Når en rapport konstaterer, at nettet er fladt, betyder det, at klienter, servere, printere og administration står i samme net eller kan nå hinanden frit. Fundet fylder, fordi det gør alle andre fund alvorligere: en svaghed på én maskine er ikke længere et lokalt problem, men en mulig vej til resten af virksomheden. Svaret på, hvor I starter, hviler på en simpel rækkefølge: beskyt først det, der giver kontrol over resten, og del derefter nettet op i trin, der kan gennemføres uden at stoppe driften.
Hvordan et net bliver fladt
Få net er bygget flade med vilje. De vokser sig flade. Et lille kontor starter med ét net, fordi det er nok. Senere kommer en server, en filial, en håndfuld printere og et kamerasystem, og alt sættes ind i det eksisterende net, fordi det virker med det samme.
Andre gange har opdelingen eksisteret, men er blevet udvandet. Der er oprettet virtuelle net, men ingen regler mellem dem, eller reglerne er så brede, at de i praksis tillader alt. For testen er resultatet det samme: der er ingen skillevægge, som en angriber skal forbi.
Fundet siger derfor ikke, at nogen har sjusket. Det siger, at nettet er vokset hurtigere end opdelingen, og at virksomheden nu har en størrelse, hvor det betyder noget.
Hvorfor fundet vægtes højt
En penetrationstest fra det interne net spørger typisk, hvor langt en angriber kan komme fra én kompromitteret maskine eller konto. I et opdelt net bremses vejen af grænser, der kræver noget ekstra at komme forbi. I et fladt net er alle systemer inden for rækkevidde fra første øjeblik.
Det har tre konsekvenser, som rapporten kan pege på.
- Rækkevidde · en svaghed på et hvilket som helst system kan nås fra enhver klient.
- Følgefund · forældede servere, åbne administrationsflader og svage tjenester bliver alvorligere, fordi alle kan se dem.
- Opdagelse · uden grænser er der færre naturlige punkter, hvor trafik kan overvåges og stoppes.
NCSC anbefaler, at systemer, der ikke har brug for at kommunikere, placeres i hver sin del af nettet, så en angriber ikke har en direkte vej fra indgangen til målet. Det er netop den bremse, et fladt net mangler.
Sådan læser I fundet i rapporten
Fundet kan stå på flere måder. Nogle rapporter har det som et selvstændigt punkt med en samlet vurdering. Andre nævner det kun indirekte, fordi det går igen i beskrivelsen af mange andre fund: en gammel server kunne nås fra alle klienter, en printers administrationsside var tilgængelig fra kontoret, backupkonsollen svarede fra brugernettet.
Saml de indirekte henvisninger, før I prioriterer. De viser, hvilke systemer der i praksis står mest udsat, og dermed hvor en opdeling gør størst forskel. Spørg testeren, hvis det er uklart, om et fund ville have haft en anden vægt i et opdelt net. Svaret hjælper med at skelne mellem fund, der skal rettes på selve systemet, og fund, der bliver mindre alvorlige, når nettet er delt op. Begge typer skal stadig have en ejer.
Hvad I skal have klar, før I deler op
Opdeling begynder ikke i udstyret, men i overblikket. Uden en liste over, hvad der står på nettet, og hvad det skal tale med, bliver hver ny regel et gæt.
- Inventar · hvilke enheder og servere der findes, og hvem der ejer dem.
- Afhængigheder · hvilke systemer der skal tale sammen, og i hvilken retning.
- Grupper · hvilke enheder der naturligt hører sammen efter formål og risiko.
Inventaret kan afsløre udstyr, som ingen i IT har sat op, fx kameraer, skærme og styringer. Det skal med, før det kan placeres et fornuftigt sted. → Enheder uden ejer i IT
Hvor I starter
Del ikke hele nettet op på én gang. Start med de få zoner, der giver mest beskyttelse for mindst forstyrrelse. En typisk rækkefølge på begrebsniveau ser sådan ud:
- Administration · flyt adgangen til at styre servere og netværksudstyr væk fra brugernes net. → Administrationsnet
- Backup · adskil backupsystemet, så det kun kan nås af det, der skal skrive til det. → Backupsystemet som mål
- Servere · saml serverne i en zone, som klienterne kun kan nå på de tjenester, de bruger.
- Udstyr og gæster · placér printere, kameraer og gæster for sig, så de ikke deler net med medarbejdernes maskiner.
- Finere opdeling · del derefter efter behov, fx afdelinger eller særligt følsomme systemer.
De første to trin er små i omfang, men store i virkning, fordi de beskytter det, der ellers kan bruges til at tage kontrol over resten eller forhindre gendannelse.
Uden at stoppe driften
Opdeling ændrer, hvem der kan tale med hvem, og det er her, driften kan blive ramt. Planlæg hvert trin som en ændring for sig med test, et tidspunkt med lav belastning og en klar vej tilbage, hvis noget uventet holder op med at virke.
Det kan betale sig at se på trafikken et stykke tid, før reglerne strammes, så de kender de faktiske afhængigheder. Det tager længere tid, men giver færre overraskelser end at lukke først og rette bagefter. Hvordan rettelser planlægges uden nedetid, er beskrevet i → Rettelser uden at stoppe driften.
Gør det også til en del af arbejdsgangen, at nye enheder får en zone, når de sættes op. Ellers vokser nettet fladt igen, og næste rapport har samme fund. En kort skabelon for, hvilken zone hver type udstyr hører til, gør beslutningen let for den, der sætter enheden op.
Det skal I lade være med
- At starte med den finest mulige opdeling. Projektet går i stå, før de vigtige zoner er på plads.
- At oprette zoner uden regler imellem. Så er nettet stadig fladt, bare med flere navne.
- At åbne bredt for at undgå klager. De brede regler bliver stående.
- At glemme returretningen. Også serverne skal begrænses i, hvad de kan nå.
- At behandle fundet som én opgave. Del det op i trin med hver sin ejer. → Fra fund til opgave
Hvad kan og ikke kan konkluderes
Fundet viser, at testeren fra udgangspunktet kunne nå store dele af nettet uden at skulle forbi skillevægge. Det siger ikke i sig selv, hvilke systemer der var sårbare, og det er ikke et bevis på, at nogen har misbrugt adgangen. Når de første trin er gennemført, kan en ny test vise, om de nye grænser holder. → Segmentering i dybden
Tjekliste til første trin
- ☐ Har I et inventar over enheder og servere med ejere?
- ☐ Er de vigtigste afhængigheder mellem systemerne kendt?
- ☐ Er administration og backup udpeget som de første zoner?
- ☐ Har hvert trin en plan, et tidspunkt og en vej tilbage?
- ☐ Er det besluttet, hvordan nye enheder får en zone fremover?
Kilder
- NCSC: Preventing lateral movement: adskillelse af systemer, der ikke behøver at kommunikere, som bremse for en angribers bevægelse i nettet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Segmentering i dybden · Typiske fund i en intern test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
