Backup skal holde, når alt andet er gået galt, og derfor er backupsystemet et af de første mål for den, der vil presse en virksomhed. Hvis de samme administratorkonti, der styrer servere og domæne, også kan slette kopierne, er backup ikke en sidste udvej, men blot endnu et system, der kan ødelægges. Om backup holder i den situation, hviler på tre former for adskillelse: af konti, af net og af selve kopierne.
Køberens overordnede spørgsmål om backup og penetrationstest, herunder forskellen på en test af adgangen og en gendannelsestest, er beskrevet på penetrationtest.dk. Her er det IT-afdelingens arbejde med backupsystemet som testområde.
Backupsystemets dele set fra driften
Et backupsystem består for IT-afdelingen af flere dele, og hver del kan være et svagt punkt.
- Administrationen · den konsol eller portal, hvor job, opbevaring og sletning styres.
- Backupserveren og agenterne · det, der henter data fra servere og tjenester.
- Lageret · diske, bånd, et lagersystem eller en cloudtjeneste, hvor kopierne ligger.
- Kontiene · dem, der logger på administrationen, og dem, backup bruger til at hente data.
- Nøglerne · hvis kopierne er krypteret, de nøgler, der skal til for at læse dem igen.
En test ser på, om nogen af delene kan nås og ændres med en adgang, der ikke burde række så langt.
Hvad testen afprøver
Backup kan indgå i en intern test som et mål, testen forsøger at nå fra et udgangspunkt på nettet. Spørgsmålene er konkrete:
- Kan backupadministrationen nås fra brugernes net eller fra almindelige servere?
- Logger administratorer på backup med domænets administratorkonti?
- Har backupsystemets egne konti flere rettigheder i domænet end nødvendigt? → Tjenestekonti
- Kan kopier, opbevaringsregler eller job ændres eller slettes fra en overtaget server?
- Findes der kopier, som ikke kan ændres eller slettes inden for opbevaringsperioden, heller ikke af en administrator?
- Ville nogen få en alarm, hvis job blev stoppet, eller kopier slettet?
Testen skal kun vise, at en handling ville være mulig. Den må ikke slette, ændre eller kryptere noget. Det skal stå i aftalen, og testeren skal stoppe og melde, hvis backup kan nås. → Beredskab under testen
Tre former for adskillelse
Fund i backupsystemet kan føres tilbage til, at backup ikke er adskilt nok fra resten af miljøet.
Adskilte konti. Backup administreres med konti, som ikke bruges andre steder, og som ikke er medlem af domænets administratorgrupper. Hvis domænet bliver overtaget, følger backup ikke automatisk med. Tofaktor på administrationen er en del af det samme princip.
Adskilt net. Backupadministrationen og lageret kan kun nås fra de maskiner, der skal bruge dem. Brugernes net og almindelige servere har ingen vej til administrationen. → Administrationsnet
Adskilte kopier. Mindst én kopi kan ikke ændres eller slettes, før opbevaringsperioden er udløbet, eller ligger et sted, som ikke kan nås fra nettet. CISA anbefaler i sin vejledning om ransomware at holde krypterede kopier offline og at kontrollere og afprøve dem jævnligt. CISA nævner samtidig, at låst lager hos en cloududbyder skal bruges med omtanke, fordi en forkert opsætning kan blive dyr.
NCSC har for cloudbackup beskrevet fem principper, som også er en god rettesnor for lokal backup: beskyttelse mod sletning og ændring, ingen mulighed for at lukke kunden helt ude af sin backup, gendannelse fra ældre versioner, sikker håndtering af nøgler og alarmer ved væsentlige ændringer.
Det, IT skal have klar
- Oversigt over løsningerne · servere, mail og dokumenter i cloud og andre systemer kan have hver sin backup. Skriv, hvilke der er med.
- Ejerskab · hvem der administrerer hver løsning, og om en leverandør står for den.
- Frisk kopi · kontrollér, at der findes en intakt kopi af de vigtigste systemer før start. → Backup og gendannelsespunkt før testen
- Kontakt · den, der kender backupsystemet, skal være til at få fat i under testen.
- Leverandørens accept · ligger lageret hos en leverandør eller i cloud, skal det afklares, hvad testen må berøre.
Backup af Microsoft 365 og andre cloudtjenester
Mail, dokumenter og Teams kan ligge i Microsoft 365, og backup af dem kan ske med en særskilt tjeneste, som har fået vide rettigheder i lejeren for at kunne hente alle data. Det gør tjenesten til et testområde i sig selv. Spørgsmålene er de samme som lokalt: hvem kan logge på tjenestens administration, med hvilke konti, og kan kopierne slettes derfra?
Der er også et spørgsmål om retningen. Den programadgang, som backuptjenesten har i lejeren, er bred, og den skal behandles som en privilegeret adgang med en ejer og en jævnlig gennemgang. → Appregistreringer og samtykke
Prioritering af fundene
Et fund, der viser, at backup kan slettes med en overtaget domæneadministratorkonto, bør behandles som kritisk, også selv om testeren ikke slettede noget. Konsekvensen er, at både data og vejen tilbage kan forsvinde på én gang.
Rettelserne har forskellig karakter. Adskilte konti og tofaktor på administrationen kan gennemføres hurtigt. Et adskilt net kræver mere planlægning. Kopier, der ikke kan ændres, kan kræve nyt lager eller en ny aftale med leverandøren, og det er et projekt. Del dem op, så de hurtige rettelser ikke venter på projektet. → Hurtige rettelser og større projekter
Glem ikke alarmerne. Et stoppet job eller en ændret opbevaringsregel er tegn, som driften skal se samme dag.
Det skal I lade være med
- At lade backup bruge domænets administratorkonti. Så falder backup sammen med domænet.
- At regne en kopi i samme net for adskilt. Hvis den kan nås, kan den ødelægges.
- At lade testeren slette noget som bevis. Påvist adgang er nok.
- At glemme nøglerne. En krypteret kopi uden nøgle kan ikke gendannes.
- At tro, at en test af adgangen viser, at gendannelsen virker. Det kræver en særskilt gendannelsestest.
Hvad kan og ikke kan konkluderes
Testen viser, om backupsystemet kunne nås, og om kopier kunne ændres eller slettes fra de udgangspunkter og med de konti, testen havde. Den siger ikke, om kopierne er hele, eller om de kan gendannes i tide. Løsninger, der ikke var med, er ikke vurderet. Et resultat uden fund om backup er en oplysning om adgangen på testtidspunktet, ikke en garanti for, at virksomheden kommer igennem et alvorligt nedbrud.
Tjekliste til backupsystemet
- ☐ Er backupadministrationen beskyttet med egne konti og tofaktor?
- ☐ Er backupens administration kun tilgængelig fra et adskilt net?
- ☐ Findes der mindst én kopi, der ikke kan ændres eller slettes?
- ☐ Er nøglerne til krypterede kopier opbevaret adskilt?
- ☐ Giver stoppede job og ændrede regler en alarm?
- ☐ Er det aftalt, at testen ikke ændrer eller sletter noget?
- ☐ Er en gendannelsestest planlagt som særskilt opgave?
Kilder
- NCSC: Principles for ransomware-resistant cloud backups: fem principper for backup, der modstår ransomware: beskyttelse mod sletning og ændring, ingen total udelukkelse, gendannelse fra ældre versioner, nøglehåndtering og alarmer ved væsentlige ændringer.
- CISA: #StopRansomware Guide: anbefalingen om offline, krypterede kopier af kritiske data, jævnlig kontrol og afprøvning af backup og forbeholdet om låst lager.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Virtualiseringsplatformen som testområde · Beredskabsplanen efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
