Netværk bliver delt op i zoner for at begrænse, hvor langt et problem kan brede sig, men opdelingen er kun så stærk som de regler og forbindelser, der faktisk gælder mellem zonerne. En test af segmenteringen afprøver netop det: om en enhed i én zone kan nå noget i en anden zone, som den efter jeres egen beskrivelse ikke skulle kunne nå. Svaret hviler på to ting, som IT-afdelingen leverer: en beskrivelse af den tilsigtede opdeling og adgang for testeren til de zoner, der skal prøves fra.
Køberens spørgsmål, om skillevæggene holder, og hvordan bestillingen formuleres, er beskrevet på penetrationtest.dk. For driften begynder arbejdet med at oversætte opdelingen til noget, der kan afprøves.
Fra netværkstegning til afprøvelige zoner
En netværkstegning kan vise virtuelle net, adresseområder og firewalls. Det er nyttigt, men testen har brug for et andet niveau: hvilke zoner der findes, hvad de indeholder, og hvilken trafik der er tilladt mellem dem og i hvilken retning.
Saml derfor tre ting, før testen begynder.
- Zoneoversigt · navn, formål og indhold for hver zone, fx brugere, servere, gæster, udstyr, administration og backup.
- Krydsningsregler · hvad der efter hensigten må passere fra hver zone til hver anden, og hvorfor.
- Kendte undtagelser · åbninger, der er lavet for en bestemt leverandør, et system eller et projekt, med ejer og begrundelse.
Arbejdet kan afsløre uenighed internt. Netværksfolkene kender reglerne i udstyret, mens systemejerne kender behovene. Når de to beskrivelser lægges ved siden af hinanden, viser der sig huller, før testeren er gået i gang. → Netværkstegning og systemoversigt
Hvor skillevæggene står i jeres udstyr
Opdelingen kan være håndhævet flere steder. Nogle krydsninger går gennem en firewall, andre styres af regler i en central switch eller router, og nogle zoner er kun adskilt af, at de har hver sit adresseområde. For testen og for den senere rettelse er det vigtigt at vide, hvilket udstyr der bestemmer over hvilken krydsning.
Notér for hver krydsning, hvor reglen ligger, og hvem der administrerer den. Er det driftsleverandøren, der ejer firewallen, mens jeres egen netværksansvarlige ejer switchene, skal begge være med, når fund skal rettes. En segmentering, der er delt mellem flere administratorer, er også en segmentering, hvor ændringer let kommer ud af trit med hinanden.
Husk også de dele af opdelingen, der ligger uden for bygningen. Fjernforbindelser, filialer og cloudmiljøer kan have deres egne regler for, hvad de må nå hjemme hos jer. Skal de med i testen, skal de stå i zoneoversigten på lige fod med kontornettet, ellers bliver de ikke afprøvet, og rapporten kan ikke sige noget om dem.
Hvad testen afprøver mellem zonerne
Testen tager udgangspunkt i en zone og undersøger, hvad der kan nås i de andre. Den sammenligner resultatet med jeres krydsningsregler. Typisk afprøves:
- Tilladt trafik · om det, der er åbnet, svarer til beskrivelsen, eller om reglerne er bredere end nødvendigt.
- Spærret trafik · om de krydsninger, der skal være lukkede, også er det i praksis.
- Begge retninger · om en zone, der ikke kan nå en anden, kan nås fra den anden.
- Administrationsvejene · om adgang til at styre udstyr og servere går på tværs af zoner, der ellers er adskilt.
Hvert udgangspunkt kræver en placering i den pågældende zone, og det er driftens opgave at etablere den. → Testerens udgangspunkt på det interne net
De fund, der kan komme
Fund om segmentering handler ikke nødvendigvis om, at opdelingen mangler helt. Den kan også være udhulet af enkelte forhold, som hver for sig så rimelige ud, da de blev indført.
- For brede regler · en åbning til én server dækker i praksis et helt adresseområde.
- Glemte undtagelser · en regel lavet til et afsluttet projekt eller en tidligere leverandør er stadig aktiv.
- Udstyr med ben i to zoner · en server eller enhed er koblet til flere net og bliver en bro mellem dem.
- Trafik uden om kontrollen · to zoner kan tale sammen via et punkt, hvor ingen regel håndhæves.
- Administration fra brugernettet · styringsflader på servere og udstyr kan nås fra almindelige klienter. → Administrationsnet
Er der næsten ingen krydsningsregler at finde, er fundet et andet og større: nettet er fladt. → Fladt netværk
Hvad et fund om adskillelse betyder
Et fund om segmentering er ikke nødvendigvis alvorligt i sig selv. Det betyder, at et problem et sted kan række længere end planlagt. Vægten afhænger af, hvad der ligger på den anden side af den svigtende skillevæg.
En åbning fra gæstenettet til en printer er ikke det samme som en åbning fra brugernettet til backupsystemet. Prioritér derfor efter målzonen: krydsninger ind til administration, identitetssystemer og backup kommer først, fordi det er dér, en angriber kan få kontrol over resten eller ødelægge muligheden for at gendanne. → Backupsystemet som mål
Brug også rapporten til at se mønstre. Går de samme brede regler igen mellem flere zoner, kan årsagen være en arbejdsgang og ikke en enkelt fejl, fx at nye behov bliver løst ved at åbne bredt og aldrig strammet bagefter.
Når en standard kræver testen
Behandler virksomheden betalingskortdata og bruger opdeling til at afgrænse det område, hvor kortdata findes, stiller PCI DSS særskilte krav. Ifølge krav 11.4.5 skal segmenteringen penetrationstestes mindst hver tolvte måned og efter ændringer i den, og testen skal bekræfte, at opdelingen virker og isolerer kortdatamiljøet fra systemer uden for scope. For tjenesteudbydere er kravet strammere. Hvad det konkret betyder for jer, afklares med den, der vurderer overholdelsen.
Det skal I lade være med
- At sende en netværkstegning uden krydsningsregler. Testeren skal vide, hvad der burde være lukket.
- At åbne ekstra for testeren. Så måler testen jeres midlertidige regler og ikke de rigtige.
- At glemme returretningen. Spærret den ene vej siger intet om den anden.
- At rette den enkelte regel og lade arbejdsgangen være. Så kommer de brede åbninger igen.
- At lade undtagelser leve uden ejer og udløb. De er det første, der udhuler opdelingen. → Midlertidige undtagelser til testen
Hvad kan og ikke kan konkluderes
Testen kan vise, hvilke krydsninger der holdt, og hvilke der ikke gjorde, fra de udgangspunkter, der var med, på det tidspunkt, testen fandt sted. Den kan ikke sige noget om zoner, som testeren ikke stod i, og den dækker ikke regler, der ændres efter testen. Et godt resultat er et udgangspunkt for at holde opdelingen ved lige, ikke et bevis for, at den holder fremover.
Tjekliste før segmenteringstesten
- ☐ Har hver zone et navn, et formål og en ejer?
- ☐ Er de tilladte krydsninger beskrevet, også retningen?
- ☐ Er kendte undtagelser listet med begrundelse og ejer?
- ☐ Ved I, hvilket udstyr der håndhæver hver krydsning?
- ☐ Er placeringer for testeren etableret i alle zoner, der skal prøves fra?
- ☐ Er det aftalt, hvem der retter regler i hvert stykke udstyr?
Kilder
- PCI DSS krav 11 (Microsoft Learn): krav 11.4.5 og 11.4.6 om penetrationstest af segmentering af kortdatamiljøet.
- NCSC: Preventing lateral movement: systemer uden behov for at kommunikere placeres i hver sin del af nettet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Administrationsnet · Ukendte enheder på nettet
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
