Næsten alt netværksudstyr har en side, hvor det kan styres: firewallen, routeren, lagerenheden, serverens fjernstyringskort og den trådløse controller. Når en ekstern penetrationstest finder en sådan side tilgængelig fra internettet, bliver det som udgangspunkt et fund. Grunden er ikke, at siden nødvendigvis har en svaghed i dag, men at den giver kontrol over selve udstyret, og at sådanne sider gentagne gange har været ramt af alvorlige sårbarheder. Rettelsen handler om at flytte adgangen væk fra internettet, ikke om at gøre loginsiden stærkere.
For IT-afdelingen kan fundet være overraskende, fordi adgangen blev åbnet af praktiske grunde: en leverandør skulle kunne hjælpe, eller en kollega skulle kunne ordne noget hjemmefra. Det er den slags bekvemmelighed, testen er god til at vise.
Hvad der tæller som en administrationsflade
Rapporten kan nævne mange slags udstyr. Fælles for dem er, at den, der kommer ind, kan ændre på selve enheden og dermed på alt, der passerer gennem den.
- Firewalls og routere · webadministration eller andre styringsadgange på den udadvendte side.
- Lagerenheder og NAS · styring af diske, brugere og deling.
- Fjernstyringskort i servere · adgang til serverens hardware uafhængigt af operativsystemet.
- Virtualiseringsplatforme · styring af alle virtuelle maskiner på én gang. → Virtualiseringsplatformen
- Printere, kameraer og bygningsudstyr · enheder med egen webside, som ikke altid bliver opdateret.
- Driftsværktøjer · konsoller til overvågning, backup eller fjernstyring.
Nogle af disse står på internettet, fordi en firewallregel tillader det. Andre står der, fordi enheden har fået en offentlig adresse direkte, uden firewall foran. Begge dele hører under samme fundtype, men rettelsen er forskellig.
Hvorfor fundet vægtes højt
Alvorligheden af en åben administrationsflade afhænger af tre forhold, som testeren vil vurdere i rapporten. Det første er, hvad enheden styrer. En firewall eller en virtualiseringsplatform er nøglen til meget andet. Det andet er, om testeren fandt en konkret svaghed, fx en version med en kendt sårbarhed eller et login med svag beskyttelse. Det tredje er, hvor bredt adgangen er åben: for hele internettet eller kun for nogle få afsendere.
Selv uden en konkret svaghed vil mange rapporter vægte fundet, fordi risikoen ændrer sig fra den ene dag til den anden. Når en producent offentliggør en kritisk sårbarhed i sin administrationsside, er det enheder med siden ude på internettet, der står først for skud. → Leverandøren advarer om en kritisk sårbarhed
Den amerikanske myndighed CISA har pålagt føderale myndigheder i USA at fjerne den slags adgange fra internettet eller placere dem bag en adgangskontrol, der ligger uden for selve enheden. Direktivet gælder ikke danske virksomheder, men det viser, hvordan en myndighed vurderer fundtypen.
Det, IT-afdelingen skal afklare
Før fundet kan rettes, skal I vide, hvorfor adgangen er der. Svaret afgør, hvad der skal i stedet.
- Hvem bruger adgangen? · egen drift, driftsleverandøren, producentens support eller ingen.
- Hvorfra bruges den? · fra kontoret, hjemmefra, fra leverandørens net.
- Hvor ofte? · dagligt, ved fejl eller aldrig.
- Hvem besluttede at åbne den? · og findes der en ændring, der dokumenterer det?
Det kan vise sig, at adgangen ikke bruges, eller kun bruges sjældent. Så er rettelsen at lukke den. Bruges den, skal der findes en anden vej ind, som er afgrænset og kontrolleret.
Et tænkt eksempel: rapporten nævner administrationssiden på lagerenheden i et filialkontor. Det viser sig, at den lokale leverandør fik adgangen åbnet ved opsætningen for at kunne hjælpe på afstand, og at ingen har brugt den siden. Driften i hovedkontoret kendte ikke til den, fordi filialen har sin egen internetforbindelse. Her er der tre opgaver: luk adgangen, aftal med leverandøren, hvordan support fremover foregår, og få filialens udstyr med i det samlede overblik, så det ikke står uden for næste test.
Rettelsen på begrebsniveau
Princippet er, at styring af udstyr sker fra et afgrænset sted og ikke direkte fra internettet. Hvordan det løses, afhænger af miljøet, men retningen er den samme.
- Luk adgangen udefra · administrationen er kun tilgængelig fra et internt net eller et særskilt administrationsnet. → Administrationsnet
- Kontrolleret vej ind · den, der skal administrere udefra, går gennem en fjernadgang med stærkt login og logning.
- Adskilte konti · administration sker med særskilte konti, ikke med de konti, der bruges til mail og dagligt arbejde.
- Leverandørens adgang · tidsbegrænset og synlig, ikke permanent åben.
- Opdatering · udstyret holdes opdateret, også når adgangen er lukket. → Opdateringsstatus
Når adgangen er lukket, så kontrollér det udefra, og skriv i dokumentationen, hvordan administrationen nu foregår. Ellers åbner den næste, der har travlt, igen.
Udstyr uden firewall foran
En særlig variant er udstyr, der har fået en offentlig adresse direkte, fx en router hos en mindre afdeling, en lagerenhed, som en medarbejder har koblet på, eller en enhed hos en leverandør. Her er der ingen regel at lukke. Udstyret skal enten flyttes bag en firewall, eller dets egen administration skal afgrænses.
Den type fund kan pege på, at nogen har tilsluttet udstyr uden om IT. Det er værd at følge op med et spørgsmål om, hvordan nyt udstyr kommer på nettet, og om det registreres. → Netværksudstyr set indefra
Det skal I lade være med
- At forstærke loginsiden og lade den stå åben · problemet er, at siden kan nås, ikke kun hvordan man logger ind.
- At lade leverandørens adgang være permanent · den skal kunne åbnes, når der er brug for den, og ellers være lukket.
- At tro, at et ukendt portnummer skjuler siden · testen fandt den, og det kan andre også.
- At lukke uden at dokumentere · den næste kan åbne igen uden at kende baggrunden.
- At glemme udstyr uden firewall foran · det kræver en anden rettelse end en regel.
- At udskyde opdateringer, fordi adgangen nu er lukket · lukningen mindsker risikoen, men fjerner den ikke.
Hvad kan og ikke kan konkluderes
Fundet viser, at en administrationsflade kunne nås fra internettet på testtidspunktet, og eventuelt at den havde en konkret svaghed. Det er et klart grundlag for at lukke adgangen og for at se på, hvordan administration af udstyr er organiseret.
Fundet viser ikke, om nogen har brugt adgangen. Det viser heller ikke, om administration indefra er godt afgrænset. En side, der kun kan nås fra kontornettet, kan stadig være tilgængelig for alle medarbejdere, og det er et spørgsmål til en intern test. → Lagdelt administration
Tjekliste efter fundet
- ☐ Er hver åben administrationsflade knyttet til en enhed og en ejer?
- ☐ Er det afklaret, hvem der bruger adgangen, og hvorfra?
- ☐ Er adgang udefra lukket eller flyttet bag en kontrolleret vej ind?
- ☐ Er leverandørens adgang gjort tidsbegrænset?
- ☐ Er udstyr med direkte offentlig adresse fundet og håndteret?
- ☐ Er lukningen kontrolleret udefra og dokumenteret?
- ☐ Er udstyret opdateret, uanset om adgangen er lukket?
Kilder
- CISA BOD 23-02: Mitigating the Risk from Internet-Exposed Management Interfaces: pålægger amerikanske føderale myndigheder at fjerne administrationsflader fra internettet eller placere dem bag en særskilt adgangskontrol.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Adskilte administratorkonti · Versionsoplysninger i rapporten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
