Når rapporten konkluderer, at nettet mangler opdeling, er det fristende at planlægge et stort projekt, der deler alt op på én gang. Det projekt kan gå i stå, fordi risikoen for at stoppe driften er for stor, og fordi ingen har overblik over alle de forbindelser, der skal bevares. Den farbare vej er at dele nettet op i trin, hvor hvert trin beskytter noget bestemt og kan gennemføres og kontrolleres for sig. Svaret på, hvor I starter, hviler på testens resultat: hvilke net testeren kunne nå, og hvilke af dem der rummer det mest værdifulde.
Rækkefølgen og planlægningen kan beskrives generelt. Den konkrete opsætning afhænger af jeres udstyr og skal planlægges af dem, der kender det.
Start med det, der skal beskyttes
En opdeling, der begynder med klienterne, kan ende med mange små net og ingen synlig gevinst. Begynd i stedet med de få ting, som ville gøre størst skade, hvis nogen nåede dem: administrationen af nettet og serverne, backup, de systemer, der styrer identiteter, og de forretningssystemer, der holder virksomheden kørende.
Den britiske myndighed NCSC anbefaler i sin vejledning om at forhindre lateral bevægelse, at kritiske forretningssystemer isoleres, at systemer, der ikke har brug for at tale sammen, adskilles, og at trafik inde fra nettet ikke automatisk betragtes som betroet. De tre principper giver en naturlig rækkefølge.
Testens resultat hjælper med at vælge det første trin. Hvis rapporten viser, at testeren fra en almindelig klient kunne nå backupsystemet, er det et oplagt sted at begynde, uanset hvad en generel plan ville sige. Hvis administrationen allerede var adskilt, men serverne lå åbne for alle klienter, er det næste trin et andet. Gå derfor rapporten igennem net for net, og notér, hvad der kunne nås fra hvert udgangspunkt, før rækkefølgen lægges fast. Den oversigt er også nyttig, når ledelsen skal forstå, hvorfor projektet tager den form, det gør.
En rækkefølge, der kan gennemføres
Trinene herunder er et udgangspunkt, ikke en opskrift. Rækkefølgen skal tilpasses det, testen fandt.
- Administration for sig · de maskiner og konti, der bruges til at administrere servere og netværk, flyttes til et net, som klienterne ikke kan nå. → Administrationsnet
- Backup for sig · backupsystemet adskilles, så det ikke kan nås fra de systemer, det skal kunne gendanne.
- Servere adskilt fra klienter · klienterne må kun nå de tjenester på serverne, de bruger, ikke alt, der svarer.
- Udstyr uden ejer · printere, kameraer og styringer flyttes til net for sig.
- Opdeling af klienterne · først når det vigtigste er beskyttet, giver det mening at dele klienterne op efter afdeling eller funktion.
Hvert trin skal kunne stå alene. Hvis projektet går i stå efter trin to, er administrationen og backup stadig bedre beskyttet end før.
Kortlæg trafikken før hvert trin
Den største risiko ved opdeling er at bryde en forbindelse, som nogen er afhængig af, uden at vide det. Før hvert trin skal I derfor vide, hvad der i dag taler med de systemer, der flyttes. Testens resultater, jeres egne logs fra firewall og netværksudstyr og en samtale med systemejerne giver tilsammen et rimeligt billede.
Lav en liste over de forbindelser, der skal bevares, og hvorfor. Alt andet lukkes. Det er den liste, der bliver til de nye regler, og den skal have en ejer, så den kan holdes opdateret, når nye systemer kommer til. → Segmentering i dybden
Overvej at lade de nye regler stå i en periode, hvor de kun registrerer, hvad der ville være blevet afvist, før de begynder at afvise. Noget udstyr kan det, og det giver en sidste kontrol af listen.
Uden at stoppe driften
Hvert trin skal behandles som en ændring med plan, godkendelse og vej tilbage. → Rettelser uden at stoppe driften
- Tidsrum · gennemfør ændringen i et tidsrum, hvor de berørte systemer kan undværes et øjeblik.
- Systemejere · giv dem besked, og bed dem stå klar til at kontrollere, at systemet virker bagefter.
- Vej tilbage · beskriv, hvordan ændringen rulles tilbage, hvis noget går galt.
- Servicedesken · forbered den på henvendelser om ting, der pludselig ikke virker.
Registrér hvert trin i ændringsstyringen, så det kan spores, hvornår reglerne blev ændret og af hvem. → Testen i jeres ændringsstyring
Mens projektet står på
En opdeling tager tid, og fundene fra testen er åbne imens. Brug midlertidige afhjælpninger til at mindske risikoen i den periode: strammere regler omkring de mest kritiske systemer, ekstra overvågning af trafik til dem og færre konti med adgang. Afhjælpningerne skal have en slutdato, der hænger sammen med projektplanen, så de ikke bliver den permanente løsning. → Midlertidige afhjælpninger
Rapportér fremdriften trinvis. Det er lettere at forklare ledelsen, at administrationen nu er adskilt, og at backup følger næste kvartal, end at melde et samlet projekt halvt færdigt. Hvert afsluttet trin er en målbar forbedring, som kan nævnes for sig, også over for kunder eller revisorer, der spørger til opfølgningen på testen.
Kontrollér hvert trin
Et nyt net er kun en forbedring, hvis det faktisk holder. Når et trin er gennemført, kontrollerer I, at de forbindelser, der skulle lukkes, er lukket, og at de nødvendige stadig virker. Det kan gøres internt med en enkel gennemgang fra en klient og en server på hver side. Brug samme udgangspunkter, som testen brugte, så kontrollen svarer på samme spørgsmål.
Når flere trin er gennemført, giver en retest af segmenteringen en uafhængig bekræftelse. → Klar til retest
Det skal I lade være med
- At planlægge alt som ét projekt. Det risikerer at gå i stå.
- At starte med klienterne. Begynd med det, der skal beskyttes mest.
- At lukke uden at kende trafikken. I bryder forbindelser, ingen vidste fandtes.
- At lave nye regler uden ejer. De bliver udvidet, til de ikke beskytter noget.
- At springe kontrollen over. En regel, der ikke virker, giver falsk tryghed.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke net der kunne nås fra de udgangspunkter, testeren havde, og dermed hvor opdelingen manglede. Den kan ikke sige, hvilken opdeling der er rigtig for jer, og den kan ikke vise de forbindelser, jeres forretning er afhængig af. De oplysninger skal komme fra driften og systemejerne. En opdeling er først bekræftet, når den er kontrolleret efter ændringen.
Tjekliste til opdeling i trin
- ☐ Er de systemer, der skal beskyttes mest, udpeget?
- ☐ Er rækkefølgen af trin aftalt og skrevet ned?
- ☐ Er trafikken kortlagt før hvert trin?
- ☐ Har hvert trin en plan, en godkendelse og en vej tilbage?
- ☐ Har de midlertidige afhjælpninger en slutdato?
- ☐ Er hvert trin kontrolleret efter gennemførelsen?
Kilder
- NCSC: Preventing lateral movement: isolering af kritiske systemer, adskillelse af systemer, der ikke skal tale sammen, og intern trafik, der ikke automatisk er betroet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Fladt netværk · Administrationsnet
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
