Den adgang, IT-afdelingen bruger til at styre servere, netværksudstyr og virtualisering, er den mest værdifulde adgang på hele nettet. Står den åben fra de samme net, som medarbejdernes maskiner bruger, kan en angriber, der har fået fodfæste på én klient, nå de flader, der giver kontrol over alt andet. Et administrationsnet løser det ved at give administrationen sin egen vej: et adskilt net, som kun bestemte maskiner og konti kan bruge. Svaret hviler på et enkelt princip, som også britiske NCSC lægger vægt på: administrationsflader skal beskyttes, så kun autoriserede kan nå dem.
Hvad testen ser på
En intern test registrerer, hvilke styringsflader der kan nås fra de udgangspunkter, testeren har. Rapporten skelner ikke nødvendigvis mellem et fund om én server og et mønster, så det er driftens opgave at se sammenhængen. Testen kan blandt andet vise:
- Webflader og konsoller · administrationssider på switche, firewalls, printere og lagersystemer, som svarer fra brugernettet.
- Fjernstyring af servere · tjenester til fjernskrivebord og fjernadministration, som kan nås fra alle klienter.
- Hardwarestyring · de indbyggede styringsenheder i servere, som giver adgang uafhængigt af styresystemet.
- Virtualisering og backup · konsoller, hvor én adgang styrer mange servere eller alle sikkerhedskopier.
Hvert enkelt punkt kan være beskyttet af en adgangskode. Fundet handler om, at forsvaret kun består af det ene lag. → Servere som testområde
Hvorfor en adgangskode ikke er nok
Administration fra brugernettet betyder, at angriberen ikke behøver at bryde en grænse for at komme til login-siden. Hvis adgangskoden er svag, genbrugt, gemt i et script eller kan opsnappes, er der intet andet, der stopper forsøget. Kendte svagheder i styringsfladerne selv kan også udnyttes direkte, når de kan nås.
Et adskilt administrationsnet giver et ekstra lag. Selv med en gyldig adgangskode skal man først være på det rigtige net, fra den rigtige maskine. Det gør det sværere at bruge stjålne oplysninger og lettere at se, når nogen forsøger. Tofaktorgodkendelse på styringsfladerne er et godt supplement, men den erstatter ikke adskillelsen, fordi ikke alt udstyr understøtter den.
Tre dele af en adskilt administration
Et administrationsnet er ikke kun et virtuelt net med et andet nummer. Det består af tre dele, som hænger sammen.
- Nettet · styringsflader på servere, udstyr og platforme placeres i en zone, som brugernettet ikke kan nå.
- Maskinerne · administration foregår fra dedikerede maskiner, som ikke bruges til mail og internet.
- Kontiene · administratorer bruger særskilte konti til administration og almindelige konti til det daglige. → Én konto til alt
Mangler én af delene, svækkes de andre. Et adskilt net, som kan nås fra en almindelig bærbar med mail og browser, flytter blot risikoen derhen. Hvordan delene kobles til niveauer efter, hvor meget en adgang giver kontrol over, er beskrevet i → Lagdelt administration.
CISA og partnermyndigheder anbefaler i vejledning til teleinfrastruktur et administrationsnet, der er fysisk adskilt fra det net, der bærer den almindelige trafik. Vejledningen er skrevet til teleudbydere, men princippet om at holde administrationen på sin egen vej gælder også i mindre net.
Hvad I skal afklare med driftsleverandøren
Nogle virksomheder administreres helt eller delvist af en driftsleverandør. Leverandørens adgang skal ind i samme model, ellers bliver den den bagdør, som opdelingen ikke dækker.
- Hvorfra · fra hvilke net og maskiner leverandøren administrerer jeres systemer.
- Hvordan · om adgangen går gennem et kontrolleret punkt, eller direkte til de enkelte servere.
- Hvem · om leverandørens medarbejdere har personlige konti eller deler en fælles konto.
- Hvornår · om adgangen er åben hele tiden eller kun, når den skal bruges.
Fjernstyringsværktøjer og overvågningssystemer, som når ud til alle maskiner, hører også med. De er i praksis administrationsadgang, selv om de ikke altid omtales sådan. → Driftsværktøjer med bred adgang
Sådan prioriterer I fundet
Start med de flader, der giver kontrol over mange systemer på én gang: virtualiseringsplatformen, backupkonsollen, netværksudstyrets administration og hardwarestyringen på de vigtigste servere. Når de er flyttet, er den største del af risikoen reduceret.
Derefter kommer de enkelte servere og enheder. For dem kan en midlertidig begrænsning være en løsning, fx at kun IT’s egne adresser må nå fladen, indtil et egentligt administrationsnet er på plads. Midlertidige løsninger skal have en ejer og en dato. → Midlertidige afhjælpninger
Netværksudstyret selv fortjener særlig opmærksomhed, fordi det er det, der håndhæver opdelingen. Kan switche og firewalls administreres fra brugernettet, kan den, der kommer ind dér, også ændre reglerne. → Switche, routere og firewalls indefra
Når administrationsnettet bygges
Et administrationsnet ændrer administratorernes hverdag, og det er dér, projektet kan komme i problemer. Hvis den nye vej er besværlig, opstår der genveje: en regel, der åbner fra en enkelt bærbar, en delt konto, der gemmes et sted, hvor alle kan finde den, eller en fjernforbindelse, der går uden om det hele. Inddrag derfor dem, der skal bruge løsningen, tidligt, og afprøv den i det daglige arbejde, før de gamle veje lukkes.
Byg i samme rækkefølge som prioriteringen. Flyt først de flader, der styrer mange systemer, og luk derefter adgangen fra brugernettet til dem. Notér for hver flade, hvem der skal kunne nå den, og hvorfra. Den liste bliver senere grundlaget for at kontrollere, at nettet stadig er adskilt.
Overvej også, hvordan administrationsnettet selv overvåges. Når al administration går ad én vej, bliver det lettere at se, hvem der loggede på hvad og hvornår. Det er en af gevinsterne, som er let at overse, når fokus er på at lukke adgange.
Det skal I lade være med
- At flytte styringsfladerne uden at flytte administratorernes maskiner. Så følger risikoen med.
- At lade administrationsnettet kunne nås fra hele brugernettet. Så er det kun et navn.
- At glemme hardwarestyringen i serverne. Den er let at overse, fordi den ikke ligner en server.
- At holde driftsleverandøren uden for modellen. Leverandørens adgang er også administration.
- At gøre undtagelser permanente. Den enkelte åbning til en konsulent bliver stående, hvis ingen lukker den.
Hvad kan og ikke kan konkluderes
Testen kan vise, hvilke styringsflader der kunne nås fra de udgangspunkter, testeren havde, og om de var beskyttet af mere end en adgangskode. Den siger ikke nødvendigvis noget om de flader, der kun kan nås fra andre net, og den afprøver ikke, om jeres administratorer faktisk bruger de dedikerede maskiner. Det sidste er en arbejdsgang, som I selv skal følge op på.
Tjekliste til administrationsadgang
- ☐ Ved I, hvilke styringsflader der findes på servere, udstyr og platforme?
- ☐ Kan de nås fra brugernettet i dag?
- ☐ Har administratorerne særskilte konti og dedikerede maskiner?
- ☐ Er driftsleverandørens adgang beskrevet med hvorfra, hvordan, hvem og hvornår?
- ☐ Er de flader, der styrer mange systemer, prioriteret først?
Kilder
- NCSC: Secure system administration: beskyt de enheder, der bruges til administration, og administrationsflader, så kun autoriserede kan nå dem; lagdel administrativ adgang.
- CISA m.fl.: Enhanced Visibility and Hardening Guidance for Communications Infrastructure: administrationsnet adskilt fra det net, der bærer den almindelige trafik.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fladt netværk · Segmentering i dybden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
