Gamle protokoller på netværket: fundtyper, der kan udfases

Mange net bærer på protokoller, der blev valgt i en anden tid: ukrypterede forbindelser til administration, ældre versioner af fildeling og navneopslag, og forbindelser, der stadig tillader gamle krypteringsversioner. En intern test registrerer dem, fordi de svækker beskyttelsen af adgangskoder og data på nettet, og fordi de kan være slået til af ren vane. Svaret på, hvad I gør, hviler på at behandle udfasningen som et projekt med et inventar, en afhængighedsliste og en plan, ikke som et enkelt fund, der lukkes med ét klik.

Hvad fundene dækker

Rapporten kan samle gamle protokoller i nogle få grupper. Navnene varierer, men indholdet går igen.

• Ukrypteret administration · adgang til netværksudstyr, printere eller servere, hvor brugernavn og adgangskode sendes uden kryptering.
• Forældet fildeling · ældre versioner af protokoller til delte mapper, som producenten selv har udfaset.
• Ældre navneopslag og automatisk opdagelse · mekanismer, som lader maskiner finde hinanden på lokalnettet, og som bygger på, at alle på nettet er til at stole på.
• Gamle krypteringsversioner · forbindelser, der stadig accepterer versioner af TLS, som standarden har erklæret forældede.
• Ældre godkendelsesmetoder · måder at logge på, der er bevaret af hensyn til gamle systemer, men som er svagere end de nyere.

Fælles for dem er, at de ikke kræver en fejl i et program for at give problemer. Svagheden ligger i protokollen selv eller i den måde, den bruges på.

Hvorfor de vægtes, som de gør

Alvoren af et fund om en gammel protokol afhænger af, hvad den bærer, og hvem der kan se trafikken. Ukrypteret administration af en central switch er alvorligere end en gammel version på en mødelokaleskærm, fordi adgangskoden til switchen giver kontrol over nettet.

Protokollerne forstærker også andre fund. I et fladt net, hvor alle kan nå alle, er en ukrypteret adgang til administration synlig fra enhver klient. I et opdelt net er den begrænset til den zone, den hører til. Læs derfor fundene sammen med rapportens beskrivelse af segmenteringen. → Fladt netværk

Producenterne peger selv på problemet. Microsoft har udfaset den første version af sin fildelingsprotokol og installerer den ikke længere som standard i nyere Windows-versioner, og RFC 8996 fastslår, at TLS 1.0 og 1.1 ikke må bruges. Hvordan TLS-fund i øvrigt vægtes, er beskrevet i → TLS og certifikater i rapporten.

Hvorfor de bliver hængende

Gamle protokoller er ikke nødvendigvis slået til, fordi nogen har valgt dem. De bliver hængende, fordi ingen har turdet slå dem fra. Der kan være tre grunde.

1. Ukendte afhængigheder · ingen ved, om en scanner, et lagersystem eller en gammel applikation holder op med at virke.
2. Standardindstillinger · udstyret kom med protokollen slået til, og opsætningen blev aldrig ændret.
3. Udstyr uden opdateringer · enheden understøtter ikke en nyere version, fordi producenten er holdt op med at udvikle den. → Servere og styresystemer uden support

Den første grund er den mest almindelige, og den kan løses med viden. De to andre kræver beslutninger om opsætning og udskiftning. Der er også en organisatorisk grund: udfasning giver sjældent ros, når den lykkes, men giver klager, når noget holder op med at virke. Derfor skal projektet have en ejer, der har mandat til at gennemføre det og til at sige fra over for genveje.

Udfasning som projekt

Behandl fundene som et samlet projekt med en ejer. Det gør det lettere at prioritere og at følge op, end hvis hver protokol bliver sin egen opgave i opgavesystemet.

1. Inventar · hvor er hver protokol slået til, på hvilke servere, klienter og enheder?
2. Brug · hvem bruger den faktisk? Mange systemer kan registrere, om en gammel protokol er i brug, før den slås fra.
3. Afhængigheder · hvilke systemer kræver protokollen, og findes der en opdatering eller en nyere version?
4. Rækkefølge · start med det, der giver adgang til meget, og det, der ikke bruges.
5. Udfasning i trin · slå protokollen fra på en lille gruppe først, og udvid, når det viser sig at virke.

Protokoller, der ikke bruges, er hurtige gevinster. Protokoller, som et vigtigt system er afhængigt af, bliver et større projekt med leverandøren. → Hurtige rettelser og større projekter

Hvem retter hvad

Gamle protokoller er spredt over mange typer udstyr, og derfor også over mange ejere. Fordel fundene, før projektet går i gang, så ingen venter på hinanden.

• Servere og klienter · IT-afdelingen eller driftsleverandøren, typisk gennem fælles opsætning og politikker.
• Netværksudstyr · den, der administrerer switche, routere og firewalls, som ikke altid er den samme som serverdriften.
• Printere og udstyr · leverandøren eller den afdeling, der har købt udstyret. → Printere og multifunktionsmaskiner
• Forretningssystemer · systemejeren sammen med producenten, når et program kræver en gammel version.

Fordelingen kan afsløre, at en stor del af fundene ligger hos få ejere. Det gør det lettere at holde møder med de rigtige og at se, hvor projektet går i stå.

Når et system ikke kan følge med

Nogle gange er svaret, at et system ikke kan bruge andet end den gamle protokol, og at det ikke kan erstattes lige nu. Så skal fundet håndteres på en anden måde: begræns, hvem der kan tale med systemet, placér det i en zone for sig, og registrér undtagelsen med en ejer og en dato for ny vurdering.

Bed producenten om en opdatering eller en plan. Mange producenter har oversigter over, hvilke versioner der understøtter nyere protokoller. Ender det med, at systemet skal skiftes, er rapporten et godt grundlag for at få det med i budgettet. → Et system, der ikke kan opdateres

Det skal I lade være med

• At slå alt fra på én gang. Så rammer I de ukendte afhængigheder samtidig.
• At slå protokollen fra på serveren og glemme klienterne. Begge sider skal med.
• At lade nyt udstyr komme ind med standardopsætning. Så kommer de gamle protokoller tilbage.
• At acceptere en undtagelse uden dato. Den bliver permanent af sig selv.
• At regne fundet som lavt, fordi det er velkendt. Velkendte svagheder er også de mest beskrevne.

Hvad kan og ikke kan konkluderes

Testen viser, hvor de gamle protokoller var slået til og kunne nås fra testerens udgangspunkter. Den siger ikke nødvendigvis noget om enheder, som testeren ikke kunne se, og den siger ikke, om protokollen bruges. Det sidste skal I selv afklare, før den slås fra. Når udfasningen er gennemført, kan løbende scanning holde øje med, at protokollerne ikke vender tilbage. → Sårbarhedsscanning mellem testene

Tjekliste til udfasning

• ☐ Er der en ejer af det samlede udfasningsprojekt?
• ☐ Er det kortlagt, hvor hver protokol er slået til?
• ☐ Er det undersøgt, om protokollen faktisk bruges?
• ☐ Er afhængige systemer og producentens planer kendt?
• ☐ Er undtagelser registreret med ejer og dato?
• ☐ Er standardopsætningen for nyt udstyr opdateret?

Kilder

• Microsoft Learn: SMBv1 Not Installed by Default: den første version af fildelingsprotokollen er udfaset og installeres ikke som standard i nyere Windows.
• RFC 8996: TLS 1.0 og TLS 1.1 må ikke bruges.
• CISA m.fl.: Enhanced Visibility and Hardening Guidance for Communications Infrastructure: deaktivér unødvendige og ukrypterede tjenester og protokoller.

Senest gennemgået: oktober 2026.

Næste skridt

• Hurtige rettelser og større projekter
• Et system, der ikke kan opdateres

Del af: Artikler til IT-afdelingen

Læs også: TLS og certifikater i rapporten · Switche, routere og firewalls indefra

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT