Fjernskrivebord, som kan nås direkte fra internettet, er et af de fund, der kan stå højt i en ekstern pentestrapport. Det skyldes, at forbindelsen fører direkte ind til en maskine i jeres miljø, at den kun er beskyttet af det login, maskinen selv stiller, og at alle på internettet kan forsøge. Selv uden en konkret svaghed på testtidspunktet giver kombinationen en stor rækkevidde, hvis noget går galt. Rettelsen er at fjerne den direkte adgang og lade brugerne komme ind ad en kontrolleret vej.
Fundet er ikke nødvendigvis udtryk for, at nogen har været skødesløs med vilje. Det kan være en hurtig løsning, der blev permanent: en leverandør, der skulle hjælpe, en enkelt medarbejder, der skulle arbejde hjemmefra, eller en server, der skulle kunne administreres i en weekend.
Hvad rapporten konstaterer
Rapporten vil beskrive, at en eller flere maskiner tilbyder fjernskrivebord på en offentlig adresse. Den kan desuden nævne forhold, der skærper fundet:
- Hvilken maskine · en almindelig arbejdsstation, en terminalserver eller en server med administrative opgaver.
- Hvem der kan logge ind · almindelige brugere, administratorer eller lokale konti på maskinen.
- Om der er tofaktor · eller om en adgangskode alene er nok.
- Om udgaven er opdateret · eller om den har kendte sårbarheder.
- Om adgangen er begrænset · til bestemte afsendere eller åben for alle.
Jo flere af disse, der peger i den forkerte retning, jo højere vægter fundet. En domænetilsluttet server, hvor administratorer logger ind uden tofaktor, er noget andet end en isoleret maskine med begrænset adgang.
Hvorfor alvorligheden kan være høj
Tre forhold gør fjernskrivebord udadtil til et alvorligt fund. For det første giver en vellykket indlogning en hel arbejdsflade på en maskine inde i miljøet, ikke kun adgang til en enkelt webtjeneste. For det andet kan login hænge sammen med virksomhedens fælles brugerkatalog, så en adgangskode, der er lækket et andet sted, kan virke her. For det tredje er sådanne tjenester lette at finde, og de bliver løbende afprøvet af alle, der leder efter adgang.
Der er også en driftsmæssig side. Hvis maskinen låser konti efter for mange forsøg, kan konstante forsøg udefra låse rigtige brugere ude. Hvis den ikke gør, er der ingen bremse. Begge dele er dårlige, og det understreger, at problemet er selve placeringen. → Firewallens regler set udefra
Hvorfor adgangen er der
Før I lukker, skal I vide, hvad I lukker for. Spørg i driften og hos leverandørerne, hvem der bruger forbindelsen og hvorfor. Svarene kan falde i nogle få grupper:
- Leverandørsupport · en systemleverandør skal kunne komme ind på en server.
- Hjemmearbejde · enkelte medarbejdere arbejder på deres kontormaskine hjemmefra.
- Administration · driften administrerer servere udefra uden om fjernadgangen.
- Glemt · forbindelsen blev åbnet til et projekt og er ikke brugt siden.
Den sidste gruppe er let. Lukningen er den rigtige rettelse, og den kan ske samme dag. De tre første kræver, at der er en anden vej ind, før den direkte adgang lukkes, ellers bliver den åbnet igen.
Inddrag de berørte tidligt. En systemleverandør, der har haft direkte adgang i årevis, skal have besked om den nye vej ind og tid til at tilpasse sig. En medarbejder, der arbejder hjemmefra på sin kontormaskine, skal vide, hvad der ændres, og hvem der hjælper, hvis forbindelsen ikke virker første dag. Skriv ændringen ind i driftsdokumentationen, så den næste i servicedesken ikke åbner den gamle adgang igen, fordi en bruger ringer og siger, at det plejede at virke.
Alternativerne på begrebsniveau
Princippet er, at fjernskrivebord kun kan nås, efter at brugeren er kommet gennem en kontrolleret indgang. Hvordan indgangen ser ud, afhænger af miljøet.
- Bag fjernadgangen · brugeren forbinder først til jeres gateway med tofaktor og derefter til maskinen indefra. → VPN og fjernadgangsportaler
- Gennem en gateway til fjernskrivebord · en særskilt indgang, der stiller krav til login, før forbindelsen videregives.
- Leverandøradgang efter behov · åbnes, når leverandøren skal hjælpe, og lukkes bagefter, med log over brugen. → Fjernadgang til anlæg og leverandører
- Administration fra et afgrænset sted · driften administrerer servere fra et administrationsnet eller en særskilt maskine, med adskilte konti. → Adskilte administratorkonti
Fælles for alternativerne er, at tofaktor gælder for alle, også leverandører og administratorer. Undtagelser bør være få, begrundede og kendte. → Tofaktor med undtagelser
Hvis lukningen ikke kan ske med det samme
Nogle gange kan den direkte adgang ikke fjernes, før et alternativ er sat op, og det tager tid. Så er der behov for en midlertidig afhjælpning, som reducerer risikoen i mellemtiden. På begrebsniveau kan det være at begrænse adgangen til kendte afsendere, at kræve tofaktor på selve maskinen eller at fjerne administratorer fra listen over dem, der må logge ind udefra.
En midlertidig afhjælpning skal have en udløbsdato og en ejer, der følger op. Ellers bliver den den nye permanente løsning. → Midlertidige afhjælpninger
Overvej også at gennemgå logs fra maskinen for den periode, adgangen har været åben. Det er ikke en del af testen, men fundet giver anledning til at spørge, om andre har forsøgt eller haft held med at logge ind. Hvis der er tegn på det, er det en sag for jeres beredskab, ikke for rettelseslisten.
Det skal I lade være med
- At lukke uden alternativ · så bliver adgangen åbnet igen, næste gang leverandøren skal hjælpe.
- At nøjes med at flytte tjenesten til en anden port · den kan stadig findes, og fundet er det samme.
- At lade den midlertidige afhjælpning blive stående · sæt en dato for den rigtige løsning.
- At glemme lokale konti · maskinens egne konti følger ikke de almindelige regler for brugere.
- At springe loggene over · fundet er en anledning til at se, om adgangen har været brugt af andre.
- At tro, at det kun gælder én maskine · find ud af, om andre er åbnet på samme måde.
Hvad kan og ikke kan konkluderes
Fundet viser, at fjernskrivebord kunne nås fra internettet på de adresser, der indgik, og under hvilke forhold. Det er et tydeligt grundlag for at fjerne den direkte adgang og etablere en kontrolleret vej ind.
Fundet viser ikke, om adgangen er blevet misbrugt, og det siger ikke, om fjernskrivebord indefra er godt afgrænset. Hvis alle medarbejdere kan forbinde til alle servere fra kontornettet, er det et spørgsmål til en intern test, ikke til den eksterne.
Tjekliste efter fundet
- ☐ Er alle maskiner med fjernskrivebord udadtil identificeret?
- ☐ Ved I, hvem der bruger adgangen, og hvorfor?
- ☐ Er et alternativ med tofaktor sat op, før adgangen lukkes?
- ☐ Er leverandøradgang gjort tidsbegrænset og logget?
- ☐ Har eventuelle midlertidige afhjælpninger en udløbsdato?
- ☐ Er logs fra perioden gennemgået?
- ☐ Er lukningen kontrolleret udefra og dokumenteret?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Typiske fund i en ekstern test · Logning efter testen · Fjernstyringskort i servere og lagersystemer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
