Ordet hærdning kan stå i en pentestrapport, fx i anbefalingen under et fund, uden at blive forklaret. Kort sagt betyder det at gøre et system sværere at angribe ved at fjerne det, der ikke skal bruges, og stramme det, der skal. Forståelsen hviler på to ting: hærdning er en tilstand, I vedligeholder, ikke en handling, I gør én gang, og den handler om hele miljøet, ikke kun om det enkelte fund. Begrebet er det samme for servere, klienter, netværksudstyr og cloudtjenester.
Hvad begrebet betyder
Den amerikanske standardorganisation NIST har i sin ordliste en kort definition: hærdning er en proces, der skal fjerne en mulighed for angreb ved at rette sårbarheder og slå tjenester fra, som ikke er nødvendige. Definitionen er smal, men den rammer kernen. Alt, der kører uden at have en funktion, er en mulighed, som en angriber kan bruge, og som ingen holder øje med.
I praksis bruges ordet bredere. Når en rapport anbefaler hærdning, kan det dække flere slags ændringer.
- Færre tjenester · programmer, roller og funktioner, der ikke bruges, fjernes eller slås fra.
- Sikre indstillinger · standardindstillinger, der er valgt for bekvemmelighed, erstattes af indstillinger, der beskytter bedre.
- Færre rettigheder · konti og programmer får kun den adgang, de skal bruge. → Mindst mulig adgang i praksis
- Opdateret software · kendte fejl rettes med producentens opdateringer.
- Stærkere login · administration og fjernadgang kræver mere end en adgangskode.
- Begrænset adgangsvej · systemet kan kun administreres fra bestemte steder. → Administrationsnet
Hvorfor systemer ikke er hærdede fra start
Et nyt system kan være sat op til at virke for så mange kunder som muligt. Så er funktioner slået til, fordi nogen kunne få brug for dem, og at indstillinger er valgt, så det er let at komme i gang. Det er en fornuftig start for en producent, men ikke nødvendigvis for jeres miljø.
Dertil kommer tiden. En server, der har stået i mange år, har fået roller og konti til projekter, der er slut. En klient har fået et program til en enkelt opgave. Hver ændring var rimelig i sig selv. Tilsammen giver de et system, der kan mere, end nogen har brug for. Ingen har nødvendigvis overblik over, hvorfor de enkelte dele er der, og derfor tør ingen fjerne dem. Hærdning begynder derfor med et spørgsmål til hver tjeneste, rolle og konto: hvad bruges den til, og hvem savner den, hvis den forsvinder?
Hvordan hærdning hænger sammen med fundene
En del af fundene i en penetrationstest kan i bund og grund være mangel på hærdning, beskrevet ud fra én konkret konsekvens. Et fund om en gammel protokol, en åben administrationsflade eller en lokal administratorkonto med samme adgangskode overalt er alle eksempler på noget, der ikke burde være slået til eller tilgængeligt. → Gamle protokoller på netværket
Det giver to måder at læse rapporten på. Den første er at rette hvert fund for sig. Den anden er at spørge, hvilken hærdning der mangler, og om den samme mangel findes på andre systemer, som testen ikke nåede. Det sidste er mere arbejde, men det lukker også de svagheder, der ville være dukket op ved næste test. En scanning af opsætningen på tværs af miljøet kan hjælpe med at finde de andre forekomster, når I ved, hvad I leder efter.
Testen viser det, testeren fandt inden for opgavens rammer og tid. Den gennemgår ikke alle indstillinger på alle systemer. Et system kan være uden fund i rapporten og stadig mangle hærdning, fordi testeren ikke fandt en vej, der gjorde manglen synlig.
Hærdning har en pris i drift
En stram indstilling kan stoppe noget, der virkede før. Microsoft skriver om sine sikkerhedsbaselines, at en indstilling kun bør håndhæves, hvis den modvirker en aktuel trussel og ikke giver driftsproblemer, der er værre end den risiko, den modvirker. Den afvejning gælder al hærdning.
Det betyder, at hærdning skal planlægges som andre ændringer: med afprøvning, trinvis udrulning og en vej tilbage. Det betyder også, at nogle undtagelser er rimelige, hvis de er begrundet, registreret og begrænset til de systemer, der har brug for dem. → Rettelser uden at stoppe driften
Fra enkeltrettelse til standard
Hærdning, der laves i hånden på det system, testen pegede på, holder kun til det næste system bliver sat op på den gamle måde. Det varige svar er en fælles standard for, hvordan hver type system skal være sat op, og en skabelon eller central styring, der sørger for, at nye systemer følger den. → Gør rettelserne permanente
Standarden behøver ikke skrives fra bunden. Der findes offentliggjorte baselines fra producenter og uafhængige organisationer, som kan bruges som udgangspunkt og tilpasses. → Hærdningsstandarder og sikkerhedsbaselines
Standarden skal også have en ejer. Når der kommer nye udgaver af styresystemer og programmer, kommer der nye indstillinger, og nogle af de gamle skifter betydning. Nogen skal vurdere, om standarden stadig passer.
Hvem ejer hærdningen?
Hærdning falder let mellem flere stole. Serverteamet ejer serverne, klientteamet klienterne, netværksfolkene udstyret og en leverandør måske cloudtjenesterne. Hver af dem kan hærde sit eget område, men ingen ser, om helheden hænger sammen.
Udpeg en ansvarlig for hver type system og en person, der har overblikket på tværs. Overblikket handler ikke om at lave arbejdet, men om at sikre, at hver type har en standard, at afvigelser bliver registreret, og at fund fra testen bliver ført tilbage til den rette standard. Hvis en leverandør drifter en del af miljøet, skal det fremgå af aftalen, hvilken standard leverandøren følger, og hvordan I kan se, at den følges.
Det skal I lade være med
- At hærde ét system og glemme resten. Samme mangel kan findes på systemer sat op på samme måde.
- At slå alt fra på én gang. Uden afprøvning kan hærdning stoppe driften.
- At kalde opdateringer for hærdning alene. Indstillinger og rettigheder hører med.
- At tillade undtagelser uden registrering. En uregistreret undtagelse er en glemt åbning.
- At skrive en standard uden ejer. Den forældes, når systemerne skifter.
Hvad kan og ikke kan konkluderes
En hærdet opsætning gør det sværere at bruge de svagheder, der findes, og fjerner nogle helt. Den gør ikke et system usårbart, og den siger intet om fejl i producentens kode, som endnu ikke er kendt. En penetrationstest kan vise, at hærdningen mangler på konkrete punkter. Den kan ikke bevise, at hærdningen er fuldstændig, fordi testen ikke gennemgår alle indstillinger.
Tjekliste til hærdning efter testen
- ☐ Er det for hvert fund vurderet, hvilken hærdning der mangler?
- ☐ Er det undersøgt, om samme mangel findes på andre systemer?
- ☐ Er der en fælles standard for hver type system?
- ☐ Er hærdningen afprøvet, før den rulles ud bredt?
- ☐ Er undtagelser begrundet og registreret?
- ☐ Har standarden en ejer, der følger nye udgaver?
Kilder
- CSRC Glossary: Hardening: definition af hærdning som en proces, der skal fjerne en mulighed for angreb ved at rette sårbarheder og slå unødvendige tjenester fra (fra SP 800-152).
- Microsoft Learn: Security baselines guide: en baseline håndhæver kun en indstilling, hvis den modvirker en aktuel trussel og ikke giver driftsproblemer, der er værre end risikoen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Klienttest for IT-afdelingen · Mindst mulig adgang i praksis
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
