Oprydning efter testen: IT‑afdelingens gennemgang af konti, filer og undtagelser

Når testeren har afleveret sidste status, står driften tilbage med alt det, der blev sat op for at gøre testen mulig: konti, rettigheder, forbindelser, undtagelser og måske udstyr på nettet. Oprydningen er IT-afdelingens arbejde, og den lykkes, når den bliver gennemført som en planlagt gennemgang lag for lag, med en ejer for hvert punkt og en kontrol i selve systemerne. Hvorfor glemte testkonti er en risiko, og hvad køberen skal aftale om oprydning, er beskrevet på penetrationtest.dk. Her handler det om, hvordan driften udfører den.

Grundlaget: tre lister

Gennemgangen bygger på tre kilder, der tilsammen dækker det, der er sket i perioden.

1. Jeres egen registrering · konti, rettigheder, undtagelser og adgange, som IT oprettede til testen. Hvis undtagelserne er registreret undervejs, er det her, den liste ligger. → Midlertidige undtagelser til testen
2. Testerens liste · det, testeren selv har oprettet, ændret eller efterladt i systemerne. → Spor efter testeren
3. Driftsloggen · ændringer og beslutninger i perioden, der kan have efterladt noget, som ingen af de to andre lister nævner. → Driftslog over testperioden

Saml de tre lister til én arbejdsliste, og giv hvert punkt en ejer. Er en driftsleverandør ansvarlig for et system, er det leverandøren, der står som ejer af punkterne dér, men jeres koordinator følger op.

Aftal en fast dato for gennemgangen, gerne kort efter testens sidste dag. Står der en retest i kalenderen, så ryd op nu alligevel og opret nye, afgrænsede adgange til retesten, når den kommer. → Klar til retest

Identitet: konti, grupper og roller

Identitet er det lag, hvor en glemt rest giver mest adgang, og det skal gennemgås i alle de systemer, hvor testen havde konti.

• Testkonti · slettes eller spærres i katalogtjenesten, i Microsoft 365, i forretningssystemer og på cloudplatforme.
• Gruppemedlemskaber · testkonti eller eksisterende konti, der blev tilføjet en gruppe til testen, fjernes igen.
• Roller i applikationer · roller tildelt i forretningssystemer eller webapplikationer for at teste bestemte brugertyper.
• Undtagelser fra tofaktor og betinget adgang · fjernes, så kontiene, hvis de findes, er underlagt de normale regler. → Tofaktor med undtagelser
• Adgangsoplysninger, testeren kendte · vurderes særskilt. → Skal adgangskoder nulstilles efter testen?
• Nøgler og adgange i cloud · adgangsnøgler, appregistreringer eller tidsbegrænsede adgange, der blev udstedt til testeren på en cloudplatform.

Kontrollér konti på alle platforme, ikke kun i den lokale katalogtjeneste. En konto, der er slettet lokalt, kan stadig findes i en cloudtjeneste, hvis den blev oprettet direkte dér.

Adgang til nettet: forbindelser, udstyr og porte

Det næste lag er det, der gav testeren adgang til nettet.

• Fjernadgang · VPN-profiler, certifikater og adgange, der blev oprettet til testeren.
• Udleveret eller opsat udstyr · en testmaskine, der stod på nettet, tages ned, og den port eller adresse, den brugte, lukkes eller sættes tilbage. → Testmaskinen på netværket
• Netværksadgangskontrol · undtagelser for testerens enhed fjernes.
• Trådløse adgange · gæsteadgange eller særlige profiler oprettet til testen.

Udstyr, som testeren har haft med, skal også være taget ned igen. Bekræft, at det, der står på listen, ikke længere er på nettet. Husk også den fysiske side. Adgangskort, nøgler eller gæstekort, som testeren fik udleveret for at komme ind til et mødelokale eller et serverrum, skal leveres tilbage og spærres i adgangssystemet, så de ikke kan bruges igen, hvis de bliver væk.

Systemerne: filer, data og ændringer

Tredje lag er det, testen har efterladt inde i systemerne. Her er testerens liste det vigtigste grundlag, fordi I ikke selv kan vide, hvad der er lagt hvor.

• Filer · det, testeren har placeret på servere eller delte drev for at dokumentere et fund.
• Testdata · brugere, ordrer, beskeder eller poster, der er oprettet i applikationer.
• Ændringer i opsætning · indstillinger, der blev ændret for at vise et fund, og som skal tilbage.
• Undtagelser i beskyttelsen · udelukkelser i endpointbeskyttelse eller filtre.

Testdata i forretningssystemer kræver omtanke. En ordre eller en kunde, der er oprettet som led i testen, kan være knyttet til andre poster, og sletningen kan påvirke regnskab eller statistik. Lad systemets ejer beslutte, hvordan det håndteres.

Overvågningen tilbage til normal

Undtagelser i overvågningen er lette at overse, fordi de ikke giver symptomer. De betyder bare, at visse alarmer ikke kommer.

• Regler, der ser bort fra testerens adresser eller konti · fjernes.
• Midlertidigt dæmpede alarmer · slås til igen.
• Ændrede tærskler · sættes tilbage til det normale niveau.

Kontrollér, at alarmerne faktisk kommer igen, fx ved at se, at en kendt, harmløs hændelse giver en alarm som før. Overvågningen kan være leveret af en anden, og så skal den leverandør bekræfte, at alt er tilbage.

Kontrol og lukning

Hvert punkt på arbejdslisten kontrolleres i selve systemet, ikke kun i sagen eller ændringsloggen.

1. Ejeren fjerner eller nulstiller punktet og noterer det.
2. En anden person kontrollerer i systemets opsætning, at det er væk.
3. Punktet markeres som kontrolleret med navn og dato.
4. Når alle punkter er kontrolleret, lukkes arbejdslisten, og den gemmes sammen med rapporten.

Hvis et punkt ikke kan fjernes med det samme, fx fordi en konto skal bruges ved retesten, så sæt en ny slutdato, en ejer og en grund på punktet. Det må ikke bare blive stående.

Afslut med en kort besked til opgavens ejer om, at oprydningen er gennemført, og om der er punkter med ny slutdato. Beskeden er det, der gør det muligt for ejeren at lukke testen formelt. Den er også det, I kan henvise til, hvis en revisor eller en kunde senere spørger, hvordan midlertidige adgange blev håndteret efter testen.

Det skal I lade være med

• At rydde op ud fra hukommelsen. Brug de tre lister.
• At nøjes med den lokale katalogtjeneste. Konti kan findes på andre platforme.
• At lade adgange stå til retesten. Opret nye, når den kommer.
• At glemme overvågningen. Alarmer, der ikke kommer, giver ingen symptomer.
• At lade samme person fjerne og kontrollere. En anden ser bedre efter.

Hvad kan og ikke kan konkluderes

En kontrolleret arbejdsliste viser, at det, der stod på listerne, er fjernet. Den viser ikke, at intet andet blev efterladt, og den er afhængig af, at testerens liste er fuldstændig. Oprydningen siger heller ikke noget om de svagheder, testen fandt. De skal rettes for sig.

Tjekliste til oprydningen

• ☐ Er de tre lister samlet til én arbejdsliste med ejere?
• ☐ Er testkonti, grupper, roller og undtagelser fjernet på alle platforme?
• ☐ Er fjernadgange, udstyr og porte lukket?
• ☐ Er filer, testdata og ændringer i opsætningen håndteret?
• ☐ Er overvågningen tilbage, og kommer alarmerne igen?
• ☐ Er hvert punkt kontrolleret af en anden end den, der fjernede det?
• ☐ Er arbejdslisten gemt sammen med rapporten?

Senest gennemgået: oktober 2026.

Næste skridt

• Spor efter testeren
• Skal adgangskoder nulstilles efter testen?

Del af: Artikler til IT-afdelingen

Læs også: Midlertidige undtagelser til testen · Fra fund til opgave

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT