Firewallens regelsæt beskriver, hvad der burde kunne nås fra internettet. En ekstern test viser, hvad der faktisk kan. Forskellen mellem de to er det mest brugbare, testen giver IT-afdelingen om firewallen: åbne tjenester, som ingen kunne forklare, undtagelser, der var midlertidige, og regler, der giver bredere adgang end hensigten. Rettelsen er ikke nødvendigvis en enkelt regel. Det er en gennemgang af hele regelsættet med en ejer for hver åbning.
Testen afprøver ikke firewallen som produkt. Den bruger firewallen som det filter, alt andet ses igennem, og fundene handler derfor om jeres regler og de tjenester, der står bag dem.
Det, testen ser, og det, den ikke ser
Udefra kan testeren se, hvilke tjenester der svarer på jeres offentlige adresser, og hvordan de opfører sig. Testeren kan ikke se regelsættet. Hvis en tjeneste svarer, ved testeren, at en regel tillader det, men ikke hvem der oprettede reglen eller hvorfor.
Det gør rapporten til et spejl, som IT-afdelingen selv skal holde op mod dokumentationen. Testerens liste over åbne tjenester bør sammenholdes linje for linje med det, I forventede. Hver uoverensstemmelse er et spørgsmål til driften, ikke kun et fund. → Når dokumentationen ikke passer
Overvej at give testeren en beskrivelse af, hvilke tjenester der skal være åbne, og for hvem. Så kan rapporten pege direkte på afvigelserne i stedet for at liste alt, der svarer. Om testeren skal have selve regelsættet, er et særskilt valg, der hører under bestillingens forhåndsviden.
Typiske fund om regler
Fundene samler sig i nogle få grupper, som går igen fra miljø til miljø.
- Tjenester uden kendt formål · noget svarer på en adresse, men ingen i driften kan sige, hvad det er til.
- Midlertidige åbninger · en leverandør fik adgang til et projekt, og reglen overlevede projektet.
- For brede regler · en tjeneste er åben for hele internettet, selv om kun en partner eller et kontor bruger den.
- Administration udadtil · webadministration til udstyr eller servere kan nås udefra. → Administrationsflader på internettet
- Fjernskrivebord og lignende · direkte adgang til maskiner i stedet for gennem en kontrolleret gateway. → Fjernskrivebord åbent mod internettet
- Regler til systemer, der er væk · åbningen peger på en adresse, hvor der i dag står noget andet.
Den sidste gruppe er lumsk. En regel lavet til en server, der blev nedlagt, kan pludselig gælde for et nyt system, der får samme adresse. Ingen har bevidst åbnet for det nye system, og ingen opdager det, før en test eller en hændelse viser det.
Hvorfor gamle regler bliver stående
Regler kan blive tilføjet under tidspres, når noget skal virke, og blive stående, fordi ingen tør fjerne dem. Den, der fjerner en regel, risikerer at stoppe noget, og den risiko vejer tungere i hverdagen end en usynlig åbning. Hvis regelsættet desuden ligger hos en driftsleverandør, ved virksomheden måske ikke, hvor mange regler der er.
Det er grunden til, at fund om firewallregler ikke altid kan løses med en ticket pr. fund. De peger på et regelsæt, der mangler ejerskab og vedligeholdelse. NIST’s vejledning om firewalls og firewallpolitik behandler netop firewallpolitikken og håndteringen af løsningen over tid som en del af arbejdet, ikke kun opsætningen.
Fra fund til regelgennemgang
Ret de fund, testen pegede på, først. Brug derefter rapporten som anledning til at gennemgå hele regelsættet, så de næste fund ikke venter. På begrebsniveau består gennemgangen af nogle få principper:
- Hver åbning har en ejer og et formål · regler uden ejer markeres og fjernes efter en aftalt varslingsperiode.
- Adgang så snævert som muligt · kun fra de afsendere, der har brug for den, og kun til de tjenester, der skal bruges.
- Midlertidige regler har en udløbsdato · og nogen, der følger op, når den nås. → Midlertidige undtagelser
- Administration ikke udadtil · adgang til at styre udstyr sker fra et afgrænset sted, ikke fra internettet.
- Ændringer går gennem en proces · med godkendelse og dokumentation. → Ændringsstyring og test
Principperne er enkle. Det svære er at fjerne regler i et miljø, hvor ingen helt ved, hvad de bruges til. Brug driftsloggen til at se, om en regel overhovedet bliver ramt, før den fjernes, og varsl de berørte, når den skal lukkes.
Når firewallen ligger hos en leverandør
Nogle virksomheder har firewallen hos en driftsleverandør. Så er det leverandøren, der ændrer reglerne, men virksomheden, der bærer risikoen. Bed om at få regelsættet i læsbar form med formål og ejer pr. regel, og aftal, hvor ofte det gennemgås, og hvem der godkender nye åbninger.
Testens fund er et konkret grundlag for den samtale. Leverandøren kan ikke afvise et fund om en åben tjeneste med henvisning til, at reglen er bestilt, hvis ingen kan sige af hvem. → Typiske fund i en ekstern test
Tag også stilling til, om ændringerne skal ske inden for den eksisterende driftsaftale eller som et særskilt projekt. En oprydning i et stort regelsæt kræver tid hos leverandøren og afklaring hos jer, fordi hver regel skal have en ejer, før den kan lukkes eller beholdes. Planlæg den derfor som en opgave med start, slut og en ansvarlig på begge sider. Og bed om, at leverandøren melder tilbage, når oprydningen er gennemført, så I kan kontrollere resultatet ved næste test eller scanning.
Det skal I lade være med
- At rette de fundne regler og stoppe der · gennemgå hele regelsættet.
- At lade regler stå, fordi ingen tør fjerne dem · varsl, observer brugen, og luk.
- At acceptere midlertidige regler uden udløb · de bliver permanente.
- At lade leverandøren eje regelsættet alene · virksomheden skal kunne læse og godkende det.
- At læse fraværet af fund som en godkendt firewall · testen så kun det, der svarede i testperioden.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke tjenester der var tilgængelige udefra på de adresser, der var med, og om de gav anledning til svagheder. Det er et stærkt billede af regelsættets virkning set fra internettet på det tidspunkt.
Testen siger ikke, om reglerne mellem interne net er rigtige, om regelsættet er dokumenteret, eller om en åbning er begrundet. Den siger heller intet om adresser, der ikke var med. Et regelsæt kan se rent ud udefra og stadig være uden ejerskab, hvis ingen tjenester tilfældigvis svarede.
Tjekliste til firewallreglerne
- ☐ Er testens liste over åbne tjenester sammenholdt med jeres forventning?
- ☐ Har hver åbning en ejer og et formål?
- ☐ Er regler til nedlagte systemer fundet og fjernet?
- ☐ Har midlertidige regler en udløbsdato?
- ☐ Er administration af udstyr lukket for adgang udefra?
- ☐ Er det aftalt med leverandøren, hvordan regelsættet gennemgås og godkendes?
- ☐ Går nye åbninger gennem en dokumenteret ændringsproces?
Kilder
- NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy: anbefalinger om firewallpolitik og om valg, opsætning, test og løbende håndtering af firewallløsninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Typiske fund i en ekstern test · Ekstern penetrationstest i praksis
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
