Red teaming eller penetrationstest: hvor går grænsen?

Når en leverandør tilbyder red teaming, og en anden tilbyder en penetrationstest, kan det være svært at se, om de to sælger det samme. Grænsen hviler på målet: en penetrationstest skal finde og dokumentere svagheder i et afgrænset område, mens red teaming skal afprøve, om organisationen opdager og håndterer et realistisk angreb mod et bestemt mål.

Begge dele foregår med tilladelse, og begge kan bruge mange af de samme faglige færdigheder. Men spørgsmålet, opgaven skal besvare, er forskelligt, og det ændrer næsten alt andet: omfanget, hvem der ved besked, hvor lang tid det tager, og hvad rapporten handler om.

Bredde i et område eller vejen til et mål

En penetrationstest dækker et aftalt område så grundigt som muligt inden for den afsatte tid. Det kan være kundeportalen, kontornettet eller den eksterne flade. Testeren forsøger at finde så mange relevante svagheder som muligt og beskriver dem enkeltvis med alvorlighed og anbefaling. → Typer af penetrationstest

Red teaming tager udgangspunkt i et mål, fx at få adgang til økonomidata i ERP-systemet eller til en bestemt kundes oplysninger. Holdet, der udfører opgaven, leder efter én eller få veje dertil og vælger dem, en virkelig angriber kunne finde på. Det er ikke målet at finde alle svagheder undervejs. Det er målet at vise, om forsvaret som helhed stopper angrebet.

Derfor kan en red team-rapport indeholde færre tekniske fund end en testrapport, men flere iagttagelser om, hvordan organisationen reagerede.

Hvem ved besked?

Ved en penetrationstest kan IT-afdelingen og driftsleverandøren sagtens kende perioden. Det gør det lettere at håndtere forstyrrelser, og det påvirker ikke resultatet, fordi testen handler om svaghederne, ikke om reaktionen. → Skal medarbejderne vide det?

Ved red teaming er det netop reaktionen, der afprøves. Derfor ved kun en lille gruppe besked. Den gruppe kaldes ofte et kontrolhold. Den kan stoppe øvelsen, hvis noget går galt, og den kan skelne en øvelse fra et rigtigt angreb, hvis forsvaret slår alarm. Uden et sådant kontrolhold kan en øvelse blive forvekslet med en reel hændelse.

Mere end teknik

En penetrationstest er normalt teknisk. Social engineering og fysisk adgang kan tilføjes, men som særskilte dele med egen afgrænsning. → Fysisk adgang som tillæg

Red teaming kombinerer ofte teknik, mennesker og fysisk adgang i ét forløb, fordi en virkelig angriber også gør det. En indgang kan være en mail til en medarbejder, et besøg i receptionen eller en svaghed i webshoppen. Det kræver grundig planlægning, tydelige grænser for, hvad holdet må, og ledelsens godkendelse af de dele, der involverer medarbejdere. → Social engineering-test

Hvornår det ene passer bedre end det andet

En penetrationstest passer, når I vil vide, hvilke svagheder der findes i et bestemt system, før det åbnes, eller når en kunde beder om dokumentation for et bestemt område. Den passer også, når I endnu ikke har overvågning eller en beredskabsplan at afprøve.

Red teaming passer, når de grundlæggende svagheder allerede er håndteret, og der findes en funktion, som skal opdage og reagere på angreb, fx et overvågningscenter hos driftsleverandøren. Uden en sådan funktion er der ikke meget reaktion at måle. → SOC og penetrationstest

Der findes mellemformer. En test kan tage udgangspunkt i, at angriberen allerede er inde, eller den kan bygge på en beskrevet trussel. Det giver noget af red teamings realisme uden hele øvelsens omfang. → Assume breach

Rapporterne svarer på forskellige spørgsmål

En testrapport er bygget op om fundene. Hvert fund har en beskrivelse, en alvorlighed og en anbefaling, og rapporten viser, hvad der blev undersøgt. Den bruges typisk af dem, der skal rette fejlene, og af den, der skal dokumentere testen over for en kunde. → Sådan læser I en pentestrapport

En red team-rapport er ofte bygget op som en fortælling om forløbet. Den beskriver, hvilken vej holdet gik, hvornår handlinger blev opdaget eller overset, og hvordan organisationen reagerede. Den er skrevet til både teknikere og ledelse, fordi mange af iagttagelserne handler om samarbejde, beslutninger og ansvar, ikke kun om teknik.

Spørg derfor, hvad I vil gøre med resultatet. Skal en leverandør have en liste over fejl, der skal rettes i kundeportalen, er en testrapport det rette format. Skal ledelsen forstå, om overvågningen og beredskabet virker, giver en fortælling om et forløb mere. Når resultatet er modtaget, kan begge hold med fordel gennemgå forløbet sammen, så forsvaret kan lære af de skridt, der ikke blev opdaget.

Finanssektoren har sin egen ramme

I den finansielle sektor findes særlige rammer for trusselsbaseret test. DORA-forordningen indeholder regler om avanceret trusselsbaseret penetrationstest for visse finansielle enheder, og i Danmark findes TIBER-DK som ramme for den slags test. Det er formelle forløb med bestemte krav til leverandører, myndighedsinddragelse og dokumentation.

Red teaming uden for de rammer er stadig en mulighed, også for finansielle virksomheder, men det er ikke det samme som en test under rammen. Spørg derfor altid, hvilken ramme et tilbud bygger på. Mere om grænserne og rammerne findes på red-teaming.dk.

Det skal I lade være med

At købe red teaming som erstatning for den første test · Uden kendskab til de grundlæggende svagheder kan øvelsen ende med at vise forhold, som en almindelig test også kunne have fundet.
At kalde en penetrationstest for red teaming · Navnet ændrer ikke, hvad der faktisk bliver afprøvet.
At glemme kontrolholdet · Nogen skal kunne stoppe øvelsen og skelne den fra en reel hændelse.
At inddrage medarbejdere uden ledelsens godkendelse · Social engineering og fysisk adgang kræver særskilt beslutning.
At antage, at en red team-øvelse opfylder en finansiel ramme · Spørg, om tilbuddet er udført inden for rammen eller uden for den.

Hvad kan og ikke kan konkluderes

En penetrationstest kan vise, hvilke svagheder der blev fundet i et afgrænset område på testtidspunktet. Den siger ikke meget om, hvordan organisationen opdager og reagerer på et angreb.

Red teaming kan vise, om et bestemt angreb mod et bestemt mål blev opdaget og stoppet under øvelsens forhold. Den kan ikke vise, at alle veje til målet er lukkede, og den er ikke en samlet oversigt over svagheder. Ingen af de to lover overholdelse af en regulering.

Tjekliste før I vælger

☐ Er spørgsmålet, hvilke svagheder der findes, eller om angreb bliver opdaget?
☐ Er de grundlæggende svagheder i de vigtigste systemer allerede håndteret?
☐ Findes der en funktion, som skal opdage og reagere på angreb?
☐ Er det besluttet, hvem der skal kende til opgaven?
☐ Har ledelsen godkendt eventuelle dele med medarbejdere og fysisk adgang?
☐ Er det afklaret, om en finansiel ramme gælder for jer?

Kilder

DORA, forordning (EU) 2022/2554: regler om digital operationel modstandsdygtighed, herunder avanceret trusselsbaseret penetrationstest for visse finansielle enheder.

Senest gennemgået: oktober 2026.