Fjernstyringsværktøjet er MSP’ens arbejdsbord. Herfra opdateres kundernes maskiner, scripts køres, og teknikerne hjælper brugerne uden at køre ud. Den samme konsol, der sparer timer i hverdagen, kan nå alle tilsluttede maskiner hos alle kunder. En test af værktøjet handler derfor om at finde ud af, hvem der kan styre konsollen, hvad konsollen kan gøre, og hvordan I ville opdage, at nogen brugte den uden lov.
Værktøjet er ikke farligt i sig selv. Risikoen ligger i rækkevidden kombineret med den måde, adgangen til konsollen er beskyttet på.
Hvorfor netop dette værktøj vejer tungt
Hos en kunde er et driftsværktøj en vej ind i ét miljø. Hos en MSP er fjernstyringen en vej ind i alle kunders miljøer på én gang, og den kan som regel både læse, installere og køre programmer. Det gør den til et af de mest følsomme systemer, I har, og den bør beskyttes mindst lige så godt som kundernes domænecontrollere. → Driftsværktøjer med bred adgang
CISA, NSA og MS-ISAC har udsendt en fælles advarsel om, at legitime fjernstyringsværktøjer misbruges, netop fordi de er tilladte og derfor kan gå under radaren. Den fælles anbefaling til MSP’er fra NCSC (UK), CISA og andre myndigheder peger på at beskytte fjernadgangen og kræve flere faktorer, hvor det er muligt.
Hvad testen afprøver
En test af fjernstyringen ser på værktøjet fra flere vinkler. Den viser, om adgangen er så snæver, som I tror.
- Adgangen til konsollen · hvorfra den kan nås, hvordan der logges på, og om flere faktorer er krævet for alle.
- Roller i værktøjet · om alle teknikere kan alt hos alle kunder, eller om rettighederne er delt efter kunde og opgave.
- Scriptbiblioteket · hvem der kan oprette og ændre de scripts, værktøjet kan køre på kundernes maskiner, og om ændringer bliver godkendt.
- Gemte loginoplysninger · om værktøjet opbevarer adgangskoder til kundernes systemer, og hvem der kan se dem.
- Integrationer · forbindelser til ticketsystem, dokumentation og fakturering, der kan give adgang ad en anden vej.
- Opdatering af værktøjet selv · om den udgave, I kører, har kendte svagheder.
Testen skal ikke køre noget på kundernes maskiner gennem værktøjet. Det er nok at vise, at muligheden var der, og for hvor mange kunder. Det skal stå i aftalen med testeren.
Hostet hos leverandøren eller hos jer selv
Nogle MSP’er kører fjernstyringen som en tjeneste hos værktøjets leverandør, andre har den på egne servere. Det ændrer, hvad testen kan omfatte. Står værktøjet hos jer, kan serveren, dens opsætning og netadgangen til den indgå. Er det en tjeneste, er det kun jeres egen konfiguration i tjenesten, I kan få testet. Selve tjenesten hører under leverandørens vilkår, og test af den kræver leverandørens tilladelse.
Uanset model er det jeres ansvar, hvem der har konti, hvilke roller de har, og hvordan login er beskyttet. Den del kan altid testes.
Det, I skal forberede
- Konto- og rolleoversigt · alle brugere af værktøjet, deres roller og de kunder, de har adgang til.
- Testkonto · en konto med en almindelig teknikers rettigheder, så testen kan vise, hvor langt en sådan adgang rækker.
- Oversigt over scripts · hvilke der findes, hvem der ejer dem, og hvordan ændringer godkendes.
- Integrationer · hvilke systemer der er koblet på, og med hvilke konti.
- Leverandørens vilkår · hvad værktøjets leverandør tillader, hvis det er en tjeneste.
Er en del af det svært at fremskaffe, så noter det. Manglende overblik over, hvem der kan styre alle kunders maskiner, er et resultat, der hører til i rapporten.
Typiske fund og deres prioritering
De fund, en test kan gøre her, handler om rækkevidde og styring snarere end om fejl i værktøjet: en delt administratorkonto i konsollen, roller, der giver alle adgang til alle kunder, et scriptbibliotek, som alle kan ændre, eller en integration med fulde rettigheder, som ingen husker at have oprettet. Hertil kommer konsoller, der kan nås fra hele internettet uden ekstra beskyttelse.
Prioritér efter, hvor mange kunder fundet berører, og om det giver mulighed for at køre noget på kundernes maskiner. Et fund, der rammer alle kunder, kommer før et, der kun rammer en enkelt. → Fælles administrationskonti hos MSP’en
Rettelserne på begrebsniveau er velkendte: begræns adgangen til konsollen, kræv flere faktorer for alle, del roller efter kunde og opgave, kræv godkendelse af nye og ændrede scripts, og log alle handlinger et sted, hvor loggen bliver læst. Hos kunderne er det værd at have overblik over, hvilke fjernstyringsværktøjer der er installeret, så et værktøj, I ikke selv har sat op, bliver opdaget. → Logning i Microsoft 365, Azure og AWS
Når kundens test møder jeres værktøj
Fjernstyringen dukker også op, når en kunde selv har bestilt en test. Agenten på kundens maskiner er synlig for testeren, og den konto, agenten kører med, kan blive vurderet. Det er kundens ret at få det belyst, men konsollen hos jer er ikke en del af kundens test, medmindre I har sagt ja. Sørg for, at grænsen står i opgavebeskrivelsen. → Kunden har bestilt en test
Hvis kundens rapport peger på jeres agent eller jeres konti, så tag fundet alvorligt, også selv om det kun er påvist hos én kunde. Er agenten sat op ens hos alle kunder, gælder fundet sandsynligvis flere steder. Kontrollér det hos de øvrige kunder, og ret i den fælles opsætning frem for kun hos den kunde, der fik testen. → Samme fund hos mange kunder
Det skal I lade være med
- At lade testen køre scripts hos kunderne · påvist mulighed er tilstrækkeligt.
- At give alle teknikere alle kunder · rollerne skal følge opgaverne.
- At lade scripts ændres uden godkendelse · ét script kan nå alle maskiner.
- At teste leverandørens tjeneste uden tilladelse · jeres konfiguration er jeres, platformen er ikke.
- At gemme kundernes adgangskoder i konsollen uden styring · det samler nøglerne ét sted.
- At logge uden at læse · en log, ingen kigger i, opdager ingenting.
Hvad kan og ikke kan konkluderes
Testen viser, hvem der kunne styre konsollen, og hvor langt de rettigheder, testeren undersøgte, rakte i testperioden. Den siger ikke noget om leverandørens egen platform, hvis den ikke indgik, og den kan ikke udelukke svagheder i værktøjet, der endnu ikke er kendt. Et resultat uden fund er et øjebliksbillede af jeres opsætning, ikke en vurdering af værktøjet.
Tjekliste til fjernstyringen
- ☐ Kan konsollen kun nås ad beskyttede veje?
- ☐ Kræves flere faktorer for alle brugere?
- ☐ Er roller delt efter kunde og opgave?
- ☐ Godkendes nye og ændrede scripts?
- ☐ Er integrationernes konti begrænset?
- ☐ Logges alle handlinger, og bliver loggen læst?
- ☐ Ved I, hvilke fjernstyringsværktøjer der er installeret hos kunderne?
Kilder
- CISA, NSA og MS-ISAC: Protecting Against Malicious Use of Remote Monitoring and Management Software (AA23-025A): advarsel om misbrug af legitime fjernstyringsværktøjer og anbefaling om overblik over, hvilke værktøjer der er i brug og godkendt.
- NCSC (UK), CISA, NSA, FBI m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): anbefaling til MSP’er om at beskytte fjernadgang og kræve flere faktorer, hvor det er muligt.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Driftsværktøjer med bred adgang · Administrationsnet
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
