Rapporten fra en ekstern test kan ligne en lang og uordnet liste, men fundene kan sorteres i nogle få grupper: tjenester, der ikke burde være åbne, udstyr og software, der mangler opdatering, svage loginforhold, opsætning af mail og kryptering, fejl i webløsninger og systemer, ingen længere kender. Hver gruppe kan have sin egen ejer i driften. Når IT-afdelingen sorterer fundene på den måde, bliver det tydeligt, hvem der skal gøre hvad, og hvor de fælles årsager gemmer sig.
Ansvaret for, at fundene bliver fulgt op, ligger hos virksomheden, også når arbejdet udføres af andre. Køberens side af det spørgsmål er beskrevet på penetrationtest.dk. Her er fokus driftens sortering og fordeling.
Grupperne, der går igen
En ekstern test ser kun det, der kan nås fra internettet. Derfor ligner fundene hinanden fra virksomhed til virksomhed, selv om detaljerne er forskellige.
- Åbne tjenester · porte og tjenester, der er tilgængelige udefra uden forretningsmæssig grund, fx efter gamle undtagelser i firewallen. → Firewallens regler set udefra
- Administrationsflader · webadministration af firewalls, routere, lagerenheder og printere, som kan nås fra internettet. → Administrationsflader på internettet
- Forældet software · udstyr og tjenester, der kører udgaver med kendte sårbarheder eller ikke længere får rettelser.
- Login og fjernadgang · fjernadgang uden tofaktorgodkendelse, loginsider uden begrænsning på forsøg og konti, der burde være lukket.
- Mail og domæne · manglende eller svag opsætning, der gør det lettere at sende mail i jeres navn. → SPF, DKIM og DMARC i rapporten
- Kryptering og certifikater · udløbne certifikater, gamle protokolversioner og manglende kryptering. → TLS og certifikater i rapporten
- Webløsninger · fejl i opsætning eller kode på hjemmesider, portaler og webshops.
- Glemte systemer · navne og adresser, der peger på testmiljøer, gamle kampagnesider eller nedlagte løsninger.
Ikke alle grupper optræder i hver rapport, og nogle fund passer i flere. Sorteringen er et arbejdsredskab, ikke en facitliste.
Hvem i driften ejer hvad
Næste skridt er at give hver gruppe en sandsynlig ejer. Det er ikke nødvendigvis den samme person, og arbejdet kan ligge uden for IT-afdelingen.
Åbne tjenester, firewallregler og administrationsflader hører typisk til den, der driver netværket, enten jeres egen netværksansvarlige eller driftsleverandøren. Forældet software på udstyr ejes af den, der har ansvaret for opdateringer, men rettelsen kan kræve leverandørens hjælp eller en udskiftning. Login og fjernadgang ligger hos den, der administrerer identiteter og fjernadgangsløsningen.
Mailopsætningen er et godt eksempel på et fund med flere ejere. Ændringen skal laves i DNS, som måske administreres af et webbureau eller en registrator, mens de rigtige værdier skal komme fra den, der driver mailtjenesten. Hvis ingen af dem har fået opgaven, bliver den liggende.
Webløsninger retter den, der har udviklet eller drifter løsningen, og det kan være et bureau eller en softwareleverandør. Glemte systemer kræver først, at nogen finder ejeren, eller beslutter, at systemet skal lukkes.
Hvis en MSP driver det meste af internetsiden, ender mange af fundene hos den samme leverandør. Det gør fordelingen enkel, men det gør også MSP’ens kapacitet til den egentlige begrænsning. Gennemgå listen sammen med MSP’en, aftal rækkefølgen, og afklar, hvilke rettelser driftsaftalen dækker, og hvilke der skal bestilles som ekstra arbejde. Det spørgsmål er lettere at tage, mens rapporten er ny, end når de første frister er overskredet.
Tjenester i cloud kan have endnu en ejer: den afdeling, der oprettede dem. En markedsafdeling med egen webtjeneste eller et salgsteam med et selvstændigt værktøj skal inddrages direkte, også selv om IT hjælper med selve rettelsen.
Når ejeren er uklar
Fund uden en tydelig ejer er dem, der risikerer at dukke op igen ved næste test. Det kan dreje sig om systemer, som en anden afdeling har sat op, løsninger fra en tidligere leverandør eller tjenester i cloud, der er oprettet uden om IT.
Behandl manglende ejerskab som en del af fundet. Giv det en midlertidig ejer i IT, der har til opgave at finde den rigtige eller indstille systemet til lukning. Notér beslutningen, så den kan genfindes. Et fund, der står som “afventer afklaring” i flere måneder, har i praksis ingen ejer.
Prioritering inden for hver gruppe
Rapportens alvorlighedsgrad er et udgangspunkt. Mange testere bruger CVSS eller en egen skala til at beskrive svagheden. For en ekstern test er der dog et forhold, som vejer ekstra: alt i rapporten kan nås fra internettet, men ikke alt fører lige langt ind.
Vurder derfor hvert fund ud fra, hvad det giver adgang til. Et fund i fjernadgangen eller i en administrationsflade kan åbne for hele det interne net. Et fund på en kampagneside uden login og uden data berører måske kun den side. Brug den viden til at flytte fund op eller ned, og skriv begrundelsen ned.
Se også efter fund, der kan lukkes på én gang. Hvis flere åbne tjenester skyldes den samme gamle regelsamling, er det regelsamlingen, der skal gennemgås, ikke den enkelte port. → Hurtige rettelser og større projekter
Fra rapport til opgaver
Når sortering, ejere og prioritet er på plads, skal fundene ind i det system, driften i forvejen arbejder i. Opret én opgave pr. fund eller pr. fælles årsag, med ejer, frist og en henvisning til rapportens beskrivelse. Opgaver hos leverandører skal have en intern ejer, der følger op. → Fra fund til opgave
NCSC i Storbritannien understreger, at vurderingen af risiko og valget af rettelser ikke bør overlades helt til testeren. Testeren kender svagheden. Driften kender systemet og konsekvensen af at ændre det.
Det skal I lade være med
- At sende hele rapporten til alle leverandører. Hver part skal have de fund, der vedrører dem.
- At lade fund uden ejer stå åbne. Giv dem en midlertidig ejer i IT.
- At rette enkeltfund og overse årsagen. Gamle regelsæt og manglende rutiner giver nye fund.
- At prioritere på alvorlighed alene. Det afgørende er, hvad fundet åbner for.
- At glemme fund uden for IT. DNS, webløsninger og kampagnesider kan have andre ejere.
Hvad kan og ikke kan konkluderes
Sorteringen viser, hvor svaghederne i internetsiden lå på testtidspunktet, og hvem der skal handle. Den kan ikke sige noget om systemer, der ikke var med i testen, og den siger intet om, hvad en angriber kan nå efter at være kommet ind. En rapport med få fund i en gruppe betyder ikke nødvendigvis, at gruppen er i orden. Det kan også skyldes, at der kun var lidt at teste.
Tjekliste til fordelingen
- ☐ Er alle fund sorteret i grupper?
- ☐ Har hver gruppe og hvert fund en ejer?
- ☐ Har fund uden tydelig ejer fået en midlertidig ejer i IT?
- ☐ Er prioriteten justeret efter, hvad fundet giver adgang til?
- ☐ Er fælles årsager samlet i én opgave?
- ☐ Er alle fund oprettet i driftens opgavesystem?
Kilder
- FIRST CVSS v4.0: alvorlighedsgrad for sårbarheder.
- NCSC: Penetration testing: risikovurdering og valg af rettelser bør ikke overlades helt til testeren.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Firewallens regler set udefra · Ekstern penetrationstest i praksis
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
