Kunskapsbank
Jag använder artiklarna för att formulera hur jag förstår ett område. När man kan förklara ett problem, dess evidens, arbetsflödet och verifieringen blir det också lättare att se vad som fortfarande behöver läras.
Artikelserien är daterad 1 maj–27 juli 2026 och innehåller 88 tekniska genomgångar.
Min arbetsmetod har vuxit fram genom labben och projekten: Learn → Manual fix → Preview → Remediate → Verify → Rollback. Automation kommer sist, när flödet redan är förstått.
Läs artikeln
Bra säkerhet behöver vara proportionerlig och driftbar. Myndigheter, skolor och medelstora företag har olika risker och resurser, men samma grundfråga: vilka tillgångar är viktigast och vilka kontroller minskar mest relevant risk?
Läs artikeln
I OT och IoT kan tillgänglighet och fysisk process väga tyngre än snabb remediation. Därför behöver observation, inventory och segmentering ofta komma före aggressiv aktiv scanning.
Läs artikeln
Security testing är mest värdefull när fyndet leder till en verifierbar förbättring. En sårbarhet utan kontext, remediation och retest blir lätt bara ytterligare en rad i en rapport.
Läs artikeln
RPKI och Route Origin Validation ger nätoperatörer ett sätt att kontrollera om ett autonomt system är auktoriserat att originera ett visst IP-prefix.
Läs artikeln
Även när payload är krypterad finns metadata om endpoints, timing, certifikat, storlek och sessionsmönster som kan användas för hypoteser utan att dekryptera användarnas innehåll.
Läs artikeln
DNS-tunnling utnyttjar det faktum att DNS ofta tillåts ut från många nät och kan bära data i långa eller frekventa namnuppslag.
Läs artikeln
Automation är värdefull när den tar bort repetitivt arbete utan att ta bort förståelsen för vad som förändras. I säkerhet kan en felaktig automation annars skala ett misstag mycket snabbare än en människa.
Läs artikeln
Business Email Compromise utnyttjar ofta legitima konton, sociala processer och betalningsrutiner snarare än malware, vilket gör identitets- och verksamhetskontroller centrala.
Läs artikeln
Phishinganalys behöver kombinera meddelandeheaders, URL:er, bilagor och vad mottagaren faktiskt gjorde; själva mailets utseende räcker inte för incidentbedömning.
Läs artikeln
Reverse engineering blir effektivare när man bygger en serie små hypoteser från filformat, strings, imports och kontrollflöde i stället för att försöka förstå hela binären på en gång.
Läs artikeln
Dan Labs är pedagogiska säkerhetssystem som gör det möjligt att träna ett stort antal findings och analystbeslut utan krav på en full produktionsbackend. Deras styrka ligger i struktur, variation och återkoppling.
Läs artikeln
Malware-triage ska snabbt svara på vad en okänd fil sannolikt är, vilka indikatorer den ger och om djupare dynamisk analys behövs utan att utsätta analystens egen miljö.
Läs artikeln
Dan Practice fokuserar på gapet mellan konceptuell förståelse och operativ förmåga. Att veta vilken kontroll som behövs är inte samma sak som att kunna hitta rätt administrationsyta, förstå beroenden och genomföra förändringen säkert.
Läs artikeln
Security engineering kräver förändringsdisciplin. Versionskontroll, reproducerbara steg och tydlig rollback gör att ett tekniskt experiment kan utvecklas till något som andra kan förstå och förvalta.
Läs artikeln
Diskforensik bygger på att bevara originaldata, arbeta på verifierade kopior och sätta filsystemartefakter i en tidslinje i stället för att läsa enstaka filer isolerat.
Läs artikeln
Minnesforensik kan avslöja processer, nätverksanslutningar, injicerad kod och temporära hemligheter som aldrig skrivs till disk eller som försvinner efter avstängning.
Läs artikeln
Attack Surface Reduction-regler i Windows kan stoppa specifika högriskbeteenden nära endpointen, men de bör införas med telemetry och stegvis enforcement för att undvika onödiga verksamhetsstopp.
Läs artikeln
Säkerhetsarkitektur är också resursarkitektur. CPU, RAM, lagring, nätverkskapacitet och retention påverkar vilka kontroller som är realistiska och hur länge evidens kan sparas.
Läs artikeln
Windows LAPS löser problemet med återanvända lokala administratörslösenord genom att ge varje hanterad enhet en separat roterande hemlighet med kontrollerad läsåtkomst.
Läs artikeln
Kerberos i Active Directory blir lättare att felsöka när man ser autentisering som biljetter mellan klient, KDC och tjänst i stället för som ett enda lösenordsögonblick.
Läs artikeln
PowerShell är ett legitimt administrationsverktyg och därför också intressant för angripare; bra loggning ska göra beteendet granskningsbart utan att blockera normal drift blint.
Läs artikeln
Windows Event Logs innehåller både säkerhets- och driftspår, och effektiv incidentanalys börjar med rätt kanal snarare än med att exportera allt.
Läs artikeln
Sysmon kan ge betydligt rikare Windows-telemetri om processer, nätverk och filhändelser, men konfigurationen måste balansera analytiskt värde mot volym.
Läs artikeln
IDS och IPS löser närliggande men olika problem. IDS detekterar och larmar, medan IPS kan stoppa trafik inline.
Läs artikeln
osquery gör endpointinventering och jakt frågebart med SQL-liknande syntax och är särskilt användbart för frågor som behöver besvaras likadant över många system.
Läs artikeln
Sigma beskriver loggdetektion på ett portabelt sätt så att samma analytiska idé kan översättas till olika SIEM-språk och datamodeller.
Läs artikeln
YARA är bäst när en regel beskriver flera relevanta artefaktmönster tillsammans och inte låser hela detektionen vid en enda hash som försvinner vid minsta filändring.
Läs artikeln
Fuzzing låter programmet möta stora mängder oväntad eller muterad input och är särskilt effektivt mot parsers, protokoll och minnessäkra eller minnesosäkra gränssnitt med stor inputyta.
Läs artikeln
PCAP är rå nätverksevidens. Där loggar ofta är en tolkning av vad ett verktyg såg kan paket ge möjlighet att gå tillbaka till den faktiska kommunikationen, så långt fångsten och eventuell kryptering tillåter.
Läs artikeln
SAST och DAST ser olika delar av applikationsrisken: SAST analyserar kod eller representationer av kod medan DAST testar en körande tjänst från utsidan.
Läs artikeln
Vulnerability management är ett återkommande beslutsflöde där sårbarhet, exponering, tillgångsvärde, exploitinformation och kompensationskontroller tillsammans avgör prioritet.
Läs artikeln
Attack surface management börjar med att veta vilka system, domäner, IP-adresser, tjänster och molnresurser organisationen faktiskt exponerar och vem som äger dem.
Läs artikeln
Nätverkssäkerhet är i grunden kontroll över vilka system som får kommunicera, på vilka protokoll och varför. Segmentering och ACL:er blir värdefulla först när reglerna motsvarar ett faktiskt trafikbehov.
Läs artikeln
Cloud security kräver förståelse för kontrollplanet. En resurs kan vara tekniskt patchad men ändå exponerad genom identitet, nätverk eller felaktig åtkomstpolicy.
Läs artikeln
Threat modeling flyttar säkerhetsdiskussionen till designfasen genom att fråga vilka tillgångar, trust boundaries och missbruksvägar som finns innan systemet är färdigbyggt.
Läs artikeln
Infrastructure as Code gör moln- och nätverkskonfiguration granskningsbar före deployment, vilket skapar en naturlig plats för policykontroller och diffbaserad säkerhetsreview.
Läs artikeln
I Azure uppstår många säkerhetsproblem genom konfiguration snarare än genom en klassisk programvarubugg. Behörigheter, nätverk, lagring och hemligheter måste därför granskas som en sammanhängande modell.
Läs artikeln
Identitet har blivit en central säkerhetsgräns. En korrekt nätverksbrandvägg hjälper mindre om en angripare kan använda en legitim identitet med för stora behörigheter.
Läs artikeln
CI/CD-pipelinen har ofta rätt att läsa källkod, hämta secrets och deploya produktion och bör därför behandlas som en privilegierad produktionskomponent.
Läs artikeln
Kodsignering låter mottagaren verifiera vem som signerade en artefakt och att bytesen inte ändrats efter signeringen; den säger däremot inte automatiskt att koden är säker.
Läs artikeln
Build provenance handlar om att kunna visa vilka källor, verktyg och steg som producerade en artefakt och därmed göra leveranskedjan svårare att manipulera i det tysta.
Läs artikeln
Dependency scanning blir användbar först när resultatet kopplas till vilken version som verkligen körs, om den sårbara funktionen exponeras och hur snabbt en säker uppdatering kan testas.
Läs artikeln
Endpointtelemetri kan visa processer, filer, tjänster, nätverksanslutningar och användarkontext som inte syns i en ren nätverkslogg. Det gör endpointen central i många incidenter.
Läs artikeln
En SBOM gör mjukvarans innehåll sökbart när en ny sårbarhet publiceras och minskar tiden från frågan ”använder vi detta?” till ett verifierbart svar.
Läs artikeln
Kubernetes-säkerhet är ett lagerproblem: identitet, namespace, RBAC, nätverk och pod-konfiguration behöver stödja varandra för att en komprometterad workload inte ska få fri rörelse.
Läs artikeln
Detection engineering handlar om att översätta ett relevant angreppsbeteende till data som faktiskt finns i miljön. En regel är inte bra bara för att den kan larma; den måste ge en signal som en analytiker kan förstå och agera på.
Läs artikeln
SIEM är mer än en produkt. Det är ett data- och analystflöde där loggar samlas, normaliseras, söks, används i detections och kopplas till incidenthantering.
Läs artikeln
Microsofts säkerhetsstack blir intressant när identitet, endpoint och SIEM kan länkas ihop. En incident kan börja i Entra ID, fortsätta på en endpoint och sedan korreleras i Defender XDR eller Sentinel.
Läs artikeln
En säkrare container-image är liten, reproducerbar och byggd så att man kan svara på exakt vilka paket och filer som hamnade i releasen.
Läs artikeln
Rootless containers minskar konsekvensen av en container escape eller felkonfiguration genom att containerprocesserna inte behöver motsvara root på hosten.
Läs artikeln
En reverse proxy kan ge en tydlig exponeringspunkt för TLS, routing, headers och accesskontroll, men den får inte bli en plats där intern tillit automatiskt antas.
Läs artikeln
Sessionssäkerhet handlar om hur servern skapar, förnyar och avslutar tillit över tid; en stark login hjälper mindre om sessionen kan återanvändas obegränsat.
Läs artikeln
CSRF utnyttjar att webbläsaren automatiskt skickar en giltig session till rätt webbplats även när användaren startade begäran från en annan origin.
Läs artikeln
XSS är ett kontextproblem: data som är ofarlig i text kan bli körbar kod om den placeras i HTML, attribut, JavaScript eller URL utan rätt escaping.
Läs artikeln
SQL injection förebyggs främst genom att hålla SQL-kod och data separerade; parametriserade queries ska vara normalfallet, inte en specialåtgärd efter ett fynd.
Läs artikeln
I ett SOC är den svåra delen sällan att hitta ytterligare en signal. Den svåra delen är att avgöra vilken signal som förtjänar tid, vilken evidens som saknas och när en händelse går från observation till incident.
Läs artikeln
Dan Cyber Range bygger på ett annat problem än mina pedagogiska labb: hur man tränar när nätverket, trafiken och attackexecutionen faktiskt måste existera. Det gör isolation och safety till lika viktiga delar som attack och detection.
Läs artikeln
En cyber range är värdefull när man vill koppla attackbeteende till faktisk telemetry i en reproducerbar miljö. Skillnaden mot ett statiskt scenario är att nätverksvägar, tjänster och säkerhetsverktyg måste fungera tillsammans.
Läs artikeln
SSRF uppstår när en server gör nätverksanrop på användarens initiativ och därmed kan nå resurser som angriparen själv inte når direkt.
Läs artikeln
Säkra HTTP-headers är små kontroller som kan begränsa konsekvensen av andra fel, särskilt i webbläsaren, men de måste anpassas till applikationens faktiska resurser.
Läs artikeln
API-säkerhet måste kontrollera både vem klienten är och om just den identiteten får agera på just det objekt som begärs.
Läs artikeln
Secrets management skiljer hemligheter från källkod och ger en plats där åtkomst, rotation och revision kan hanteras som säkerhetsfunktioner.
Läs artikeln
JWT är ett format för signerade claims, inte en sessionsdatabas eller ett universellt svar på autentisering; säkerheten beror på hur tokenet utfärdas och valideras.
Läs artikeln
OAuth 2.0 handlar om delegerad auktorisering medan OpenID Connect lägger ett identitetslager ovanpå; sammanblandning skapar ofta onödiga säkerhetsfel.
Läs artikeln
Passkeys bygger på publika nycklar och origin-bunden autentisering, vilket gör dem motståndskraftiga mot klassisk phishing på ett sätt som delade hemligheter inte är.
Läs artikeln
En organisationslösenordshanterare minskar behovet av återanvända lösenord och osäkra anteckningar, men den måste själv ha stark autentisering och en plan för recovery.
Läs artikeln
Ransomware-resiliens bygger på begränsad spridning, skyddad identitet, återställningsbar data och förmågan att fatta beslut när delar av infrastrukturen inte längre går att lita på.
Läs artikeln
En backup är inte ett skydd förrän den går att återställa och minst en kopia är separerad från den identitet eller plattform som en angripare kan ta över.
Läs artikeln
Korrekta tidsstämplar är grundläggande för autentisering, certifikatvalidering, loggkorrelation och forensik; några minuters drift kan förstöra en incidenttidslinje.
Läs artikeln
SPF, DKIM och DMARC löser olika problem: avsändande servrar, kryptografisk signering och domänens policy för hur misslyckad autentisering ska hanteras.
Läs artikeln
DNSSEC skyddar autenticiteten i DNS-data genom signerade zoner, men det krypterar inte frågorna och stoppar inte alla typer av DNS-missbruk.
Läs artikeln
TLS-säkerhet i drift handlar lika mycket om nyckelhantering, förnyelse och protokollpolicy som om att få ett hänglås i webbläsaren.
Läs artikeln
PKI fungerar som ett system för att binda publika nycklar till identiteter genom certifikat och en tillitskedja som klienten kan verifiera.
Läs artikeln
SSH-certifikat flyttar tillitsbeslutet från hundratals individuella nyckelposter till en kontrollerad CA som kan utfärda kortlivade identiteter.
Läs artikeln
sudo bör ge en person rätt att göra en avgränsad administrativ uppgift, inte fungera som ett generellt delat root-lösenord.
Läs artikeln
journald blir säkerhetsrelevant när loggar behöver överleva reboot, korreleras mellan tjänster och granskas efter en incident.
Läs artikeln
auditd är användbart när frågan är exakt vilken säkerhetsrelevant operation som utfördes, av vilken identitet och mot vilket objekt.
Läs artikeln
chmod räcker inte för alla Linuxmiljöer: ACL:er, grupper och capabilities kan ge precisionsstyrning utan att processen får full root-behörighet.
Läs artikeln
Wazuh är intressant för mig eftersom samma agent- och managerstruktur kan bidra med både säkerhetshändelser och systeminventering. Det gör endpointen möjlig att korrelera med nätverk och andra datakällor.
Läs artikeln
AppArmor och SELinux begränsar vad en process får göra även när traditionella Unix-behörigheter annars skulle tillåta operationen.
Läs artikeln
systemd kan begränsa en tjänsts filsystem, capabilities, namespaces och åtkomst till kernel-funktioner utan att applikationen behöver skrivas om.
Läs artikeln
En bra nftables-policy är kort nog att kunna granskas, tydlig med standardbeteende och byggd så att rollback inte kräver fysisk åtkomst till maskinen.
Läs artikeln
SSH är ofta den viktigaste fjärradministrativa vägen till en Linuxmaskin och bör behandlas som en identitetskontroll, inte bara som en öppen TCP-port.
Läs artikeln
CISA Malcolm visar hur flera open source-komponenter kan kombineras till en praktisk plattform för network traffic analysis. Den accepterar bland annat PCAP, Zeek-loggar och Suricata-alerts och gör data sökbar i Arkime och OpenSearch Dashboards.
Läs artikeln
Open source är inte automatiskt bättre än kommersiell säkerhetsmjukvara. Den stora styrkan är att man kan granska, integrera och förändra komponenterna när verksamhetens krav inte passar en färdig produktmodell.
Läs artikeln
Dan-Lite Malc är ett R&D-projekt där jag undersöker hur flera öppna säkerhetskomponenter kan ge en gemensam analystyta utan att ersätta de specialiserade verktygen under. Eftersom projektet är under utveckling skiljer jag tydligt mellan planerad arkitektur och funktioner som redan är implementerade och verifierade.
Läs artikeln
Linux-härdning blir hållbar först när basnivån är dokumenterad, förändringarna är små och resultatet går att verifiera efter uppdateringar.
Läs artikeln