En testkonto er en rigtig konto med rigtig adgang, og den er oprettet til en person uden for organisationen. Det gør den til et oplagt mål, hvis adgangsoplysningerne kommer i forkerte hænder, og til en kilde til forvirring, hvis ingen ved, hvad den bruges til. Opsynet hviler på en enkel forventning, som skrives ned før testen: hvornår kontiene må bruges, hvorfra, og til hvilke systemer. Alt, der falder uden for forventningen, undersøges.
Hvorfor testkonti skal have opsyn
Testkonti adskiller sig fra almindelige konti på flere måder, og hver af dem er en grund til at holde øje.
- Adgangsoplysningerne er sendt ud af huset · til testeren, ad en kanal, I ikke selv har fuld kontrol over.
- Kontiene kan have særlige rettigheder · fx en rolle i et forretningssystem eller administrative rettigheder, hvis testen kræver det.
- Kontiene kan være undtaget · fra tofaktor, betinget adgang eller dele af overvågningen. → Tofaktor med undtagelser
- Kontiene er midlertidige · de er lette at glemme, når testen er slut.
En testkonto, der ikke er under opsyn, er netop den slags adgang, testen skulle hjælpe jer med at finde.
Forventningen: skriv den ned før start
Opsynet er kun så godt som den forventning, det sammenlignes med. Skriv den ned som en del af forberedelsen, og del den med dem, der skal holde øje.
- Hvilke konti · en liste over testkonti med navn, rolle og system.
- Hvornår · testperioden og de tidsrum, testeren arbejder i.
- Hvorfra · de afsenderadresser eller enheder, testeren har oplyst.
- Til hvad · de systemer, kontiene skal bruges mod.
- Hvad kontiene ikke må · fx oprette nye konti, ændre egne rettigheder eller bruges fra andre steder, medmindre det er aftalt.
Navngiv testkonti, så de kan genkendes i logningen. En konto, hvis navn viser, at den hører til testen, er lettere at følge end en, der ligner en almindelig medarbejder. → Forberedelse i IT-afdelingen
Udleveringen er en del af opsynet
Opsynet begynder, før kontoen bruges første gang. Adgangsoplysningerne skal udleveres ad en kanal, der er aftalt, og helst opdelt, så brugernavn og adgangskode ikke rejser sammen i samme mail. Notér, hvornår og til hvem oplysningerne blev sendt, så I senere kan se, hvem der har kendt dem.
Aftal også, hvordan testeren får den anden faktor, hvis kontoen bruger tofaktor. En faktor, der er knyttet til testerens egen enhed, giver et bedre spor end en kode, der deles mellem flere personer. Og hvis flere testere arbejder på opgaven, er én konto pr. person lettere at følge end én fælles konto, som alle bruger.
Hvad I holder øje med
Opsynet handler om afvigelser fra forventningen. Microsoft beskriver i sin dokumentation af loginlogningen i Entra ID, at hver login kan beskrives ud fra hvem der loggede ind, hvordan, og hvilken ressource der blev tilgået, og at en separat log viser ændringer i lejeren, fx af brugere og grupper. De samme tre spørgsmål kan bruges på testkonti i alle miljøer, uanset platform.
- Hvornår · login uden for testperioden eller testerens tidsrum.
- Hvorfra · login fra adresser eller steder, der ikke står i forventningen.
- Til hvad · adgang til systemer, der ikke er en del af opgaven.
- Ændringer · nye rettigheder, nye konti eller ændrede indstillinger, som en testkonto står bag.
- Fejlede forsøg · mange mislykkede login på en testkonto kan betyde, at nogen andre prøver.
Det sidste punkt er værd at bemærke. Hvis adgangsoplysningerne er lækket, er fejlede forsøg fra et uventet sted det første tegn.
Opsynet skal have en ejer. Det kan være overvågningen, kontaktpersonen eller en administrator, men det skal være besluttet.
Hvis overvågningen er sat til at se bort fra testkontiene, er det særlig vigtigt, at en anden holder øje. En undtagelse i overvågningen betyder, at alarmerne ikke kommer af sig selv, og så skal nogen kigge aktivt. → Midlertidige undtagelser til testen
Aftal en fast gennemgang, fx dagligt, hvor ejeren kigger på brugen af testkontiene og sammenholder den med testerens status. Det tager kort tid og giver et sikkert grundlag for at reagere. → Status undervejs
Når noget ikke passer
En afvigelse er ikke nødvendigvis et problem. Testeren kan have arbejdet sent eller fra en anden adresse uden at nævne det. Men den skal afklares.
- Kontakt testeren via kontaktpersonen · ad den kanal, der er aftalt, ikke via den mail eller det nummer, der eventuelt dukker op i forbindelse med afvigelsen. → Kontaktpersonen i IT under testen
- Bekræft eller afvis · testeren bekræfter, om aktiviteten var testerens.
- Spær ved tvivl · kan aktiviteten ikke forklares hurtigt, spærres kontoen, og sagen behandles som en mulig hændelse. → Alarmer under testen
- Notér · hvad der skete, og hvad der blev besluttet. → Driftslog over testperioden
Det er bedre at spærre en konto og forsinke testen lidt end at lade en uforklaret aktivitet fortsætte. Testeren kan få en ny konto, hvis det viser sig at være en misforståelse.
Opsyn på tværs af systemer
Testen kan kræve konti i flere systemer: den lokale katalogtjeneste, Microsoft 365, et forretningssystem og måske en cloudplatform. Hvert system har sin egen logning, og opsynet skal dække dem alle. Lav en oversigt over, hvor hver testkonto findes, og hvem der kan se dens brug i hvert system. Det er ikke givet, at den person, der holder øje med katalogtjenesten, også har adgang til logningen i forretningssystemet eller cloudplatformen.
Hvis en driftsleverandør administrerer et af systemerne, skal leverandøren have samme forventning og samme besked om, hvem der skal kontaktes ved afvigelser.
Det skal I lade være med
- At oprette testkonti uden forventning. Så er der intet at sammenligne med.
- At lade overvågningens undtagelse stå for opsynet. Undtagelsen betyder, at nogen skal kigge aktivt.
- At kontakte testeren via oplysninger fra afvigelsen. Brug den aftalte kanal.
- At lade en uforklaret aktivitet fortsætte. Spær og afklar.
- At glemme testkonti i systemer uden for jeres egen katalogtjeneste. De skal også følges.
Hvad kan og ikke kan konkluderes
Hvis brugen af testkontiene passede med forventningen i hele perioden, er det et godt tegn på, at adgangsoplysningerne blev håndteret forsvarligt. Det siger ikke noget om jeres overvågning generelt, fordi opsynet her byggede på viden om, hvad der skulle ske. Opsynet slutter ikke med testen. Konti, der ikke er fjernet, skal fortsat følges, indtil oprydningen er kontrolleret. → Oprydning efter testen
Tjekliste til opsynet
- ☐ Er der en skreven forventning for hver testkonto?
- ☐ Kan testkontiene genkendes i logningen?
- ☐ Har opsynet en ejer og en fast gennemgang?
- ☐ Er det klart, hvem der holder øje, hvis overvågningen ser bort fra kontiene?
- ☐ Ved ejeren, hvornår en konto skal spærres?
- ☐ Dækker opsynet alle systemer, hvor der er testkonti?
Kilder
- Microsoft Learn: Sign-in logs in Microsoft Entra ID: hver login kan beskrives ud fra hvem, hvordan og hvilken ressource; auditloggen viser ændringer i lejeren, fx af brugere og grupper.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Midlertidige undtagelser til testen · Logning under den interne test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
