Red Team Operator

En red team operator spiller angriberen i en aftalt øvelse. Opgaven er ikke at finde alle sårbarheder. Opgaven er at nå ét konkret mål uden at blive opdaget. Målet kan være adgang til bankens betalingssystem eller til et produktionsanlæg. Undervejs testes både teknikken og virksomhedens evne til at opdage angreb.

Det adskiller rollen fra en almindelig penetrationstester. En pentester arbejder bredt og åbent i få uger. En red team operator arbejder smalt, snigende og ofte i månedsvis. Virksomhedens eget overvågningsteam (SOC) ved som regel ikke, at øvelsen kører.

Et forløb følger nogenlunde samme rækkefølge. Først kortlægges medarbejdere, domæner, leverandører og teknologi via åbne kilder (OSINT). Så bygges den infrastruktur, der skal styre de hackede maskiner (command and control). Første adgang kommer typisk via målrettet phishing, et lækket login eller en sårbar server ud mod internettet.

Typiske opgaver:

• Skrive troværdige phishing-scenarier på dansk til navngivne medarbejdere
• Bygge angrebsinfrastruktur med domæner og servere, der skiftes ud undervejs
• Tilpasse kode, så maskinernes sikkerhedssoftware (EDR) ikke reagerer
• Finde vej gennem Active Directory og Entra ID op til domæneadministrator
• Bevæge sig videre til nye maskiner og bevare adgangen over lang tid
• Logge hvert skridt med tidsstempel, så SOC bagefter kan tjekke egne alarmer

En almindelig dag er mere tålmodig, end film antyder. Meget tid går med research, kodning og med at vente på, at en maskine melder tilbage. Der er kort kontakt med white team, altså den lille gruppe hos kunden, der kender til øvelsen. Bliver operatøren opdaget, aftales det, om øvelsen fortsætter eller starter forfra. Nogle forløb har også fysisk adgang: at gå ind ad døren eller kopiere et adgangskort.

Forløbet slutter ikke med rapporten. Operatøren gennemgår angrebet skridt for skridt sammen med forsvarsteamet. Det kaldes purple teaming og er ofte den del, kunden får mest ud af. Rapporten skal både kunne læses af en direktion og bruges af en detection engineer.

Rollen findes især i finans, forsvar, energi, tele og hos store it-leverandører. I Danmark sidder de fleste i konsulenthuse, i bankernes egne teams eller i Center for Cybersikkerhed under Forsvarets Efterretningstjeneste. Karrierevejen går typisk videre til red team lead, til detection engineering eller til threat intelligence. Nogle skifter til rådgivning og planlægger test i stedet for at udføre dem.

Hvilken lovgivning dækker denne rolle?
Straffelovens § 263 gør uberettiget adgang til andres it-systemer strafbar, så arbejdet kræver altid en skriftlig aftale. Aftalen kaldes rules of engagement og fastlægger mål, tidsrum, grænser og kontaktpersoner. EU's DORA-forordning kræver trusselsbaseret penetrationstest af udvalgte finansielle virksomheder og stiller krav til testernes erfaring. I Danmark køres den slags test efter TIBER-DK, som Danmarks Nationalbank administrerer. EU's NIS2-direktiv og databeskyttelsesforordningens artikel 32 kræver desuden, at kritiske virksomheder løbende tester, om sikkerheden virker.

Der findes ingen autorisation og ingen fast uddannelse til rollen. Ingen dansk uddannelse hedder red team operator. Til gengæld er vejen ind ret forudsigelig — den er bare lang.

Den almindelige vej starter med en it-uddannelse. Datamatiker tager to år og er den hurtigste indgang. Flere erhvervsakademier udbyder en overbygning i it-sikkerhed oven på den. På DTU, Aalborg Universitet, IT-Universitetet og Aarhus Universitet kan man læse datalogi eller software med sikkerhedsfag.

Uddannelsen er sjældent nok i sig selv. Næsten alle kommer ind via en anden it-rolle først. Typiske springbræt er systemadministrator, netværksdrift, udvikler eller analytiker i et SOC. Erfaring med Windows-drift og Active Directory vejer tungere end en høj karakter. Regn med to til fem år i drift, derefter et par år som penetrationstester.

Certificeringer bruges som filter ved ansættelse. OSCP fra OffSec er standardindgangen og er en praktisk eksamen med rigtige maskiner. Derefter peger mange mod OSEP eller CRTO fra Zero-Point Security, som er bygget om red team-arbejde. SANS' kursus i red team operations og den tilhørende GIAC-certificering bruges også, men er dyre. Til TIBER-DK-opgaver kræver Danmarks Nationalbanks retningslinjer, at leverandøren er akkrediteret, typisk gennem CREST.

Alternative veje ind:

• Cyberværnepligt i Forsvaret, hvor værnepligten bruges på cybersikkerhed
• Hjemmelab med Active Directory, hvor du angriber din egen opsætning
• Hack The Box, TryHackMe og CTF-konkurrencer, der kan dokumenteres i en ansøgning
• Bug bounty, hvor dine fund er offentlige og kan tjekkes
• Skift fra forsvarssiden, fx fra incident response eller detection engineering

Arbejde for Forsvaret, politiet eller kritisk infrastruktur kræver ofte sikkerhedsgodkendelse. Den behandles af Politiets Efterretningstjeneste eller Forsvarets Efterretningstjeneste og tager måneder. En ren straffeattest er i praksis et krav hos de fleste arbejdsgivere.

Skal du ansætte, så se efter dokumentation frem for buzzwords. Bed om en anonymiseret rapport og lad kandidaten forklare et angreb skridt for skridt. Spørg, hvad de gjorde, da de blev opdaget af kundens SOC. Spørg også til rules of engagement og til, hvordan de logger deres egne handlinger.

Værktøjerne ligner dem, rigtige angrebsgrupper bruger. Det er hele pointen med rollen.

• Styring af hackede maskiner (C2): Cobalt Strike, Sliver og Mythic
• Active Directory og angrebsstier: BloodHound, Impacket, Rubeus og Certipy
• Web og netværk: Burp Suite, nmap og egne scripts
• Phishing og login-tyveri: GoPhish og værktøjer, der kan fange en session med to-faktor
• Sky og identitet: værktøjer til Entra ID og Microsoft 365
• Fysisk adgang: Proxmark3, Flipper Zero og dirkeværktøj på enkelte opgaver

Kode fylder mere, end mange tror. Python og PowerShell bruges dagligt. C# og C kommer i spil, når payloads skal skrives om. Angrebsinfrastrukturen sættes ofte op med Docker og Terraform hos en cloududbyder.

Sproget i faget følger MITRE ATT&CK. Rammeværket bruges til at navngive teknikker, så forsvarsteamet kan måle sin egen dækning. Dertil kommer aktivitetslog, rapportværktøjer som Ghostwriter og en stram notestruktur. Endelig kræver rollen dyb viden om Windows internals, Linux og om hvordan EDR-produkter opdager adfærd.