Switche, routere og firewalls er det udstyr, der bestemmer, hvem der kan tale med hvem på nettet. Alligevel kan det blive sat op én gang og derefter ladt i fred, mens servere og klienter får opdateringer hver måned. En intern test ser på udstyret indefra: hvordan det administreres, om det er opdateret, og om det stadig kører med opsætning fra fabrikken. Svaret på, hvad fundene betyder, hviler på én pointe: den, der kan ændre netværksudstyrets opsætning, kan også ændre alle de regler, som resten af sikkerheden bygger på.
Hvordan udstyrets administration ser ud udefra, er en sag for den eksterne test. → Administrationsflader på internettet
Udstyr, der står uden for rytmen
Netværksudstyr har sin egen livscyklus. Det kan være købt sammen med en større ombygning, sættes op af en leverandør og kører derefter i mange år. Opdatering kræver typisk en genstart, og en genstart af en central switch berører alle, så den bliver udskudt.
Det betyder, at udstyret kan stå med kendte svagheder længe efter, at producenten har rettet dem. Det betyder også, at viden om opsætningen kan forsvinde, når den leverandør eller medarbejder, der satte det op, ikke længere er der. Testen viser, hvordan udstyret ser ud i dag, og ikke hvordan det var tænkt. Forskellen mellem de to er i sig selv en nyttig oplysning, fordi den viser, hvor dokumentationen skal opdateres, og hvor ændringer er sket uden om de normale veje.
Hvad testen ser på i udstyret
En intern test af netværksudstyr afprøver ikke, om det kan bringes ned. Den ser på, hvad der er tilgængeligt, og hvad det fortæller om drift og opsætning.
- Administrationsadgang · hvorfra udstyret kan administreres, og om adgangen er krypteret og kræver personlige konti.
- Standardopsætning · om fabriksindstillinger, standardkonti eller eksempelopsætninger stadig er i brug.
- Versioner · om styresystemet i udstyret er opdateret, og om producenten stadig udgiver opdateringer til det.
- Tjenester · om der kører funktioner, som ikke bruges, men som kan nås fra nettet.
- Overvågningsfunktioner · om de funktioner, der bruges til at hente status fra udstyret, er beskyttet, så de ikke afslører opsætningen eller tillader ændringer.
Hver af dem kan være en lille ting. Tilsammen siger de, om udstyret bliver behandlet som et system med en ejer eller som en kasse i et rack.
Hvad I forbereder før testen
Netværksudstyr er det sted, hvor en uventet påvirkning mærkes af flest. Aftal derfor på forhånd, hvordan udstyret skal behandles i testen, og hvem der kan gribe ind.
- Oversigt · en liste over enheder med placering, rolle og ejer, så testeren ved, hvad der er centralt.
- Følsomt udstyr · ældre enheder, som I ved er sårbare over for belastning, skal nævnes, så testeren kan tage hensyn.
- Leverandørens rolle · administrerer en leverandør udstyret, skal leverandøren vide, at testen finder sted, og hvem der er kontakt.
- Konfigurationskopi · en aktuel kopi af opsætningen gør det muligt at vende tilbage, hvis noget skulle ændre sig.
Overvej også, om testeren skal have læseadgang til opsætningen. Det giver et mere fuldstændigt billede end det, der kan ses udefra, men det er en anden type opgave, og den skal stå i aftalen.
De typiske fund
Fundene i området behøver ikke være eksotiske. De handler om de samme forhold, som går igen på servere, men med større rækkevidde.
- Administration fra brugernettet · switche og firewalls kan nås og styres fra almindelige klienter. → Administrationsnet
- Ukrypteret administration · udstyret tillader adgang, hvor adgangskoder sendes i klartekst. → Gamle protokoller på netværket
- Fælles konti · alle administratorer og leverandøren bruger samme konto og adgangskode.
- Forældet software · udstyret kører en version med kendte svagheder, eller producenten har stoppet support.
- Overflødige tjenester · funktioner, der aldrig er taget i brug, står åbne fra nettet.
Den fælles konto er værd at bemærke særskilt. Den gør det umuligt at se, hvem der har ændret hvad, og den bliver ikke altid skiftet, når en medarbejder eller leverandør stopper.
Hvorfor fundene vægtes højt
Netværksudstyret er sikkerhedens fundament. Firewallen håndhæver segmenteringen, switchene bestemmer, hvilke virtuelle net en port hører til, og routerne bestemmer, hvor trafikken går. Kan udstyret ændres af en uvedkommende, kan opdelingen ophæves, og trafik kan ledes andre veje, uden at nogen på serverne opdager det. → Segmentering i dybden
Udstyret kan også have begrænset logning, og logfilerne bliver måske kun gemt i selve enheden. Det gør det svært at se bagefter, hvad der er sket. CISA og partnermyndigheder anbefaler i deres vejledning til teleinfrastruktur blandt andet adskilt administration, opdatering i takt med producentens meddelelser og at slå unødvendige og ukrypterede tjenester fra. Vejledningen er skrevet til teleudbydere, men den beskriver de samme kategorier, som interne test finder i almindelige virksomhedsnet.
Prioritering og rettelse
Start med det udstyr, der står centralt: firewalls mellem zoner, kerneswitche og routere, der forbinder lokationer. Et fund på en central enhed har større betydning end det samme fund på en switch i et mødelokale.
Inden for hver enhed er rækkefølgen typisk denne:
- Administrationsadgangen · begræns, hvorfra udstyret kan styres, og kræv krypteret adgang.
- Konti · erstat fælles konti med personlige, og fjern standardkonti.
- Opdatering · planlæg opdateringer i et servicevindue, og registrér udstyr, der ikke længere får dem. → Opdateringsstatus på klienter og servere
- Overflødige tjenester · slå det fra, der ikke bruges.
- Logning · send udstyrets log til et centralt sted, så den overlever en genstart. → Fund om logning og overvågning
Gør til sidst rettelserne til en del af standardopsætningen, så næste enhed ikke kommer ind med de samme svagheder. En fælles skabelon for netværksudstyr er et godt sted at samle det. → Hærdningsstandarder og sikkerhedsbaselines
Det skal I lade være med
- At udskyde opdateringer, fordi en genstart er besværlig. Planlæg et fast vindue i stedet.
- At dele én administratorkonto med leverandøren. Personlige konti gør ændringer sporbare.
- At gå ud fra, at udstyret er hærdet fra fabrikken. Standardopsætningen er lavet til at virke, ikke til at være sikker.
- At gemme log kun i enheden. Den forsvinder, når den er mest brug for den.
- At glemme udstyret i filialerne. Det kan være ældst og mindst opdateret.
Hvad kan og ikke kan konkluderes
Testen kan vise, hvilket udstyr der kunne nås og administreres fra testerens udgangspunkter, hvilke versioner det kørte, og hvilke tjenester der var åbne. Den kan ikke vise alle svagheder i udstyrets software, og den gennemgår normalt ikke hele regelsættet i en firewall linje for linje. Det sidste er en konfigurationsgennemgang, som kan bestilles for sig.
Tjekliste til netværksudstyret
- ☐ Er der en liste over alt netværksudstyr med ejer og placering?
- ☐ Kan udstyret kun administreres fra administrationsnettet?
- ☐ Har administratorer og leverandører personlige konti?
- ☐ Er versionerne kendt, og får udstyret stadig opdateringer?
- ☐ Sendes udstyrets log til et centralt sted?
Kilder
- CISA m.fl.: Enhanced Visibility and Hardening Guidance for Communications Infrastructure: hærdning af netværksudstyr, adskilt administration, rettidig opdatering og deaktivering af unødvendige og ukrypterede tjenester.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Gamle protokoller på netværket · Firewallens regler set udefra
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
