Systemet, der overvåger servernes diske, systemet, der holder styr på alle maskiner, og systemet, der installerer programmer på dem, er bygget til at kunne nå overalt. Det er hele formålet. Men den, der overtager et af dem, kan bruge den samme rækkevidde. Om driftsværktøjerne er en styrke eller en svaghed, afhænger derfor af, hvordan de selv er beskyttet: hvem der kan logge på dem, hvilke konti de bruger, og hvad de har lov til at gøre på de maskiner, de når.
Værktøjerne bliver ikke altid set som en del af angrebsfladen, fordi de hører til driftens egen værktøjskasse. Netop derfor er de værd at tage med i testen.
Tre slags værktøjer med samme problem
- Overvågning · systemet, der henter status fra servere, netværksudstyr og tjenester, måske med konti, der kan logge på dem alle.
- Inventar og opdagelse · systemet, der finder maskiner på nettet og registrerer software og opsætning.
- Softwaredistribution og opdatering · systemet, der kan installere og køre programmer på alle tilsluttede maskiner.
Fælles for dem er, at de har konti eller agenter med rettigheder på mange maskiner, og at deres administration giver kontrol over den rækkevidde. Den tredje type er den mest følsomme, fordi den ikke kun kan læse, men også kan ændre. → Fjernstyringsværktøjer som testområde
Hvad testen afprøver
En intern test ser på driftsværktøjerne fra to sider: værktøjet som et system, der kan angribes, og værktøjet som en vej videre.
- Administrationen · om værktøjets konsol eller webflade kan nås fra brugernes net, og hvordan der logges på.
- Værktøjets konti · om de konti, værktøjet bruger til at nå maskinerne, har bredere rettigheder end nødvendigt, fx administrator i hele domænet. → Tjenestekonti
- Gemte loginoplysninger · om værktøjet opbevarer adgangskoder til andre systemer, og hvem der kan læse dem.
- Rollerne i værktøjet · om alle, der bruger det, har fulde rettigheder, eller om roller er delt efter opgave.
- Opdateringsstatus · om værktøjet selv har kendte svagheder.
Testen skal ikke bruge værktøjet til at installere eller køre noget på jeres maskiner. At vise, at det ville være muligt, er tilstrækkeligt, og det skal stå i aftalen.
Hvad IT skal have klar
Mange IT-afdelinger har flere driftsværktøjer, end de umiddelbart kan nævne. Nogle er købt, andre fulgte med et produkt, og enkelte er sat op af en tidligere medarbejder eller en leverandør.
- Liste over værktøjer · formål, ejer, og hvem der har adgang.
- Leverandørens rolle · driver driftsleverandøren værktøjet, skal leverandøren acceptere testen.
- Følsomme funktioner · beskriv, hvad testen ikke må udløse, fx udrulning af software eller ændring af overvågningsregler.
- Kontakt under testen · den, der kender værktøjerne, skal kunne svare hurtigt. → Kontaktpersonen i IT under testen
CISA anbefaler i en advarsel om misbrug af fjernstyrings- og driftsværktøjer, at organisationen har et overblik over, hvilke af den slags værktøjer der er i brug, og hvilke der er godkendt. Listen før testen er det første skridt.
Fundene og deres betydning
Fundene kan handle om rækkevidde, ikke om fejl i selve værktøjet. Overvågningens konto er domæneadministrator, fordi det var nemmest at få den til at virke. Softwaredistributionens administration kan nås af alle på nettet, og der logges på med en fælles konto. Inventarsystemet gemmer adgangskoder til netværksudstyr i klar tekst. Eller et værktøj, ingen bruger længere, kører stadig med sine konti og agenter.
Hver af dem kan i sig selv være en genvej til hele miljøet, selv om værktøjet i den daglige drift opfører sig præcis, som det skal, og ingen har haft grund til at se nærmere på det. Bed derfor testeren beskrive, hvor langt adgangen rakte, ikke kun at den fandtes. Det er rækkevidden, der afgør prioriteringen.
Når værktøjet tilhører driftsleverandøren
Har I lagt driften ud, kan det være leverandørens værktøjer, der overvåger og opdaterer jeres maskiner. Værktøjet står måske hos leverandøren og når ind til jer gennem en fast forbindelse eller agenter på jeres servere. Det ændrer ikke på risikoen, men det ændrer på, hvem der kan rette.
Testen kan se agenterne og de konti, værktøjet bruger i jeres miljø, og den kan vurdere, hvor langt de rækker. Den kan normalt ikke se leverandørens egen administration, og den må ikke uden særskilt aftale. Det skal stå tydeligt i rapporten, så ingen læser et resultat uden fund som en vurdering af leverandørens platform.
Fund om rettigheder i jeres miljø kan I kræve rettet gennem driftsaftalen. Spørgsmål om, hvordan leverandøren beskytter sin egen administration, og om den adskiller sine kunder, hører til i dialogen med leverandøren og i jeres leverandørstyring. Bed om et skriftligt svar, og gem det sammen med rapporten. → MSP og penetrationstest
Sådan begrænser I rækkevidden
NCSC’s principper for sikker systemadministration passer direkte på driftsværktøjerne, fordi de i praksis er administrationsflader. Overført til værktøjerne betyder det:
- Beskyt administrationen · værktøjernes konsoller kan kun nås fra administrationsnettet. → Administrationsnet
- Mindst mulige rettigheder · værktøjets konti har kun de rettigheder, opgaven kræver. Overvågning kan nøjes med at læse.
- Del efter lag · et værktøj, der når domænecontrollerne, er ikke det samme, der når brugernes maskiner. → Lagdelt administration
- Personlige konti og tofaktor · i stedet for en fælles konto til værktøjet.
- Log handlinger · især udrulninger og ændringer, og send logningen et sted hen, hvor den bliver læst.
- Fjern det, der ikke bruges · et gammelt værktøj med aktive agenter er en dør, ingen holder øje med.
Rettighederne kan strammes hurtigt, men afprøv først. Et overvågningssystem, der mister sin adgang, giver falsk ro, fordi alarmerne udebliver.
Det skal I lade være med
- At give værktøjets konto domæneadministrator for at undgå fejl. Rækkevidden bliver hele domænet.
- At lade alle i IT have fulde rettigheder i værktøjet. Roller efter opgave giver færre genveje.
- At lade testen udrulle noget for at bevise et fund. Påvist mulighed er nok.
- At glemme de værktøjer, der fulgte med et produkt. De kan have konti, ingen har valgt.
- At lade et udfaset værktøj køre videre. Afinstaller agenterne, og luk kontiene.
Hvad kan og ikke kan konkluderes
Testen viser, om driftsværktøjerne kunne nås, og hvor langt deres adgang rakte fra de udgangspunkter, testen havde. Den siger ikke noget om værktøjer, der ikke blev fundet eller var holdt uden for aftalen, og den vurderer ikke, om værktøjerne opfylder deres driftsformål. Et resultat uden fund betyder, at testeren ikke kom ind i værktøjerne i perioden.
Tjekliste til driftsværktøjerne
- ☐ Er alle driftsværktøjer listet med formål og ejer?
- ☐ Kan værktøjernes administration kun nås fra administrationsnettet?
- ☐ Har værktøjernes konti kun de rettigheder, opgaven kræver?
- ☐ Bruges personlige konti med tofaktor i værktøjerne?
- ☐ Logges udrulninger og ændringer?
- ☐ Er værktøjer, der ikke bruges, afinstalleret?
Kilder
- NCSC: Secure system administration: principper for beskyttede administrationsflader, administration i lag, styring af privilegeret adgang og logning af administratorhandlinger.
- CISA, NSA og MS-ISAC: Protecting Against Malicious Use of Remote Monitoring and Management Software (AA23-025A): advarsel om misbrug af legitime fjernstyrings- og driftsværktøjer med anbefaling om overblik over, hvilke værktøjer der er i brug og godkendt, og om logning af brugen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Tjenestekonti · Virtualiseringsplatformen som testområde
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
