IDS/IPS-karriere i 2026: fra SOC til Detection Engineer

Indtrængningsdetektion og -forebyggelse er i 2026 en disciplin, hvor klassiske netværksalarmer skal kobles med cloud-telemetri, endpoint-data, identitetslogs og compliancekrav. Det gør rollen mere analytisk og mere driftsnær, især i organisationer med hybride miljøer og et aktivt SOC.

En IDS/IPS-specialist arbejder med at opdage, analysere og i nogle tilfælde blokere mistænkelig aktivitet i netværk, systemer og cloudmiljøer. IDS står for intrusion detection system og bruges primært til at opdage og alarmere, mens IPS står for intrusion prevention system og kan gribe ind automatisk ved at blokere eller afvise trafik. Forskellen lyder enkel, men i praksis kræver den god dømmekraft, fordi en forkert blokeringsregel kan påvirke forretningen, mens en svag detektionsregel kan lade et angreb passere.

Derfor er karrierevejen sjældent kun et spørgsmål om at lære et bestemt værktøj. Den kræver forståelse for netværksprotokoller, angrebsmetoder, logkilder, incident response og den måde, organisationen måler sikkerhedsdrift på. En god IDS/IPS-profil kan forklare, hvorfor en alarm er vigtig, hvad der bør undersøges næste gang, og hvordan en regel kan tunes uden at skjule reel risiko.

Hvad laver en IDS/IPS-specialist i praksis?

På papiret handler rollen om realtidsovervågning, analyse og forebyggelse. I den daglige drift er arbejdet mere nuanceret. Et skift kan begynde med gennemgang af natlige alarmer fra IDS, NDR, SIEM eller XDR-platforme, fortsætte med triage af mistænkelige DNS-forespørgsler eller proxyhændelser og ende med tuning af en regel, der har skabt for mange falske positiver.

Specialisten arbejder typisk tæt sammen med SOC-analytikere, incident response, netværksteam, cloud platform teams og it-drift. Hvis en Suricata- eller Snort-regel udløses på trafik mod en intern server, er det sjældent nok at konstatere, at der findes en alarm. Der skal undersøges pakkeindhold, flowdata, endpoint-telemetri, identitetslogs og ændringshistorik, før organisationen kan afgøre, om der er tale om scanning, fejlkonfiguration, malwareaktivitet eller legitim applikationstrafik.

Det er også her, forskellen mellem IDS og IPS bliver praktisk vigtig. IDS-fokus passer ofte til roller, hvor dyb analyse, packet capture, forensics og threat hunting fylder meget. IPS-fokus kræver mere forståelse for policy, netværksdesign og forretningspåvirkning, fordi en automatisk blokering kan ramme kunder, produktion eller interne systemer. Mange modne sikkerhedsteams bruger derfor IDS til at opbygge tillid til en detektion, før de gradvist flytter udvalgte regler over i forebyggende kontrol.

Fra signaturer til detection engineering

Den traditionelle IDS-verden var længe domineret af signaturer: kendte mønstre i netværkstrafik, som kunne genkendes og udløse en alarm. Signaturer er stadig nyttige, men de dækker ikke hele virkeligheden i cloud- og hybridmiljøer. Moderne angreb bruger legitime protokoller, identitetsmisbrug, living-off-the-land-teknikker og krypteret trafik, hvor netværkspakken alene ikke fortæller hele historien.

Som følge af det bevæger rollen sig mod detection engineering. Det betyder, at specialisten ikke kun reagerer på alarmer, men designer, tester, dokumenterer og forbedrer detektioner på tværs af datakilder. Det kan omfatte DNS, proxy, EDR, firewall, VPN, Azure- eller AWS-flowlogs, identitetshændelser og sårbarhedsdata. I Microsoft-tunge miljøer vil KQL og SIEM/XDR-arbejde ofte være en vigtig del af hverdagen, mens andre organisationer vægter Sigma-regler, Zeek-logs, Suricata-regler eller kommercielle NDR-platforme.

En almindelig fejl blandt nye specialister er at betragte flere alarmer som bedre sikkerhed. I praksis er værdien højere, når reglerne er præcise, dokumenterede og forbundet med en handlingsplan. Ledelsen og incident response-teamet har brug for at vide, hvilke scenarier der dækkes, hvilke datakilder der bruges, hvor ofte reglen fejrer falsk, og hvad næste undersøgelsestrin er.

NIS2, CFCS og den nordiske kontekst

I Danmark og resten af Norden påvirkes IDS/IPS-arbejde i stigende grad af krav til logning, overvågning, hændelseshåndtering og ledelsesrapportering. NIS2 skærper forventningerne til risikostyring og sikkerhedsforanstaltninger for mange organisationer, mens vejledninger fra Center for Cybersikkerhed ofte bruges som praktisk reference for beredskab, segmentering, logning og reaktionsevne. Det gør det sværere at behandle IDS/IPS som en isoleret teknisk funktion.

Konsekvensen er, at SOC, netværk, governance og ledelse skal tale mere sammen. En IDS/IPS-specialist kan blive bedt om at dokumentere, hvilke kritiske systemer der er dækket, hvor længe logs gemmes, hvordan alarmer eskaleres, og hvilke kontroller der er afhængige af manuelle processer. Det er ikke nok at have en sensor installeret; organisationen skal kunne vise, at overvågningen faktisk understøtter hændelseshåndtering og risikostyring.

For regulerede virksomheder kan NIS2 også ændre prioriteringen af tekniske opgaver. Tuning af alarmer, test af detektionsregler og rapportering af MTTD og MTTR bliver lettere at begrunde, når de kobles til forretningskritiske services og beredskab. Læsere, der arbejder med den bredere governance-vinkel, bør også forstå de operationelle konsekvenser af NIS2 frem for kun de juridiske krav.

Kompetencer arbejdsgivere typisk leder efter

Nordiske arbejdsgivere efterspørger ofte en blanding af teknisk dybde og driftsforståelse. Netværksviden er stadig grundlaget: TCP/IP, DNS, TLS, HTTP, routing, segmentering og firewallregler. Oven på det kommer evnen til at læse logs, forstå hændelsesforløb og skelne mellem støj og signal.

I praksis nævnes erfaring med DNS-, proxy-, firewall-, EDR-, VPN- og cloudlogs ofte i stillinger inden for SOC og detection. SQL, KQL eller tilsvarende query-sprog er værdifulde, fordi meget analyse foregår i SIEM, data lakes eller XDR-platforme. Python eller PowerShell kan hjælpe med parsing, enrichment og automatisering, men det vigtigste er ikke sproget i sig selv. Det vigtigste er evnen til at reproducere en analyse, dokumentere antagelser og forklare resultatet til andre teams.

Derudover har rollen en tydelig kommunikationsside. En IDS/IPS-specialist skal kunne skrive en kort og præcis eskalering til incident response, forklare en falsk positiv til netværksteamet og rapportere regelhygiejne til en leder uden at drukne budskabet i tekniske detaljer. Det er ofte denne kombination af analyse og formidling, der adskiller en stærk kandidat fra en person, der kun kan betjene et værktøj.

Certificeringer og veje ind i rollen

Certificeringer kan hjælpe med at strukturere læringen, men de bør vælges efter nuværende erfaring og ønsket retning. En ny sikkerhedsprofil kan bruge CompTIA Security+ til at opbygge et bredt fundament. En analytiker, der allerede arbejder i SOC, kan derefter bevæge sig mod mere praktisk detektion, hændelseshåndtering og SIEM-arbejde.

Der findes ikke én certificering, der alene gør en kandidat til IDS/IPS-specialist. GIAC GCIH er relevant for hændelseshåndtering og forståelse af angrebsmønstre, mens CEH kan give indsigt i offensive teknikker, som defensive teams skal kunne genkende. CISSP og CISM passer bedre til erfarne profiler, der skal koble tekniske kontroller til sikkerhedsledelse, risiko og governance.

Readynez kan indgå som en struktureret træningspartner for kandidater, der vil samle certificeringsforberedelse med praktisk sikkerhedsdrift, men certificering bør altid følges af labarbejde og dokumenterede cases. Ansættende ledere vil typisk se efter bevis på, at kandidaten kan analysere data, ikke kun genkende eksamensbegreber.

Sådan bygger man praktisk erfaring uden et stort budget

Praktisk erfaring er ofte den største barriere for nye kandidater. Den kan dog opbygges med åbne værktøjer og offentlige datasæt, hvis arbejdet gøres systematisk. Security Onion, Zeek, Suricata og Snort kan bruges i et lokalt lab eller en mindre virtuel opsætning, hvor pcaps analyseres og regler testes uden at berøre produktionsmiljøer.

Offentlige packet capture-datasæt fra kilder som MAWI eller Stratosphere kan give realistiske øvelser i trafikforståelse. Det centrale er at dokumentere arbejdet som en analytiker ville gøre det i en rigtig organisation: hvad blev observeret, hvilke hypoteser blev testet, hvilke logs understøttede konklusionen, og hvilken regel eller tuning blev foreslået. En portfolio med korte writeups kan være mere overbevisende end en liste over værktøjer, fordi den viser metode.

1. Vælg et afgrænset scenarie, for eksempel DNS-tunneling, port scanning eller mistænkelig TLS-trafik.
2. Indlæs et relevant pcap-datasæt i Zeek eller Security Onion og identificér de vigtigste logkilder.
3. Skriv en kort detektionshypotese, før der bygges en regel eller query.
4. Test reglen mod datasættet og notér både fund og falske positiver.
5. Dokumentér resultatet med anbefalet respons, begrænsninger og forslag til tuning.

En god øvelse er at tage den samme hændelse gennem flere datakilder. Hvis en mistænkelig forbindelse ses i netværksflow, bør den kunne sammenholdes med DNS, proxy, endpoint eller identitetsdata. Den vane gør kandidaten bedre rustet til hybride miljøer, hvor ingen enkelt sensor giver hele svaret.

Målepunkter, der viser værdien af arbejdet

IDS/IPS-arbejde bliver ofte undervurderet, når det kun beskrives som alarmovervågning. Værdien bliver tydeligere, når den knyttes til målepunkter, som ledelse og drift kan forstå. MTTD viser, hvor hurtigt organisationen opdager mistænkelig aktivitet, mens MTTR viser, hvor hurtigt den reagerer og genskaber kontrol. Begge målepunkter afhænger af datakvalitet, eskalationsveje og automationsniveau.

False positive-rate er et andet vigtigt mål, men det skal bruges forsigtigt. En lavere rate er ikke automatisk bedre, hvis den skyldes, at regler er blevet for brede eller slået fra. Regelhygiejne handler derfor om at gennemgå detektioner løbende, fjerne forældede regler, tilpasse tærskler og dokumentere, hvilke trusler reglen dækker. Når tuning reducerer støj uden at svække dækningen, frigør det tid til bedre analyse og hurtigere respons.

Rapportering bør ikke kun handle om antal alarmer. En mere moden rapport viser, hvilke kritiske systemer der er dækket, hvilke use cases der er testet, hvilke datakilder der mangler, og hvilke forbedringer der er gennemført. Det gør IDS/IPS-funktionen mere synlig som risikoreducerende arbejde frem for ren værktøjsdrift.

Løn og efterspørgsel i Danmark og Norden

Løn for IDS/IPS-roller afhænger af erfaring, branche, vagtordning, sikkerhedsgodkendelse, cloudkompetencer og ansvarsniveau. Internationale kilder som Courseras oversigt over cybersecurity analyst salary kan give et bredt sammenligningspunkt, men amerikanske tal bør ikke bruges direkte til danske forhold. Lokale lønintervaller bør vurderes med kilder som Jobindex, IDA, PROSA, Finansforbundet eller konkrete stillingsopslag, og intervallerne bør læses med forbehold for branche og geografi.

Efterspørgslen i Danmark hænger sammen med flere forhold: flere cloud- og hybridmiljøer, øget outsourcing af SOC-funktioner, krav fra NIS2 og et generelt pres for bedre detektion og respons. DI, ENISA og CFCS peger alle på cybersikkerhed som et område med væsentlig organisatorisk betydning, men den enkelte kandidat bør stadig undersøge lokale opslag frem for at basere en karrierebeslutning på generelle markedsudsagn.

Karriereprogression: bredde eller dybde

Mange starter som SOC L1-analytiker, junior sikkerhedsanalytiker eller netværksadministrator med sikkerhedsopgaver. Her er målet at opbygge mønstergenkendelse, forstå eskalering og lære, hvordan alarmer ser ud i virkelige miljøer. Næste skridt kan være SOC L2, incident responder, detection engineer, threat hunter eller specialist i netværksforensics.

Valget mellem bredde og dybde bør træffes bevidst. Bredde er nyttig for profiler, der vil koordinere hændelser, forstå mange teknologier og senere bevæge sig mod sikkerhedsledelse eller arkitektur. Dybde passer til profiler, der vil arbejde med pakkeanalyse, protokoller, malwarekommunikation, regeludvikling og teknisk threat hunting. Begge veje kan føre til seniorroller, men de kræver forskellige beviser på kunnen.

En praktisk tommelfingerregel er at vælge bredde, hvis arbejdet primært handler om triage, kommunikation og koordinering på tværs af platforme. Vælg dybde, hvis energien ligger i at forstå, hvorfor en bestemt byte-sekvens, DNS-adfærd eller beaconing-rytme afslører et angreb. Vælg cloud detection, hvis organisationens vigtigste risici ligger i identitet, workloads, SaaS og flowlogs frem for klassisk perimetertrafik.

Et realistisk næste skridt

En IDS/IPS-karriere bygges bedst ved at kombinere grundlæggende cybersikkerhed, netværksforståelse, loganalyse og dokumenteret praktisk arbejde. Det er bedre at kunne forklare en håndfuld velbyggede detektioner end at kende navnene på mange værktøjer uden at kunne vise, hvordan de bruges i en hændelse.

Det mest effektive næste skridt er at vælge én retning, bygge et lille lab, dokumentere analyser og koble læringen til en relevant certificering. Kandidater, der ønsker en fleksibel måde at samle sikkerhedstræning på, kan overveje Unlimited Security Training fra Readynez som supplement til praktiske øvelser og portfoliobyggende arbejde.