En bruger ringer og siger, at telefonen er udskiftet, og at tofaktor ikke virker længere. Servicedesken vil gerne hjælpe, og brugeren har travlt. I det øjeblik er det servicedeskens procedure for at kontrollere identiteten, der afgør, om den rigtige person får adgang, og ikke adgangskoden eller tofaktoren. Det samme gælder selvbetjeningen, hvor brugeren selv nulstiller sin adgangskode. Svaret på, hvordan I gør begge dele robuste, hviler på tre ting: en fast kontrol af identiteten, som ikke kan forhandles væk, indstillinger for selvbetjening, der kræver mere end ét let opnåeligt bevis, og besked til brugeren, hver gang noget er ændret.
Hvorfor nulstillingen er et testområde
Tofaktor beskytter login. Nulstillingen er vejen uden om, når login ikke virker, og den vej skal være lige så godt beskyttet. CISA og FBI beskrev i en fælles advarsel fra 2023, opdateret i 2025, hvordan en gruppe af angribere udgav sig for at være medarbejdere og fik servicedesks til at nulstille adgangskoder og flytte tofaktor til enheder, angriberne selv havde kontrol over.
For IT betyder det, at proceduren i servicedesken er en del af identitetssikkerheden og skal behandles som sådan. Henvendelser i en testperiode er beskrevet i → Servicedesken under testen. Her handler det om proceduren selv, og om hvad en test kan sige om den.
Hvad en test kan sige om proceduren
Proceduren kan afprøves på to måder. Den ene er en gennemgang af den skrevne procedure og af indstillingerne i Entra ID. Den anden er en social engineering-test, hvor en tester henvender sig til servicedesken efter aftale med ledelsen. Selve opgaven, med samtykke, grænser og hensyn til medarbejderne, er beskrevet på penetrationtest.dk.
Et fund fra sådan en test skal læses som et fund om proceduren og ikke om den medarbejder, der tog telefonen. Spørgsmålene, rapporten kan svare på, er:
- Bliver identiteten kontrolleret · og med noget, en udenforstående ikke let kan finde, fx på sociale medier eller i en signatur.
- Holder kontrollen under pres · når den, der ringer, siger, at det haster, eller at en leder har godkendt det.
- Gælder samme regler for alle · også for ledere og for konti med administrative rettigheder.
- Bliver brugeren orienteret · så den rigtige ejer af kontoen opdager en ændring, vedkommende ikke selv har bedt om.
Selvbetjeningen i Entra ID
Microsoft beskriver i sin dokumentation for selvbetjent nulstilling, at administratoren vælger, hvilke metoder brugerne kan bekræfte sig med, og om der kræves én eller to metoder. Microsoft anbefaler, at brugerne registrerer flere metoder, og bemærker, at nogle metoder tæller som én, selv om de ser forskellige ud.
En gennemgang af indstillingerne kan vise:
- Antal krævede metoder · om én metode er nok til at nulstille.
- Hvilke metoder der er tilladt · og om nogle af dem er lettere at overtage end andre.
- Registrering og genbekræftelse · om brugerne skal bekræfte deres oplysninger med jævne mellemrum.
- Besked ved nulstilling · Microsoft beskriver indstillinger, der giver brugeren besked, når adgangskoden er nulstillet, og globale administratorer besked, når en anden administrator nulstiller sin.
- Administratorkonti · Microsoft skriver, at konti med administrative roller altid er underlagt en strengere politik med to trin, uanset hvad der er valgt for almindelige brugere. → Administrative roller i Entra ID
Hvis selvbetjeningen mangler eller er besværlig, ender flere henvendelser i servicedesken. Det er et argument for at gøre selvbetjeningen både sikker og nem.
Selvbetjeningen hænger sammen med resten af reglerne for login. En gennemgang bør derfor også se på, om de regler, der beskytter almindeligt login, har undtagelser, som gør det lettere at registrere en ny metode end at bruge den. → Betinget adgang i Entra ID
Brug også logningen. Nulstillinger og nye metoder registreres i Entra ID, og en gennemgang kan vise, om nogen faktisk holder øje med dem, fx når flere konti får ny tofaktor på kort tid. → Logning i Microsoft 365, Azure og AWS
Det, vejledningerne siger om gendannelse
NIST SP 800-63B, revision 4 fra 2025, har et afsnit om gendannelse af konti. Det beskriver blandt andet gendannelseskoder, der udleveres på forhånd, koder sendt til en verificeret adresse og fornyet identitetskontrol. Vejledningen kræver, at brugeren får besked, når kontoen er gendannet, og at beskeden fortæller, hvad brugeren skal gøre, hvis ændringen ikke var ønsket. Den kræver også besked ad en anden vej, når en ny tofaktormetode knyttes til kontoen.
Vejledningen er skrevet til amerikanske myndigheder og deres leverandører, men principperne kan bruges som målestok for jeres egen procedure.
Sådan strammer IT proceduren uden at lamme brugerne
En procedure, der er så stram, at brugerne ikke kan komme videre, bliver omgået. Målet er en kontrol, der er svær at snyde og let at følge.
- Skriv kontrollen ned · hvad servicedesken skal se eller få bekræftet, før en nulstilling, og hvad der ikke tæller.
- Gør tofaktor sværere end adgangskoden · en ny tofaktormetode giver mere adgang end en ny adgangskode og bør kræve mere.
- Giv servicedesken lov til at sige nej · uden at skulle forsvare det over for en leder, der ringer og presser på.
- Strengere regler for administratorer · gerne med fremmøde eller en kollega, der bekræfter.
- Besked til brugeren · ad en anden vej end den, ændringen skete på.
- Robuste metoder · CISA anbefaler tofaktor, der er modstandsdygtig over for phishing, fordi den er sværere at flytte til en anden enhed. → Tofaktor med huller
Indfør ændringerne trinvis, og fortæl brugerne om dem i forvejen. → Skærpelser, brugerne mærker
Det skal I lade være med
- At give servicedesken skylden for et fund. Fundet handler om proceduren.
- At bruge oplysninger, der kan findes offentligt, som kontrol. De beviser ikke identitet.
- At lade ledere springe kontrollen over. De er et oplagt mål.
- At tillade nulstilling med én let metode. Kræv mere end ét bevis.
- At ændre proceduren uden at fortælle brugerne det. Så stiger antallet af henvendelser.
Hvad kan og ikke kan konkluderes
En gennemgang viser, hvordan proceduren og indstillingerne er beskrevet og sat op. En social engineering-test viser, hvordan proceduren fungerede over for de henvendelser, der blev afprøvet. Ingen af dem viser, hvordan hver enkelt henvendelse bliver håndteret i fremtiden, og et godt resultat afhænger af, at proceduren bliver holdt ved lige.
Tjekliste til nulstilling og tofaktor
- ☐ Er servicedeskens kontrol af identitet skrevet ned?
- ☐ Kræver ny tofaktor mere end ny adgangskode?
- ☐ Kræver selvbetjeningen mere end én metode?
- ☐ Får brugeren besked ved nulstilling ad en anden vej?
- ☐ Gælder strengere regler for administratorkonti?
- ☐ Har servicedesken ret til at sige nej?
- ☐ Er brugerne orienteret om ændringer i proceduren?
Kilder
- Microsoft Learn: Self-service password reset deep dive: valg af metoder, én eller to krævede metoder, besked til brugere og administratorer, strengere politik for administratorkonti. Opdateret oktober 2026.
- NIST SP 800-63B-4: afsnit 4.2 om gendannelse af konti og krav om besked til brugeren (endelig udgave juli 2025).
- CISA og FBI: Scattered Spider (AA23-320A): servicedesks blev overtalt til at nulstille adgangskoder og flytte tofaktor; anbefaling af phishing-resistent tofaktor. Opdateret juli 2025.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Låste konti under testen · Nødadgangskonti
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
