En server, hvis styresystem ikke længere får sikkerhedsopdateringer, er et fund, som ingen patch kan lukke. Producenten har sat en slutdato, og efter den dato forbliver kendte svagheder åbne, uanset hvor omhyggeligt driften ellers arbejder. Svaret på, hvad IT-afdelingen skal gøre, hviler derfor ikke på en rettelse, men på en plan: udskiftning som mål og afskærmning, indtil målet er nået.
Det britiske NCSC skriver i sin vejledning om forældede produkter, at den eneste fuldt effektive måde at fjerne risikoen på er at holde op med at bruge produktet. Alt andet er at gøre risikoen mindre i en periode.
Sådan dukker fundet op i rapporten
En intern test registrerer typisk styresystemets version på de servere, den kan nå, og sammenholder den med producentens supportperiode. Fundet kan også komme indirekte: en gammel server svarer på ældre protokoller, som nyere systemer har slået fra, eller den har kendte svagheder, som testeren kan konstatere, men som aldrig bliver rettet. → Gamle protokoller på netværket
Rapporten kan vægte fundet højt, også når der ikke er påvist en konkret udnyttelse. Begrundelsen er, at svagheder i systemet bliver kendt løbende, og at intet af det bliver rettet fremover. Det, der var et lille problem ved testens start, kan være et stort et få måneder senere.
Microsoft offentliggør faste slutdatoer for produkter under den såkaldte faste livscykluspolitik og har en søgning, hvor datoen for den enkelte version kan slås op. Andre producenter har tilsvarende oversigter. Datoerne er grundlaget for jeres egen plan, ikke testerens vurdering.
Hvorfor serveren stadig står der
Ingen IT-afdeling lader en server stå uden support af glemsel alene. Der kan være en grund, og grunden afgør, hvilken plan der virker.
- Et fagsystem, der kræver den gamle version · leverandøren af programmet har ikke en udgave, der kører på et nyere styresystem.
- Udstyr, der styres fra serveren · en maskine, en scanner eller et anlæg leveres med en pc eller server, som ikke må ændres.
- Manglende ejer · serveren kører noget, som ingen længere ved, om bruges.
- Projekt udskudt · migreringen er planlagt, men har ikke fået tid eller budget.
Den tredje grund er den hurtigste at løse. Kan ingen svare på, hvad serveren bruges til, er det første skridt at finde ud af det, og måske kan den slukkes. Den anden grund grænser op til produktionen og bør behandles sammen med anlæggets ejer. → OT-grænsen
Hvad IT skal have klar til testen
Testeren får mest ud af tiden, hvis de gamle servere ikke er en overraskelse.
- Liste over servere med slutdato · styresystem, version og producentens supportperiode.
- Kendte undtagelser · hvilke servere I allerede ved står uden support, og hvorfor.
- Hensyn under testen · ældre systemer kan være mere sårbare over for belastning, så nævn dem, hvis de er skrøbelige. → Skrøbelige systemer
- Ejeren · den, der kan svare på, om systemet stadig bruges.
At oplyse kendte forhold svækker ikke testen. Ifølge NCSC er det en fordel at give testeren jeres egen vurdering af sårbarhederne, fordi testen så kan vise, om vurderingen holder og dækker det hele.
Prioritering: udskiftning først, afskærmning imens
Når fundet er i rapporten, skal det have to opgaver i jeres opgavesystem, ikke én. Den ene er udskiftningen, som kan være et projekt med en ejer, en tidsplan og afhængigheder. Den anden er afskærmningen, som kan gennemføres hurtigere og beskytter, indtil projektet er færdigt.
Afskærmning betyder på begrebsniveau at gøre serveren sværere at nå og mindre værdifuld at nå. NCSC nævner blandt andet at begrænse de veje, data kan komme ind ad, at fjerne tjenester, som serveren ikke behøver, at flytte nødvendige tjenester til understøttede platforme og at styrke logning og overvågning. Serveren skal behandles som et system, man ikke stoler på. → Midlertidige afhjælpninger
Nogle producenter tilbyder forlænget support med sikkerhedsopdateringer mod betaling i en periode. Microsoft har en sådan ordning for udvalgte produkter. Det kan købe tid, men det er en overgang og ikke en løsning, og det skal stå med en slutdato i planen.
Kan serveren hverken udskiftes eller afskærmes tilstrækkeligt, er det en beslutning for ledelsen, som skal acceptere risikoen med åbne øjne. → Et system, der ikke kan opdateres
Når udskiftningen afhænger af andre
Mange gamle servere kan ikke skiftes, før en anden part har gjort sit. Fagsystemets leverandør skal levere en ny udgave, maskinleverandøren skal godkende en ny styrepc, eller en afdeling skal flytte sine data. IT-afdelingen ejer fundet, men ikke alle de skridt, der løser det.
Skriv derfor afhængighederne ind i planen som selvstændige punkter med hver sin ejer. Spørg leverandøren skriftligt, hvornår en understøttet udgave findes, og gem svaret sammen med fundet. Hvis svaret er, at den aldrig kommer, er det en oplysning, der flytter sagen fra en driftsopgave til en beslutning om at skifte system.
Tag også stilling til, hvad serveren har adgang til. En gammel server, der er medlem af domænet og bruges af administratorer, er langt mere værdifuld for en angriber end en, der står alene med ét formål. Færre logins fra privilegerede konti og færre forbindelser ud fra serveren gør skaden mindre, hvis den bliver overtaget. Det er arbejde, som kan gøres, mens leverandøren endnu ikke har svaret. → Lagdelt administration
Endelig hører fundet med i den årlige driftsplan. En server, der mister support om et år, er et projekt, der skal budgetteres nu.
Det skal I lade være med
- At afskrive fundet som kendt. At I vidste det, ændrer ikke på risikoen, og fundet skal stadig have en plan.
- At stole på beskyttelsesprogrammer alene. De virker dårligere på systemer uden support og lukker ikke svaghederne.
- At lade afskærmningen blive permanent. En midlertidig løsning uden slutdato bliver til den faste.
- At glemme serverne hos leverandører. Systemer, som en partner bruger til at forbinde sig til jer, kan også være forældede.
- At købe nyt uden at tjekke supportperioden. Næste udskiftning starter ved indkøbet.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke servere uden support den kunne nå og konstatere fra sine udgangspunkter. Den viser ikke alle forældede systemer i miljøet, og den kan ikke sige, at en afskærmet server er sikker. Et fravær af påviste udnyttelser betyder kun, at testeren ikke viste en i testperioden. Den løbende kontrol af versioner og slutdatoer er driftens egen opgave mellem testene.
Tjekliste til servere uden support
- ☐ Har hver server en kendt slutdato for support?
- ☐ Har hver server uden support en navngiven ejer?
- ☐ Er det afklaret, om serveren stadig bruges?
- ☐ Er udskiftningen et projekt med tidsplan?
- ☐ Er afskærmningen beskrevet og gennemført?
- ☐ Har forlænget support en slutdato i planen?
- ☐ Har ledelsen accepteret de tilbageværende risici skriftligt?
Kilder
- NCSC: Obsolete products: britisk myndigheds vejledning om forældede produkter; at stop af brug er den eneste fuldt effektive løsning, og hvordan risikoen kan mindskes ved isolation, færre tjenester, overvågning og løbende revurdering.
- Microsoft Learn: Lifecycle FAQ: Microsofts faste og moderne livscykluspolitik, opslag af slutdatoer pr. produkt og ordningen med forlængede sikkerhedsopdateringer.
- NCSC: Penetration testing: kunden deler sin sårbarhedsvurdering, så testen kan kontrollere den.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Servere som testområde · Midlertidige afhjælpninger
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
