Definér målet: hvad betyder “sikre” med overvågning?

Når du vil “sikre” et netværk mod potentielle trusler, handler det ofte ikke om at gøre miljøet helt uigennemtrængeligt. I praksis betyder sikkerhed typisk, at du gør det sværere at handle uopdaget og lettere at opdage og reagere hurtigt, hvis noget går galt.

Overvågningsværktøj kan understøtte dette ved at give synlighed i aktivitet (fx netværksforbindelser, DNS-opslag og autentificering) samt ved at skabe alarmer eller rapporter, når mønstre afviger fra det forventede. Det vigtige er at se overvågning som en del af en større proces: forberedelse, detektion, triage og respons.

Et simpelt model for overvågning: data → signal → handling

En brugbar måde at forstå overvågning på er et lille “feedback-loop”:

  1. Data (hvad du kan se): hvilke kilder logger/monitorerer du, og hvor dækkende er det? Hvis centrale flaskehalse eller segmenter mangler, kan afvigelser blive usynlige.

  2. Signal (hvad du finder): hvordan omsættes rå data til noget meningsfuldt? Det kan være regler, korrelation mellem hændelser eller statistiske afvigelser. Her bestemmer kvaliteten af logdata og logningskonfigurationen i høj grad, om du får brugbare signaler.

  3. Handling (hvad du gør): hvad sker der, når der er et muligt fund? Hvis der ikke findes en fast triage- og responsovergang, risikerer alarmer at blive støj, og vigtig aktivitet kan blive overset.

Ved at holde øje med hele loopet kan du vurdere om overvågningen reelt forbedrer sikkerheden—eller bare genererer flere hændelser uden klar effekt.

Hvad overvågning typisk dækker: netværk, DNS og loginmønstre

For at arbejde målrettet kan du fokusere på tre områder, fordi de ofte afslører tidlige indikatorer på kompromis eller misbrug:

  • Netværkstrafik: Afvigelser i forbindelsesmønstre kan indikere scanning, uautoriseret adgang eller usædvanlige forbindelser til eksterne adresser. Vær opmærksom på, at “at noget er anderledes” ikke i sig selv er lig med ondsindet aktivitet.

  • DNS (navneopslag): Hvis en enhed pludselig forespørger navne, den normalt ikke bruger, kan det være et signal om afvigende kommunikation. DNS-alarmens værdi afhænger dog af, hvor godt du kan knytte forespørgsler til enheder og forventede mønstre.

  • Autentificering og loginmønstre: Mislykkede loginforsøg, usædvanlige tidspunkter, eller ændringer i adgangsmønstre kan være relevant. Samtidig kan “normale” ændringer (fx ferier, skift af netværk, leverandør-vedligehold) skabe støj, så du bør definere hvad der tæller som en afvigelse.

Undtagelser og begrænsninger: overvågning kan ikke gøre alt

Selv med gode overvågningsværktøjer er der begrænsninger, som du bør kende på forhånd:

  • “Ingen garantier” er en realistisk ramme: Overvågning kan forbedre sandsynligheden for at opdage afvigelser, men den kan ikke garantere, at alt ondsindet bliver set. Det gælder især, hvis logdata er ufuldstændige, hvis alarmer ikke bliver vurderet, eller hvis adfærd ligner legitim trafik.

  • Dækning påvirker resultater: Hvis du ikke overvåger alle relevante steder (fx bestemte netværkszoner eller forbindelser), kan trusler slippe igennem uden registrering. Det er derfor vigtigt at forstå, hvor data kommer fra, og hvad der ikke indgår.

  • Falske alarmer koster opmærksomhed: For mange alarmer kan gøre, at vigtige fund drukner. Omvendt kan for stramme regler overse relevante hændelser. Det kræver løbende justering og prioritering.

  • Mængde og retention: Hvis logmængden er for stor eller retention er for kort, kan du miste historik, der ellers ville være vigtig til efterforskning og mønsterforståelse.

At have disse grænser klart hjælper dig med at vælge den rigtige forventningsprofil: overvågning er et detektions- og beslutningsværktøj, ikke en “trylleformular”.

Praktiske kontrolpunkter du selv kan teste og tjekke

Du kan kontrollere om overvågning faktisk hjælper, uden at låse dig til konkrete påstande om “avanceret” beskyttelse:

  • Kortlæg datadækning: Hvilke systemer/enheder og typer trafik er omfattet? Og er der kendte blinde vinkler (fx trafik, der ikke logger, eller segmenter der ikke overvåges)?

  • Vurder korrelationsevne: Kan du forbinde hændelser til samme enhed eller bruger over tid? Hvis ikke, bliver triage sværere.

  • Kend alarmens formål: For hver alarmtype: Hvad udløser den, og hvad skal den betyde i praksis? Hvis svarene er uklare, risikerer du at reagere forkert.

  • Tjek responsprocessen: Hvem tager triage, hvor hurtigt skal det ske, og hvordan dokumenteres vurderingen? Overvågning uden responsrytme bliver let til støj.

  • Test med kontrollerede scenarier: Lav små, kontrollerede afvigelser (fx planlagt trafik fra en test-enhed) for at se, om det faktisk registreres som forventet. Brug testene til at justere tærskler og prioriteringer.

Forskellen på “overvågning” og “sikkerhedspraksis”

Det hjælper at skelne mellem at se og at forbedre. Overvågning kan give dig indsigt, men sikkerhed afhænger også af grundlæggende praksisser som segmentering af adgang, robuste adgangsmetoder, patchning og bevidsthed om, hvordan brugere og admin opsætter systemer.

Hvis du forsøger at kompensere for svagheder udelukkende med overvågning, kan du ende med at opdage for sent eller drukne i hændelser. Den stærke tilgang er at bruge overvågning som en forstærker af dit øvrige arbejde: den skal gøre det muligt at opdage, begrænse skade og lære til næste runde.

Hvilken “undtagelse” bør du kende i din forventning?

Den mest relevante undtagelse er, at trusler ikke altid fremstår som tydelige afvigelser i de data, du har adgang til. Hvis et angreb efterligner normal adfærd, eller hvis logging ikke fanger de relevante begivenheder, kan overvågning have begrænset nytte.

Derfor bør du planlægge ud fra et realistisk mål: forbedret detektion og bedre responshastighed, ikke perfekt beskyttelse. Når du kan forklare både hvad du overvåger, hvad der er “normalt”, og hvordan du reagerer ved afvigelser, er du på rette spor.