Den bærbare, som en ny medarbejder får udleveret, er resultatet af hundredvis af valg, som IT-afdelingen eller driftsleverandøren har truffet over flere år. En klienttest afprøver, om de valg tilsammen holder, når maskinen er i hænderne på en almindelig bruger, eller når den er væk. Svaret på, hvad testen skal se på, hviler på ét princip: det er standardopsætningen, der testes, og det er den, der skal rettes, ikke den enkelte maskine.
Køberens spørgsmål om, hvad der skal med i bestillingen, er beskrevet på penetrationtest.dk. Her er det driftens arbejde før, under og efter testen.
Hvad standardopsætningen består af
For driften er klienten ikke én ting, men flere lag, der hver har en ejer.
- Skabelonen · styresystemet og de programmer, der installeres på alle maskiner.
- Politikkerne · de indstillinger, der skubbes ud centralt, fx gennem gruppepolitikker eller enhedsstyring. → Intune og enhedspolitikker
- Rettighederne · hvad brugeren må på maskinen, og hvilke lokale konti der findes.
- Beskyttelsen · kryptering, beskyttelsesprogrammer og regler for, hvilke programmer der må køre.
- Opdateringerne · hvordan styresystem, programmer og firmware holdes ajour.
Microsoft anbefaler at tage udgangspunkt i en kendt og afprøvet sikkerhedsbaseline frem for at bygge sin egen fra bunden. En klienttest er en måde at se, om jeres opsætning faktisk lever op til det, I tror, den gør.
Det, I skal forberede
Forberedelsen er mest IT-afdelingens opgave, fordi kun I ved, hvordan maskinerne faktisk bliver sat op.
- Vælg den repræsentative maskine · klargjort præcis som en ny medarbejder ville få den, med samme skabelon, politikker og programmer.
- Vælg brugeren · en testbruger med de rettigheder, en almindelig medarbejder har. Har I grupper med udvidede rettigheder, skal det besluttes, om de også er med.
- Beskriv varianterne · hvis bærbare, stationære og fælles maskiner er sat op forskelligt, skal det fremgå, hvilken der testes.
- Afklar beskyttelsen · skal beskyttelsesprogrammer og overvågning være slået til som i daglig drift? Som udgangspunkt ja, så resultatet passer til virkeligheden. → Endpoint-beskyttelse og testen
- Aftal udlevering og tilbagelevering · hvem giver testeren maskinen, og hvem nulstiller den bagefter.
Skriv versionen af skabelonen ned. Så kan I senere afgøre, om et fund stadig gælder efter næste opdatering af opsætningen.
Hvad testen afprøver
En klienttest ser typisk på maskinen fra to sider: som en tabt enhed uden bruger, og med en almindelig bruger logget ind. Inden for de to rammer afprøver den bl.a. følgende.
- Data på en tabt maskine · om disken er krypteret, og om maskinen kan startes eller ændres uden at kende brugerens loginoplysninger. → Kryptering af bærbare
- Brugerens rettigheder · om brugeren er administrator eller kan blive det gennem fejl i opsætningen. → Brugere med administratorrettigheder på egen maskine
- Programmer og scripts · om brugeren kan køre programmer og makroer, som organisationen ikke har godkendt. → Programkontrol
- Opdateringsstatus · om styresystem og programmer er så opdaterede, som processen siger.
- Gemte oplysninger · om adgangskoder, nøgler eller forbindelsesoplysninger ligger på maskinen, hvor brugeren kan læse dem.
- Lavniveau-indstillinger · om opstart og firmware er beskyttet mod ændringer. → Firmware og opstartsbeskyttelse
Testen undersøger også, hvor langt en almindelig bruger kan nå fra maskinen ind i resten af nettet. Den del nærmer sig en intern test, og afgrænsningen skal stå i aftalen.
Hvad fundene siger om driften
Et fund på klienten er ikke nødvendigvis en fejl, som én tekniker har lavet. Det kan være et valg, der er truffet engang, og som nu gælder alle maskiner. Det gør klientfund særligt værdifulde, fordi én rettelse i skabelonen virker overalt.
Fundene kan fordele sig i tre grupper. Den første er indstillinger, der aldrig er blevet slået til, fx kryptering på en gruppe ældre maskiner. Den anden er undtagelser, der er givet til én gruppe og siden har bredt sig, fx administratorrettigheder til en afdeling, der engang havde brug for dem. Den tredje er huller i processen, fx maskiner, der står uden for den centrale styring og derfor ikke får politikker eller opdateringer.
Den tredje gruppe er den vigtigste at få øje på. En korrekt skabelon hjælper ikke, hvis nogle maskiner aldrig får den.
Bed derfor testeren om at skrive, hvilken gruppe hvert fund tilhører, hvis det kan vurderes. Et fund, der skyldes skabelonen, skal til den, der vedligeholder skabelonen. Et fund, der skyldes en undtagelse, skal til den, der har givet undtagelsen. Og et fund, der skyldes huller i styringen, er en opgave for den, der holder styr på flåden af maskiner. Det gør det lettere at fordele arbejdet, når rapporten er landet.
Sådan retter I i skabelonen
Rettelserne skal ind i det sted, hvor opsætningen vedligeholdes, ellers kommer de ikke med på næste maskine.
- Ret skabelon og politik · ikke kun testmaskinen.
- Afprøv på en pilotgruppe · nogle rettelser, fx færre rettigheder eller strammere programkontrol, kan stoppe arbejdsgange, som ingen har beskrevet.
- Rul ud i trin · begynd med maskiner til administratorer og grupper med adgang til følsomme data.
- Find maskinerne uden for styringen · lav en liste over enheder, der ikke modtager politikker, og tag stilling til hver.
- Kontrollér effekten · tjek et udsnit af maskinerne bagefter, så I ved, at politikken faktisk er landet.
Er driften lagt ud, er skabelonen typisk leverandørens. Så er rettelserne en sag for samarbejdet om driftsaftalen. → Lokale administratorkonti
Det skal I lade være med
- At teste en maskine, IT har brugt til forsøg. Den ligner ikke de maskiner, medarbejderne har.
- At rette testmaskinen og ikke skabelonen. Fundet kommer igen på næste maskine.
- At slå beskyttelsen fra for at gøre testen lettere. Så tester I en opsætning, som ingen bruger.
- At glemme de fælles maskiner. Mødelokalets pc og lagerets terminal har måske ingen fast ejer.
- At give testmaskinen videre til en medarbejder, før den er geninstalleret. Den kan bære indstillinger fra testen med sig.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan den valgte opsætning holdt med den valgte bruger på det tidspunkt, testen fandt sted. Den siger ikke noget om maskiner, der er sat op anderledes, eller som står uden for den centrale styring. Et pænt resultat gælder skabelonen, ikke hele flåden, og det er derfor vigtigt at vide, hvor mange maskiner der faktisk følger skabelonen.
Tjekliste før klienttesten
- ☐ Er testmaskinen klargjort som en ny medarbejders maskine?
- ☐ Er testbrugerens rettigheder som en almindelig medarbejders?
- ☐ Er det beskrevet, hvilke varianter af opsætningen der findes, og hvilken der testes?
- ☐ Er beskyttelse og overvågning slået til som i daglig drift?
- ☐ Er versionen af skabelonen noteret?
- ☐ Er det aftalt, hvem der nulstiller maskinen bagefter?
Kilder
- Microsoft Learn: Security baselines guide: Microsofts anbefaling om at bruge en kendt og afprøvet baseline frem for at bygge sin egen, og at baselinerne forudsætter, at almindelige brugere ikke er administratorer.
- NCSC: Device Security Guidance: britisk myndigheds vejledning til IT-afdelinger om valg, opsætning og brug af organisationens enheder, med platformsvejledninger.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Endpoint-beskyttelse og testen · Kryptering af bærbare
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
