Servere og lagersystemer har en indbygget fjernstyring: en lille computer på bundkortet med sin egen netværksforbindelse, sin egen webflade og sine egne konti. Den lader driften tænde og slukke maskinen, se skærmbilledet under opstart og installere et styresystem uden at stå i serverrummet. Når en intern penetrationstest finder et sådant fjernstyringskort på det almindelige net, med standardkonti eller uden opdateringer, bliver det et fund, der kan vægtes højt. Grunden er, at kortet arbejder under styresystemet, og at den, der styrer kortet, i praksis styrer maskinen.
Hvad fjernstyringskortet er
Fjernstyringskortet, på engelsk baseboard management controller, er en del af serverens hardware. Det kører, så længe maskinen har strøm, også når styresystemet er slukket eller ikke svarer. Det har sin egen software, firmware, som opdateres separat fra styresystemet.
Det samme princip findes i lagersystemer, bladechassis, netværksudstyr og visse firewalls. Fælles for dem er, at styringen sidder ved siden af det almindelige system og ikke er en del af det. Det betyder også, at de sikkerhedsprogrammer, logning og politikker, der er lagt på serveren, ikke følger med ned på kortet. Kortet har sine egne indstillinger, som skal passes for sig.
Når fladen kan nås fra internettet, er fundet beskrevet i → Administrationsflader på internettet. Her handler det om kortet på det interne net, hvor det kan være glemt, fordi det aldrig har været eksponeret udadtil.
Hvorfor adgangen er så omfattende
Den, der har kontrol over fjernstyringskortet, kan gøre det samme som en tekniker med fysisk adgang til maskinen: genstarte den, starte den fra et andet medie, ændre indstillinger i opstarten og se skærmen. Det sker uden om styresystemets logning, adgangskontrol og beskyttelse mod skadelig software.
NSA og CISA udgav i juni 2023 en fælles vejledning om hærdning af fjernstyringskort. CISA fremhævede i den forbindelse tre områder, der kan blive overset: hærdede adgangsoplysninger, opdatering af firmware og adskillelse på netværket. Det er de samme tre områder, en test kan give fund i.
For virtualiseringsværter er konsekvensen større, fordi én fysisk maskine kan bære en lang række virtuelle servere. → Virtualiseringsplatformen som testområde
Hvad testen kan finde
En intern test kan konstatere, hvor fjernstyringskortene står, og hvad der kan nås fra de net, testeren har adgang til. Fundene falder i fire grupper:
- Kort på det almindelige net · fladerne kan nås fra brugernes eller servernes net og ikke kun fra et adskilt administrationsnet.
- Standardkonti eller fælles adgangskoder · kortet bruger den konto, det blev leveret med, eller den samme kode som andre kort.
- Gammel firmware · kortet er ikke opdateret siden installationen, eller producenten leverer ikke længere opdateringer.
- Ingen ejer · ingen ved, at kortet er der, eller hvem der skal passe det, fordi serveren blev sat op af en leverandør.
Testen beskriver, hvad der kan nås og med hvilken konsekvens. Den siger ikke, at kortet er misbrugt.
Forbered testen med en liste over de maskiner, der har fjernstyring, og hvilke net kortene burde stå på. Så kan testeren sammenligne det tilsigtede med det faktiske. Aftal også, at testeren ikke genstarter, slukker eller ændrer opstarten på en server via kortet. At konstatere adgangen er nok til at beskrive fundet, og en utilsigtet genstart af en virtualiseringsvært rammer alle de servere, der kører på den.
Afskærmning
Det vigtigste greb er, at fjernstyringskortene kun kan nås fra et sted, hvor kun administratorer arbejder. → Administrationsnet
- Eget net til styringen · kortene placeres på et adskilt net, der ikke kan nås fra brugernes eller de almindelige serveres net.
- Begrænset adgang til nettet · kun de maskiner, administratorerne arbejder fra, kan nå kortene.
- Slå fra, hvad der ikke bruges · funktioner og protokoller på kortet, som driften ikke har brug for.
Tager afskærmningen tid, kan adgangen indskrænkes midlertidigt med regler i netværket, mens det adskilte net bygges. Registrér den midlertidige løsning med en slutdato, så den ikke bliver den permanente. Kontrollér bagefter, at kortene stadig kan nås fra administratorernes maskiner, så driften ikke opdager det først den nat, en server skal genstartes på afstand.
Opdatering og adgangsoplysninger
Fjernstyringskortets firmware kommer ikke med de almindelige opdateringer til styresystemet. Den skal med som et særskilt punkt i opdateringsplanen. → Opdateringsstatus på klienter og servere
- Firmware · opdateres efter producentens anbefalinger og planlægges med de servicevinduer, opdateringen kræver.
- Standardkonti · fjernes eller får nye, unikke adgangskoder, og hver administrator får sin egen konto, hvor kortet understøtter det.
- Udløbet support · kort på maskiner, producenten ikke længere opdaterer, kræver en plan for udskiftning eller ekstra afskærmning. → Servere og styresystemer uden support
NIST har i SP 800-193 beskrevet principper for modstandsdygtig firmware: at beskytte den mod uautoriserede ændringer, opdage ændringer og kunne genoprette den. Vejledningen er skrevet til producenter, men nævner også administratorer, der planlægger indkøb. Den kan bruges som et spørgsmål til leverandøren, når nye servere vælges.
En ejer for hvert kort
Fjernstyringskort falder let mellem to stole: serverteamet ser dem som netværk, netværksteamet ser dem som servere, og leverandøren satte dem op. Skriv dem ind i jeres oversigt over udstyr med en ejer, en placering på nettet og en dato for seneste opdatering.
Ejeren skal også vide, hvem der bruger kortet. Det kan være driftsleverandøren, en hardwareleverandør med en serviceaftale eller jeres egne folk i nattevagten. Hver af dem skal have en personlig konto, og adgangen skal lukkes, når aftalen ophører. Når nye servere sættes op, skal kortet med i den samme procedure som resten af maskinen, så det ikke igen står med de oplysninger, det blev leveret med. → Enheder uden ejer i IT
Det skal I lade være med
- At lade kortene stå på samme net som brugerne. Afskærmningen er det vigtigste greb.
- At beholde standardkonti, fordi leverandøren satte dem op. Kontiene er jeres ansvar.
- At glemme firmware i opdateringsplanen. Den kommer ikke med styresystemets opdateringer.
- At slukke kortet uden at kende konsekvensen. Driften kan være afhængig af det.
- At regne et fund for løst, når kun ét kort er rettet. Gennemgå alle kort af samme type.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke fjernstyringskort der kunne nås fra de net, testeren havde adgang til, og hvordan de var sat op. Den viser ikke, om kortene er kompromitteret, og den dækker ikke kort på net, der ikke var med i opdraget. Et rent resultat siger noget om afskærmningen på testtidspunktet, ikke om firmwarens kvalitet.
Tjekliste til fjernstyringskort
- ☐ Er alle servere og lagersystemer med fjernstyring registreret?
- ☐ Står kortene på et adskilt administrationsnet?
- ☐ Er standardkonti fjernet eller ændret?
- ☐ Er firmware med i opdateringsplanen?
- ☐ Har hvert kort en ejer?
- ☐ Er der en plan for kort uden support?
Kilder
- CISA: CISA and NSA Release Joint Guidance on Hardening Baseboard Management Controllers: fælles vejledning fra juni 2023; fremhæver hærdede adgangsoplysninger, opdatering af firmware og netværksadskillelse.
- NIST SP 800-193: Platform Firmware Resiliency Guidelines: principper for at beskytte, opdage og genoprette platformsfirmware (maj 2018).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Firmware og opstartsbeskyttelse på klienter · Servere som testområde
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
