Et netværksstik i et mødelokale, et ledigt stik bag en printer eller en port i et kopirum er en dør ind til virksomhedens net. Spørgsmålet er, hvad der sker, når nogen sætter en ukendt enhed i. Bliver den afvist, placeret i et begrænset net eller lukket direkte ind på kontornettet? En intern test kan svare på det, hvis den tager udgangspunkt i et stik, der står som det plejer. Svaret hviler på to ting: om nettet overhovedet skelner mellem kendte og ukendte enheder, og om de undtagelser, I har lavet, er så snævre, som I tror.
Hvad netværksadgangskontrol er
Netværksadgangskontrol er en fællesbetegnelse for de mekanismer, der afgør, om en enhed må komme på nettet, og hvor den lander. Den kan være enkel eller avanceret.
- Ingen kontrol · alle stik er åbne, og enhver enhed får adgang til det net, stikket hører til.
- Lukkede stik · ubrugte porte er slået fra, men de aktive accepterer alt, der sættes i.
- Godkendelse af enheden · en enhed skal bevise, at den er kendt, før porten åbnes, typisk med et certifikat eller en konto.
- Placering efter type · kendte enheder lander i deres zone, mens ukendte placeres i et begrænset net.
Godkendelse af enheder ved porten er beskrevet i standarden IEEE 802.1X, som danner grundlag for mange løsninger. Princippet er, at kun godkendte og autoriserede enheder får adgang gennem porten.
Hvad testen afprøver
Testen spørger, hvad en ukendt enhed kan nå. Hvordan svaret ser ud, afhænger af udgangspunktet. → Testerens udgangspunkt på det interne net
- Afvisning · bliver en ukendt enhed afvist, eller får den adgang?
- Placering · hvis den får adgang, hvilket net lander den i, og hvad kan nås derfra?
- Undtagelser · er de porte og enheder, der er undtaget fra kontrollen, begrænset til det, de skal?
- Lokationer · gælder det samme på alle kontorer og i alle bygninger?
Det vigtigste for driften er, at stikket, testen bruger, ikke er åbnet specielt til testen. Så måler testen jeres midlertidige opsætning og ikke den, en besøgende ville møde.
Undtagelserne er det svage punkt
Mange enheder kan ikke godkende sig selv på nettet. Det kan gælde printere, kameraer, mødelokaleudstyr, adgangskontrol og ældre udstyr i produktionen. De bliver derfor undtaget, fx ved at porten genkender enheden på et kendetegn og lukker den ind uden godkendelse.
Undtagelser er nødvendige, men de er også det sted, hvor kontrollen kan svigte. Rapporten kan pege på, at en undtaget port giver adgang til mere end den enhed, den er beregnet til, eller at undtagelserne er så mange, at kontrollen i praksis kun gælder klienterne. → Printere og multifunktionsmaskiner
Behandl undtagelserne som en liste med en ejer. For hver undtagelse bør det fremgå, hvilken enhed den gælder, hvor den står, og hvilket net den lander i. Undtagne enheder bør lande i en zone for sig, så en enhed, der udgiver sig for at være en printer, kun kan nå det, en printer skal nå. → Enheder uden ejer i IT
Sådan prioriterer I fundene
Fund om netværksadgangskontrol skal vægtes efter, hvad en ukendt enhed kunne nå, og hvor let det var at komme til stikket. En åben port i et aflåst serverrum er en anden sag end en åben port i receptionen, hvor alle kan sætte sig.
- Først · stik i områder, hvor besøgende og leverandører færdes, og som giver adgang til kontor- eller servernettet.
- Dernæst · undtagelser, der lander i almindelige zoner i stedet for en zone for udstyr.
- Derefter · forskelle mellem lokationer, hvor kontrollen er indført nogle steder og ikke andre.
Fundene hænger tæt sammen med segmenteringen. En ukendt enhed, der lander i et begrænset net, er et mindre problem end en, der lander midt i kontornettet. Når I retter, kan det derfor være hurtigere at stramme, hvor enhederne lander, end at indføre fuld godkendelse på alle porte.
Når der ikke er nogen kontrol
Mange mindre net har ingen netværksadgangskontrol. Det er ikke i sig selv et alvorligt fund, men det betyder, at alle andre forsvar skal bære mere. En ukendt enhed i et stik har samme adgang som en medarbejders maskine, og i et fladt net er det hele nettet. → Fladt netværk
Der findes mellemveje, før en fuld løsning er på plads. Ubrugte stik kan slås fra, stik i offentlige områder som reception og mødelokaler kan placeres i et gæstenet, og nettet kan overvåges for nye enheder, så de i det mindste bliver opdaget. Hver af dem reducerer risikoen og kan gennemføres uden et stort projekt. De giver også et inventar over, hvad der faktisk sidder i stikkene, og det er grundlaget for en egentlig kontrol senere.
Indføring uden at stoppe driften
En fuld netværksadgangskontrol er et projekt, der berører alle enheder. Det kan mislykkes, når den slås til på én gang, og halvdelen af printerne holder op med at virke.
En trinvis vej ser på begrebsniveau sådan ud:
- Inventar · find alle enheder, der er koblet til nettet, og hvem der ejer dem.
- Overvågning · slå kontrollen til i en tilstand, hvor den registrerer, men ikke afviser.
- Grupper · placér enhederne i grupper med hver sin zone og hver sin måde at blive godkendt på.
- Håndhævelse · slå afvisning til, en lokation eller en enhedstype ad gangen.
- Vedligehold · gør registrering af nye enheder til en del af den normale arbejdsgang.
Midlertidige undtagelser, der opstår undervejs, skal have en ejer og en udløbsdato. → Midlertidige undtagelser
Det skal I lade være med
- At åbne et stik specielt til testen, hvis spørgsmålet er adgangskontrollen. Så afprøves den ikke.
- At undtage hele porte uden at begrænse, hvor de lander. Så er undtagelsen en åben dør.
- At slå håndhævelse til på én gang. Driften stopper, og projektet bliver rullet tilbage.
- At glemme filialerne. Kontrollen er måske kun indført på hovedkontoret.
- At regne trådløst og kablet som samme spørgsmål. De har hver deres kontrol. → Trådløs test for IT-afdelingen
Hvad kan og ikke kan konkluderes
Testen viser, hvad en ukendt enhed kunne opnå fra de stik og lokationer, der var med. Den siger ikke noget om stik, der ikke blev brugt, og den kan ikke vise, om alle undtagelser er snævre nok. Et resultat, hvor den ukendte enhed blev afvist, er stærkest, når rapporten angiver præcis, hvilke stik og lokationer der blev afprøvet.
Tjekliste til netværksadgangskontrol
- ☐ Ved I, om jeres net skelner mellem kendte og ukendte enheder?
- ☐ Er ubrugte stik slået fra, og står stik i offentlige områder i et begrænset net?
- ☐ Er undtagelserne listet med enhed, placering og zone?
- ☐ Lander undtagne enheder i en zone for sig?
- ☐ Er det aftalt, at testen bruger et stik, der står som det plejer?
Kilder
- IEEE 802.1X-2020: Port-Based Network Access Control: standard for godkendelse af enheder, før adgang gennem en netværksport gives.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Testerens udgangspunkt på det interne net · Intern test på flere lokationer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
