---
title: "Hold op med at tælle MITRE-teknikker. Begynd at lukke fordøren. | Guardian360"
description: "Angribere genbruger et lille, stabilt sæt af teknikker, og alligevel sælger branchen \"100% MITRE-dækning\". Hvorfor den måling beroliger mere, end den beskytter, og hvor den defensive indsats faktisk gør en forskel."
url: https://guardian360.net/da/blog/stop-counting-mitre-techniques-start-closing-the-front-door/
locale: en
source: guardian360.net
---
[← Alle indlæg](https://guardian360.net/da/blog/)

Holdning

# Hold op med at tælle MITRE-teknikker. Begynd at lukke fordøren.

Af Jan Martijn Broekhof · 30. juni 2026

For et par uger siden overværede jeg afgangspræsentationen for en HBO-studerende i softwareudvikling. Arbejdet var godt, men det var et enkelt punkt i hans oplæg, der hang ved mig bagefter. Han havde læst et studie fra 2024 fra NC State University, og han stillede et spørgsmål til lokalet, som jeg ikke har kunnet ryste af mig siden: hvis angribere bliver ved med at gribe efter det samme lille sæt af teknikker, år efter år, hvorfor insisterer hele vores branche så på at måle noget andet?

Det er et rimeligt spørgsmål, og jo længere jeg tænkte over det, jo mere ubehageligt blev det. For det ærlige svar er, at vi måler den forkerte ting, vi måler den dårligt, og vi sælger resultatet som beroligelse.

## Arsenalet er mindre, end marketingen antyder

Det pågældende studie, “Attackers reveal their arsenal” af Rahman, Basak, Mahdavi Hezaveh og Williams, gjorde noget forfriskende konkret. Forskerne tog 667 cyber threat intelligence-rapporter, som MITRE ATT&CK citerer, dækkende mere end ti tusind dokumenterede teknikker, og spurgte, hvilke der faktisk gentager sig.

Svaret er ædruelig læsning for enhver, der forestiller sig angribere som uendeligt opfindsomme. De identificerede nitten fremtrædende teknikker, der tilsammen udgør over en tredjedel af alt det dokumenterede. Ikke en eneste af disse fremtrædende teknikker var på en nedadgående tendens. Det populære billede af modstanderen som en rastløs innovatør, der evigt opfinder nye metoder, overlever ikke mødet med beviserne. Angribere er vanedyr. De genbruger det, der virker, fordi det, der virker, bliver ved med at virke.

Man skulle tro, at det ville være godt nyt for forsvarere. Et lille, stabilt arsenal lyder som et problem, man kan få styr på. Og alligevel er den måde, branchen har reageret på, at bygge et helt marketingsprog op omkring at dække det hele.

## Så hvorfor sælger enhver leverandør dig “100% MITRE-dækning”?

Dette er det spørgsmål, en CISO faktisk stiller, som regel et sted mellem den anden og tredje leverandørdemonstration. Ethvert produkt hævder omfattende MITRE ATT&CK-dækning. Ethvert heatmap gløder betryggende grønt. Og næsten intet af det betyder det, køberen tror, det betyder.

Uafhængig analyse antyder, at traditionelle security information and event management-systemer i gennemsnit kun opdager omkring 21 procent af ATT&CK-teknikkerne, og at mange af de iøjnefaldende dækningspåstande afspejler endpoint-centreret test snarere end de cloud-, identitets- og SaaS-flader, hvor så mange brud nu udspiller sig. Tallet på slidet og beskyttelsen i miljøet er ikke det samme.

Dækning er let at sælge, fordi den er let at tegne. En matrix med de fleste celler udfyldt ligner kompetence. At forhindre en angriber i overhovedet at komme ind ad fordøren er derimod usynligt. Ingen fotograferer det brud, der ikke skete. Så vi er endt med at belønne den måling, der ser godt ud i en demonstration, frem for det udfald, der faktisk beskytter organisationen. Det er dækningsteater, og vi betaler alle for billetter.

## Det grusomste paradoks: de mest almindelige teknikker er de sværeste at fange

Her bliver NC State-studiet for alvor akavet. Forskerne bemærker, at de mest fremtrædende teknikker ser harmløse ud, når man betragter dem enkeltvis. At indsamle systeminformation, at køre en kommandoshell, at overføre en fil: hver af disse er umulig at skelne fra almindelig, legitim systemaktivitet. De bliver først til et angreb, når man ser dem i rækkefølge, og på det tidspunkt er aktøren allerede inde.

Dette er ikke en teoretisk bekymring. I MITRE ATT&CK Evaluations 2025 måtte et af testscenarierne droppes, fordi evaluatorerne ikke pålideligt kunne adskille modstanderens legitimt udseende administrative handlinger fra ægte handlinger, som Forrester rapporterede bagefter. Læs det igen. MITRE selv, der kørte en kontrolleret test med fuldt kendskab til, hvad angriberen gjorde, kunne ikke rent skelne ondsindet fra legitim adfærd for disse teknikker.

Så de teknikker, angribere bruger mest, er præcis dem, der modstår opdagelse mest. Dæknings-heatmappet lover at fange dem. Beviserne siger, at selv de folk, der designede rammeværket, har svært ved det. Vi måler ikke bare den forkerte ting; vi hævder tillid til netop den del af problemet, der fortjener den mindst.

## En ærlig indrømmelse, også om min egen platform

På dette punkt kræver retfærdighed, at jeg vender linsen mod mig selv. Guardian360 udvikler Lighthouse-platformen, som foretager løbende sårbarhedsscanning, compliance-anbefalinger mod mere end fyrre normer og love, Microsoft 365-sikkerhedsindsigter og indbrudsdetektion. Hvis du tog de nitten fremtrædende teknikker fra studiet og spurgte, hvor mange vores platform forhindrer eller pålideligt opdager, er det ærlige svar: meget få af dem direkte. Størstedelen af det arsenal er post-exploitation-adfærd på endpointet, og det er ikke det, en sårbarheds- og compliance-platform er bygget til at holde øje med.

Jeg kunne pynte på det. Det vil jeg ikke. Og her er pointen, der betyder noget: ingen leverandør kan ærligt hævde at dække hele kæden heller. De, der viser dig en fuldstændig grøn matrix, er ikke mere kompetente end resten af os. De er bare mindre åbenhjertige om, hvor deres produkt stopper. En køber er langt bedre tjent med en leverandør, der siger klart, hvad den gør, hvad den ikke gør, og hvor der er brug for en anden, end med en, der har farvet hver celle ind og håber, du ikke vil stille svære spørgsmål.

## Hvor spillet faktisk vindes: fordøren

Hvis de fremtrædende teknikker for det meste er ting, angribere gør, efter de er inde, er det oplagte spørgsmål, hvordan de kom ind i første omgang. Og på det punkt er dataene usædvanligt klare.

Ifølge Verizon 2025 Data Breach Investigations Report er udnyttelse af sårbarheder rykket op på andenpladsen blandt de indledende adgangsvektorer, til stede i 20 procent af bruddene og op med 34 procent i forhold til det foregående år. Stjålne legitimationsoplysninger tegner sig for 22 procent, og phishing ligger på omkring 15 procent. De to eller tre måder, angribere faktisk kommer ind på, er alle forrest i kæden, ikke begravet i de post-exploitation-teknikker, der fylder heatmappene. Studiet selv når frem til den samme konklusion fra den anden retning og udnævner spear-phishing som den mest fremtrædende rute til den indledende infektion.

Det er her, den defensive indsats gør en forskel. Patch de ting, der vender mod internettet, især edge-enhederne og VPN’erne, som angribere nu rammer, før patchen overhovedet er blevet udrullet. Luk hullerne i legitimationsoplysningerne. Og omkring phishing skal du være ærlig om, hvad træning kan og ikke kan. Den samme Verizon-rapport fandt, at træning knap nok rykker klikraten, som stædigt bliver omkring 1,5 procent, men at trænede medarbejdere rapporterer mistænkelig mail cirka fire gange oftere. Du træner ikke folk til at være uklikbare. Du kan gøre dem til et hurtigt menneskeligt sensornetværk. Det er et andet og langt mere opnåeligt mål.

Intet af dette kræver en mur af grønne celler. Det kræver, at man beslutter, at det at holde angribere ude er mere værd end at kunne beskrive, i bagklogskabens lys og i MITRE’s ordforråd, præcis hvordan de bevægede sig, da de først var inde.

## Spørgsmålet, du skal stille næste gang

Jeg argumenterer ikke for, at opdagelse ikke betyder noget. Assume-breach-tankegangen findes af en god grund: forebyggelse lækker, og en moden organisation har brug for at se den indtrænger, der alligevel kommer igennem. Men “assume breach” er stille og roligt blevet en licens til at underinvestere i ikke at blive brudt, og dæknings-heatmappet er den rekvisit, der får det til at føles ansvarligt.

Så næste gang en leverandør viser dig en MITRE-matrix, så spørg ikke, hvor mange teknikker de opdager. Spørg, hvilke de forhindrer, spørg, hvad de ærligt ikke kan, og spørg, hvor din fordør stadig står åben. Arsenalet er lille og forudsigeligt. Vores forsvar bør begynde, hvor angriberen gør.

## Kilder

- Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. [https://arxiv.org/abs/2401.01865](https://arxiv.org/abs/2401.01865)
- Verizon 2025 Data Breach Investigations Report, for de indledende adgangsvektorer (sårbarhedsudnyttelse 20%, stjålne legitimationsoplysninger 22%, phishing omkring 15%) og tallene for rapportering fra træning.
- Forrester (2025), analyse af MITRE ATT&CK Evaluations 2025, om det scenarie, der blev droppet, fordi legitime og ondsindede administrative handlinger ikke pålideligt kunne skelnes.
- Mitiga, for det uafhængige tal om, at traditionelle SIEM-systemer i gennemsnit opdager cirka 21% af ATT&CK-teknikkerne, og kritikken af endpoint-centrerede “100% dækning”-påstande.
- MITRE ATT&CK Evaluations, for en neutral reference til, hvad evalueringen er og ikke er.