesse i at få afprøvet sin egen del af kæden under realistiske forhold.

Det, et løfte om opdagelse kan dække

En aftale om overvågning beskriver, hvad leverandøren gør, og hvad den ikke gør. For ledelsen er det værd at kende svaret på nogle få spørgsmål:

Kilderne · hvilke systemer sender data til overvågningen, og hvilke gør ikke?
Tiderne · overvåges der døgnet rundt, eller kun i arbejdstiden?
Reglerne · hvilke former for aktivitet er overvågningen sat op til at genkende?
Overdragelsen · hvad sker der, når leverandøren ser noget: får I en mail, et opkald, eller handler leverandøren selv?
Mandatet · må leverandøren lukke en konto eller isolere en computer uden at spørge jer?

Svarene afgør, hvad der overhovedet kan opdages. Et system, der ikke sender data til overvågningen, er usynligt for leverandøren, uanset hvor dygtig den er. → Blinde vinkler

Opdagelse er ikke det samme som reaktion

Selv om leverandøren opdager noget, er det ikke sikkert, at der sker noget. NIST SP 800-61 rev. 3, den amerikanske vejledning om hændelseshåndtering, beskriver en model med delt ansvar, når en leverandør udfører opdagelse og håndtering: ansvarsfordelingen skal stå klart i kontrakten, og hændelsesteamet skal kende den, herunder informationsflow, koordinering og retten til at handle på organisationens vegne.

I praksis betyder det, at en alarm kan blive sendt korrekt fra leverandøren og alligevel gå tabt hos jer: i en fælles postkasse, hos en medarbejder på ferie eller i en vagtordning, der ikke dækker weekenden. En red team-øvelse måler hele kæden, ikke kun leverandørens del. → Eskalering

Det, en øvelse kan vise

En red team-øvelse efterligner en modstander og registrerer bagefter, hvad forsvaret gjorde. Det kan give ledelsen konkrete svar:

Blev aktiviteten opdaget? · og i givet fald hvornår i forløbet.
Nåede oplysningen frem? · til nogen hos jer med mandat til at beslutte.
Blev der handlet? · og var handlingen den rigtige.
Hvad blev ikke set? · de skridt, holdet tog, uden at nogen reagerede.

MITRE ATT&CK, en offentligt tilgængelig vidensbase over angriberes fremgangsmåder bygget på observationer fra virkelige angreb, bruges til at beskrive forløbet i et fælles sprog. Det gør det lettere for sikkerhedsfunktionen og leverandøren at tale om, hvilke dele af et angreb overvågningen dækker. For ledelsen er det vigtigste ikke betegnelserne, men om resultatet kan omsættes til beslutninger: skal aftalen udvides, skal vagtordningen ændres, eller skal flere systemer med i overvågningen? → Opdagelse, eskalering og reaktion

Det, en øvelse ikke kan vise

En øvelse afprøver ét scenarie i én periode. Den kan vise, at overvågningen ikke opdagede en bestemt fremgangsmåde, men ikke at den opdager alt andet. Den kan heller ikke vise, at leverandøren vil levere samme kvalitet om et halvt år, når der er skiftet personale eller indført nye systemer.

Øvelsen er heller ikke en vurdering af leverandøren som helhed. Hvis holdet ikke blev opdaget, kan årsagen ligge i, at systemet aldrig var med i aftalen, og ikke i, at leverandøren gjorde sit arbejde dårligt. Det er derfor vigtigt, at resultatet læses sammen med kontrakten. Inviter gerne leverandøren til en gennemgang af forløbet efter øvelsen. Leverandøren kan forklare, hvad den så, og hvorfor den reagerede, som den gjorde, og I kan sammen aftale, hvad der skal ændres, og hvem der betaler for det. → Detektionsdækning

Et tænkt eksempel

En regional energivirksomhed har købt overvågning døgnet rundt. Direktionen har flere gange sagt til bestyrelsen, at leverandøren vil opdage et angreb. En red team-øvelse med udgangspunkt i en medarbejders adgang viser et mere nuanceret billede. Leverandøren opdagede holdets aktivitet på en af serverne og sendte en mail til den aftalte adresse en lørdag aften. Mailen blev først læst mandag morgen. I mellemtiden bevægede holdet sig videre til et system, der ikke var med i aftalen, og der blev det ikke set. Løftet om opdagelse holdt altså delvist. Det, der svigtede, var overdragelsen og aftalens omfang, og det er to ting, ledelsen kan gøre noget ved.

Skal leverandøren vide besked?

Hvis leverandøren ved, at der kører en øvelse, måler den ikke den normale reaktion. Hvis ingen hos leverandøren ved det, kan en opdagelse udløse en fuld hændelsesrespons, og kontrakten kan stille krav om forudgående varsel. En mulig løsning er en betroet kontaktperson hos leverandøren, som kender til øvelsen uden at deltage i overvågningen. Det skal afklares, før holdet går i gang. → SOC-leverandøren og øvelsen

Spørgsmål, ledelsen kan stille

Ledelsen behøver ikke forstå overvågningens teknik. Men den kan bede sikkerhedsfunktionen om svar på:

☐ Hvilke af vores vigtigste systemer er med i overvågningen?
☐ Hvad sker der, fra leverandøren ser noget, til nogen hos os handler?
☐ Hvornår er kæden sidst afprøvet over for et realistisk angreb?
☐ Hvad viste afprøvningen, og hvad er der rettet siden?
☐ Hvad ville vi ikke kunne se i dag?

Det skal I lade være med

At tage løftet for givet · en aftale om overvågning er ikke det samme som afprøvet opdagelse.
At måle leverandøren alene · kæden hos jer selv er lige så vigtig.
At bruge øvelsen til at skifte leverandør · uden at læse resultatet sammen med kontrakten.
At regne én god øvelse for en garanti · den gælder ét scenarie i én periode.
At holde jeres egen vagtordning uden for øvelsen · den er en del af kæden, der skal måles.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan vise, om et realistisk angreb blev opdaget, om alarmen nåede frem, og om der blev handlet. Den kan ikke vise, at overvågningen dækker alt, eller at resultatet holder over tid. Den viser heller ikke, hvem af parterne der har fejlet, før resultatet er holdt op mod aftalen. Til gengæld giver den ledelsen noget, et løfte i en kontrakt ikke kan: et konkret billede af, hvad der skete, da det gjaldt.

Kilder

NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: delt ansvar, når en leverandør udfører opdagelse og håndtering, og at ansvarsfordeling og retten til at handle skal stå i kontrakten.
MITRE ATT&CK: offentligt tilgængelig vidensbase over angriberes taktikker og teknikker baseret på observationer fra virkelige angreb.

Senest gennemgået: oktober 2026.