Skal overvågningen eller SOC’en have besked?

Når en penetrationstest kører, kan overvågningen se aktivitet, der ligner et angreb. Uden en aftale kan det udløse alarmer, spærringer og en hændelseshåndtering, der bruger tid og stopper testen. Om SOC’en skal have besked, afhænger af, om testen også skal sige noget om opdagelse og reaktion, eller om den alene skal finde tekniske svagheder.

Ved en almindelig penetrationstest, hvor formålet er at finde svagheder i kundeportalen eller kontornettet, er hovedreglen, at overvågningen skal kende testen. Hvis I derimod også vil vide, om overvågningen opdager aktiviteten, kan kendskabet begrænses til en lille kreds. Begge valg er legitime, men de giver forskellige resultater og kræver forskellige aftaler.

To formål, der trækker i hver sin retning

Det ene formål er at finde så mange relevante svagheder som muligt inden for den aftalte tid. Her er en overvågning, der blokerer testeren, en hindring. Tiden går med at vente på, at spærringer bliver ophævet, og rapporten kommer til at dække mindre.

Det andet formål er at se, om overvågningen virker. Her er det netop interessant, om aktiviteten bliver opdaget, og hvordan den håndteres. En SOC, der er advaret på forhånd, kan ikke give et retvisende billede af sin normale reaktion.

Prøver en opgave at opfylde begge formål på én gang, kan resultatet blive uklart. Skriv derfor i opgavebeskrivelsen, hvilket formål der har forrang. → Opgavebeskrivelsen

Når overvågningen er orienteret

En orienteret SOC kender testperioden, testerens udgangspunkt og den kontakt hos jer, der har ansvaret. Det gør det muligt at skelne testaktivitet fra rigtige hændelser. Hvis der sker noget, der ikke passer med testen, kan SOC’en stadig reagere som normalt.

Orientering betyder ikke nødvendigvis, at overvågningen slukkes eller testeren undtages. Det er en særskilt beslutning med egne konsekvenser for resultatet. Overvågningen kan godt fortsætte og registrere aktiviteten, mens den undlader at blokere eller eskalere den. → Skal testeren undtages i firewall og overvågning?

En orienteret SOC kan desuden give værdifuld viden bagefter. Hvis den har registreret testaktiviteten, kan I sammenholde testerens rapport med overvågningens logs og se, hvad der blev set, og hvad der ikke gjorde.

Når overvågningen ikke er orienteret

Hvis SOC’en ikke skal vide det, skal nogen alligevel kende testen. Det er typisk en leder eller en enkelt person med mandat, som kan bekræfte, at en alarm skyldes testen, før situationen eskalerer. Uden sådan en kontakt kan testen udløse en fuld hændelseshåndtering, inddragelse af eksterne parter eller i værste fald en anmeldelse.

Der skal også være en klar vej for testeren til at sige stop. Hvis testeren ser tegn på, at en reel hændelse er i gang, eller at overvågningen reagerer kraftigere end forventet, skal det kunne afklares hurtigt. → Hændelse opdaget under test

En test, hvor opdagelse og reaktion er hovedformålet, nærmer sig en anden opgavetype. Mere realistiske angrebssimuleringer over længere tid hører under red teaming, som har sine egne rammer. → Red teaming eller pentest?

Ekstern SOC og driftsleverandørens overvågning

Ligger overvågningen hos en ekstern leverandør, kan det være en anden part end driftsleverandøren. Den eksterne SOC kan have aftaler om at blokere, eskalere eller kontakte jer ved bestemte typer af aktivitet. Tjek aftalen, så I ved, hvad der sker, hvis testen udløser en reaktion.

Hvis overvågningen er en del af en abonnementsaftale, kan det også have betydning for omkostninger og ansvar. En hændelseshåndtering, der skyldes en uaftalt test, kan være omfattet af aftalens vilkår på en anden måde end en rigtig hændelse. Afklar det med leverandøren før testen. → Driftsleverandøren og testen

Afvejningen i praksis

Et praktisk udgangspunkt er at stille tre spørgsmål. Har I brug for at vide, om overvågningen virker? Har I en kontakt, der kan bekræfte testen hurtigt? Og har I råd til, at testen bruger tid på at blive opdaget og stoppet? Hvis svaret på det første er nej, er det oftest mest effektivt at orientere overvågningen.

En mellemvej er at lade overvågningen være uorienteret i en kort indledende periode og derefter orientere den. Så kan I få et indtryk af, om aktiviteten bliver set, uden at hele testen risikerer at gå i stå. Det kræver en præcis aftale om, hvornår skiftet sker.

Uanset model bør beslutningen skrives ned med dato og navnet på den, der har truffet den. Hvis testen senere bliver afbrudt af en alarm, eller hvis nogen spørger, hvorfor overvågningen ikke var orienteret, kan I henvise til en bevidst beslutning frem for en forglemmelse.

Efter testen: sammenlign de to billeder

Uanset valget kan overvågningens registreringer bruges, når testen er slut. Bed testeren om en oversigt over, hvornår der blev arbejdet på hvilke systemer, og bed overvågningen om at finde de tilsvarende hændelser. Forskellen mellem de to billeder kan pege på steder, hvor overvågningen ser for lidt, eller hvor alarmerne er for mange til at være nyttige.

Den sammenligning er ikke en del af en almindelig penetrationstest, medmindre den er aftalt. Hvis I ønsker den, bør den stå i opgavebeskrivelsen, så testeren ved, at tidspunkter og aktiviteter skal registreres med den nødvendige præcision.

Resultatet af sammenligningen hører typisk hjemme hos den, der ejer overvågningen. Den kan bruges til at justere regler og rutiner, og den kan give et grundlag for at vurdere, om en egentlig øvelse af beredskabet bør komme senere.

Det skal I lade være med

At glemme overvågningen helt · en uaftalt alarm kan stoppe testen og udløse en unødig hændelseshåndtering.
At holde SOC’en uvidende uden en kontakt med mandat · nogen skal kunne bekræfte testen hurtigt.
At blande begge formål uden prioritering · resultatet bliver uklart på begge punkter.
At antage, at orientering er det samme som undtagelse · det er to forskellige beslutninger.
At overse den eksterne SOC’s aftale · den kan have egne regler for blokering og eskalering.
At kalde en penetrationstest en test af beredskabet · det kræver et andet formål og andre rammer.

Hvad kan og ikke kan konkluderes

En test med orienteret overvågning kan dokumentere tekniske svagheder i de aftalte systemer. Den kan ikke vise, hvordan overvågningen reagerer under normale forhold. En test uden orientering kan give et indtryk af reaktionen i den konkrete situation, men ikke en samlet vurdering af overvågningens kvalitet.

Rapporten bør nævne, om overvågningen var orienteret, og om testen blev afbrudt eller blokeret undervejs. Det har betydning for, hvordan resultatet skal læses.

Tjekliste før testen

☐ Er det besluttet, om opdagelse og reaktion er en del af formålet?
☐ Er SOC eller overvågningsleverandør orienteret, eller er det fravalgt bevidst?
☐ Findes der en kontakt med mandat til at bekræfte testen?
☐ Kender testeren vejen til at stoppe og afklare?
☐ Er aftalen med en ekstern SOC gennemgået?
☐ Er det aftalt, at rapporten nævner overvågningens rolle?

Senest gennemgået: oktober 2026.