Spørgsmål og svar til IT-afdelingen

Hvad skal IT have klar før første testdag?

En kontrolleret liste over systemer og adresser, testkonti med de aftalte roller, en kontaktperson, der kan træffe beslutninger, og en overvågning, der kender testperioden. Testen bør også stå i jeres ændringsstyring, så ingen planlægger en større ændring midt i den. Ligger dele af miljøet hos en driftsleverandør, skal den kende perioden og have udpeget sin egen kontakt. → Forberedelse i IT-afdelingen

Hvad betyder det for driften, om testen er ekstern eller intern?

Ved en ekstern test arbejder testeren fra internettet, og fundene handler om det, der svarer på jeres offentlige adresser. Ved en intern test skal driften stille adgang til nettet til rådighed, enten via et netværksstik, en VPN-forbindelse eller en udleveret maskine, og fundene kan handle om rettigheder og adskillelse. Forberedelsen er forskellig, og det samme er fordelingen af rettelser. → Intern penetrationstest

Skal Active Directory med i testen?

Hvis jeres brugere og servere styres fra Active Directory, er kataloget et af de områder, hvor et fund kan få størst rækkevidde. Testen ser på privilegerede grupper, tjenestekonti, delegerede rettigheder og domænecontrollere. Er kataloget forbundet med Entra ID, hører forbindelsen også med. → Active Directory-test i dybden

Skal vi vælge en gennemgang eller en test af vores cloud?

Det afhænger af, hvad I vil vide bagefter. En konfigurationsgennemgang ser bredt på, hvordan Microsoft 365, Azure eller AWS er sat op, og sammenligner med anbefalinger. En penetrationstest afprøver, hvad en bestemt konto eller adgangsvej faktisk kan nå. De to kan godt kombineres. → Konfigurationsgennemgang eller penetrationstest af cloud

Overvågningen slår alarm under testen. Er det bare testeren?

Gå ikke ud fra det. Aftal kendetegn for testen på forhånd, få en bekræftelse fra testeren ad en kendt kanal, og behandl alt, der ikke kan bekræftes, som en reel hændelse. En rigtig angriber kan godt være aktiv i samme uge. → Alarmer under testen

Vi har systemer, der ikke tåler ret meget. Skal de holdes ude?

Ikke nødvendigvis. Find dem før testen, beskriv, hvad de ikke tåler, og få hensynet skrevet ind i aftalen. Så ved både testeren og driften, hvad der gælder, og systemet kan indgå på aftalte vilkår i stedet for at blive et hul i billedet. → Skrøbelige systemer

Kan testen vise, om vi ville opdage et angreb?

Delvist. En intern test giver jer en kendt tidslinje, som I kan holde op mod det, jeres logning faktisk registrerede. Forskellen viser, hvad I ville have kunnet efterforske. En egentlig måling af opdagelse og reaktion er en anden type øvelse, som hører under red teaming. → Logning under den interne test

Hvordan får vi rapportens fund ind i vores opgavesystem?

Del fundene op efter, hvem der skal handle, ikke kun efter rapportens nummerering. Hver sag skal have rapportens fundnummer, de berørte systemer, det ønskede resultat i almindelige ord og et kriterium for, hvornår den kan lukkes. Begræns, hvem der kan se de følsomme detaljer. → Fra fund til opgave

Hvad skal ryddes op, når testeren er færdig?

Alt det, der blev sat op for at gøre testen mulig: testkonti, ekstra rettigheder, forbindelser, undtagelser i overvågning eller firewall og eventuelt udstyr på nettet. Gør det som en planlagt gennemgang med en ejer for hvert punkt, og kontrollér i selve systemerne, at ændringerne er væk. → Oprydning efter testen

Hvad gør vi med et fund i et system, der ikke kan opdateres?

Arbejd i tre spor på samme tid: begræns, hvem og hvad der kan nå systemet, planlæg udskiftningen, og få beslutningen om at leve med systemet imens truffet og skrevet ned af den, der ejer risikoen. Det sidste er ikke IT’s beslutning alene. → Et system, der ikke kan opdateres

Hvor tit skal vi teste?

Der findes ingen regel, der passer til alle. Ændringstakten er den bedste målestok: nye tjenester, ny fjernadgang, flytning til cloud eller skift af driftsleverandør. Nogle har desuden krav fra en standard eller fra kunder, der fastlægger et minimum. → Hvor tit skal internetsiden testes?

Vi er MSP. Hvem bestiller testen, og hvem retter?

Kunden bestiller og giver tilladelsen, fordi det er kundens systemer og data. MSP’en kan ikke give tilladelsen i kundens sted, selv med administratoradgang til alt. MSP’en hjælper testen igennem og retter inden for det, driftsaftalen dækker. Resten aftales særskilt. Fordelingen bør stå skrevet, før testen begynder. → MSP og penetrationstest

Kunden har bestilt en test af det miljø, vi drifter. Hvad skal vi gøre?

Gør testen mulig og retvisende uden at overtage rollen som bestiller. Afklar, hvad der er kundens, hvad der er jeres, og hvad der er delt, aftal en kontaktvej for hele testperioden, og læg en plan for, hvordan fundene håndteres bagefter. → Kunden har bestilt en test

Kan vi som driftsleverandør selv teste kundens miljø?

Det frarådes, når kunden skal have et uafhængigt billede. En tester, der har bygget eller passer miljøet, ser det med driftens øjne. MSP’en kan i stedet koordinere med en uafhængig tester, forberede miljøet og rette bagefter, mens kunden beholder rollen som bestiller og modtager af rapporten. → Penetrationstest i MSP’ens ydelser

Hvad koster en penetrationstest?

Det afhænger af omfanget: hvor mange systemer og testområder der er med, hvor testeren starter, hvor komplekst miljøet er, og om testen skal ligge i bestemte tidsrum. Jo mere præcist driften kan beskrive miljøet, jo mere præcist kan opgaven afgrænses. Nielco IT giver tilbud på den konkrete opgave. → Pris og tilbud på nielcoit.dk

Er der opgaver, Nielco IT ikke påtager sig?

Ja. Nielco IT påtager sig ikke opgaver i straffesager eller for personer med kriminelle relationer. Desuden testes kun systemer, som opdragsgiveren råder over eller har skriftlig tilladelse til at lade teste. For en MSP betyder det, at kundens tilladelse skal foreligge. → Det påtager vi os ikke

Behandles rapporten og vores oplysninger fortroligt?

Nielco IT underskriver fortrolighedsaftale (NDA) på forespørgsel. Bed om den, før driften sender netværkstegninger, kontooversigter og andre følsomme oplysninger, og aftal samtidig, hvordan oplysningerne udveksles under testen, og hvem i IT der må modtage og læse rapporten, når den er færdig. Det gælder også en MSP, der skal se fundene. → Kontakt

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT