…

Detektionstid

Hvor længe nogen kan være inde, før nogen opdager det

Angriberen var inde i tre år og kontrollerede trafikken. Alt så normalt ud på skærmene hele vejen.

Det er den del af et angreb, ingen taler om. Ikke selve indbruddet, men månederne derefter.

Der kortlægger nogen systemerne. Finder backupserverne. Læser med. Uden at en eneste alarm går.

En stor international opgørelse fra sommeren 2026 satte den gennemsnitlige tid fra brud til inddæmning til 247 dage. Otte måneder.

Styrelsen for Samfundssikkerhed vurderer truslen fra cyberspionage mod Danmark som MEGET HØJ. Fremmede stater går efter langvarig og skjult adgang frem for hurtig gevinst.

Seksten sager fra arkivet viser, hvordan tiden går. Og hvad der gør, at ingen ser det.

I de fleste af dem blev bruddet opdaget udefra. Af en myndighed, en kunde eller en sikkerhedsforsker.

Hvorfor det gentager sig

Angrebet ligner almindeligt arbejde: Angriberen bruger de værktøjer, der allerede er installeret. Ingen fil at opdage. Ingen mærkelig software. Kun en konto, der logger ind på et normalt tidspunkt.

Alarmen er slukket, før angrebet begynder: Flere grupper starter med at deaktivere sikkerhedssoftwaren. Lykkes det, er der ingen tilbage til at rapportere resten.

Der logges, men ingen kigger: Logfiler findes i de fleste organisationer. Færre har nogen, der ser på dem, og endnu færre har en alarm på det, der er unormalt.

Skærmen viser det, angriberen vil have den til at vise: I flere sager kørte anlægget uden for sine sikre grænser. Overvågningen viste grønt, fordi den var manipuleret.

Ingen opdagede det i månedsvis

Fem sager, hvor tiden mellem indbrud og opdagelse blev målt i måneder eller år.

• 247 dage fra brud til opdagelse: Det er gennemsnittet på tværs af brancher, og tallet har ikke flyttet sig i tretten år.
• En skjult server kørte i 393 dage: Sytten måneder uden at nogen bemærkede den.
• 53 teleselskaber hacket og uopdaget i årevis: Styrelsen for Samfundssikkerhed hævede i marts 2025 trusselsniveauet for spionage mod dansk teleinfrastruktur.
• Softwaren opdaterede sig selv med malware: Seks måneder uden opdagelse. Opdateringen kom gennem den kanal, alle er enige om at stole på.
• Bagdøren kom med en rutineopdatering: PwC opgør, at hver anden danske virksomhed peger på manglende overblik over leverandører som den største udfordring.

Alarmen blev slukket først

Her var overvågningen der. Den blev bare taget ud af drift, før den kunne sige noget.

• De slukker sikkerheden, før de angriber: I 48 procent af tilfældene lykkes det. IT-Branchen anslår, at et angreb koster en dansk SMV op til 140.000 kroner om dagen i tabt drift.
• Antivirus slukkes først: En enkelt gruppe offentliggjorde 131 ofre på én måned, det højeste registrerede antal.
• Skærmen viste normal drift: 30 vandværker på ét døgn. Anlæggene kørte uden for deres sikre grænser, mens alle tal stod i grøn zone.
• Gammelt udstyr kan ikke overvåges: Systemer, der ikke kan levere logdata, er blinde vinkler af konstruktion. I Storbritannien er 28 procent af det offentliges IT forældet og kan ikke beskyttes.
• Data på samme server som 50 andre: Sker bruddet hos hostingudbyderen, er der ingen log hos jer at kigge i.

Adgangen så helt normal ud

Seks sager, hvor der ikke var noget teknisk at opdage, fordi angriberen loggede ind som en medarbejder.

• De ringede til helpdesk og var inde: 22 millioner menneskers data stjålet. Adgangen blev udleveret og ikke stjålet.
• Et fragtbrev, og al mail blev kopieret: Mindst 29 mails til organisationer i ni europæiske lande på 72 timer.
• Danmark i Sikkerhedsrådet gør landet til mål: En statssponsoreret gruppe brød ind hos politimyndigheder og finansministerier i 37 lande.
• Atomreaktor angrebet tre måneder efter energisektoren: Det første angreb var kortlægningen. Det andet var formålet. Mellemtiden var forberedelse.
• De fleste tror, det sker for de andre: Antagelsen om ikke at være interessant er selv en del af, hvorfor ingen kigger efter.
• Syv spørgsmål før I bestiller en test: En test, der kun måler om nogen kan komme ind, svarer ikke på om I ville opdage det. Det er to forskellige bestillinger.

De to tal, der afgør skaden

Skaden ved et angreb bestemmes ikke af, om nogen kom ind. Den bestemmes af to tal, som de færreste kender for deres egen organisation.

Hvor længe var de inde: Jo længere tid, jo mere er kortlagt, kopieret og forberedt. En angriber med otte måneder har fundet backupsystemet, læst ledelsens mail og valgt tidspunktet selv.

Hvor langt tilbage kan I se: Opdages bruddet efter otte måneder, og gemmer I logfiler i tredive dage, kan I ikke fastslå hvad der skete. I kan hverken svare kunder, forsikring eller tilsyn.

De to tal hænger sammen. Er opbevaringstiden kortere end den typiske opholdstid, har I i praksis ingen dokumentation. Uanset hvor meget I logger.

Begge tal kan slås op på en eftermiddag. De færreste har gjort det.

Hvad der går galt, når forsvaret bygges

Der købes overvågning, men ingen bemander den: Et værktøj, der sender alarmer, ingen læser, er en udgift og ikke en kontrol.

Logfilerne opbevares for kort: Er opholdstiden 247 dage, og gemmes logfilerne i 30, kan I ikke rekonstruere angrebet. Det er også et problem over for et tilsyn, der beder om dokumentation.

Testen svarer på det forkerte spørgsmål: De fleste tests måler, om nogen kan komme ind. Få måler, om nogen opdager det undervejs.

Det, der ikke kan logge, tælles ikke med: Ældre systemer, styringsudstyr og netværksenheder leverer ofte ingen brugbare logdata. De bliver derfor usynlige i overvågningen.

Hvad I kan gøre

1. Find ud af, hvor længe jeres logfiler gemmes: Er svaret under et halvt år, kan I ikke undersøge et typisk angreb bagefter.
2. Sæt alarm på det unormale frem for på det forbudte: En konto, der pludselig slår tusindvis af poster op, eller logger ind fra et nyt land om natten.
3. Bed om en test, der måler opdagelse og ikke kun indtrængen: Aftal på forhånd, hvad I forventer at se, og sammenlign bagefter.
4. Lav en liste over det, der ikke kan overvåges: Ældre systemer og styringsudstyr. De skal enten udskiftes eller isoleres, og beslutningen skal skrives ned.
5. Tag emnet op, næste gang driftsaftalen fornys: Hvem kigger på alarmerne, hvornår, og hvad sker der uden for arbejdstid.

Hvilken ydelse afdækker det

Red teaming er den test, der svarer på spørgsmålet her. Den måler ikke kun, om nogen kan komme ind, men om I opdager det undervejs, og hvad der sker, når I gør.

Skal det være en gennemgang af logning, opbevaringstid og alarmer frem for et angreb, er en teknisk gennemgang det rigtige.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Anbefalingen bliver derfor ikke et overvågningsværktøj, jeg tjener på.

Beslægtede mønstre

Kommer angriberen ind gennem netværksudstyret, behandles det under firewalls, VPN og routere. Manglende logning er samtidig et af de tre svigt, der går igen i Datatilsynets afgørelser.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, om I ville opdage det

Hvor længe gemmer I jeres logfiler? Og hvem kigger på alarmerne klokken tre om natten?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres overvågning og finder ud af, om jeg kan hjælpe.