Serverne er dér, hvor data, forretningssystemer og administration samles. En svaghed på en klient rammer typisk én bruger. En svaghed på en server kan ramme alle, der bruger den, og alle de systemer, den har forbindelse til. En penetrationstest af serverne afprøver derfor tre ting: hvordan hver server er sat op, hvad den har lov til, og hvem der kan administrere den. Svaret på, hvad fundene siger, hviler på, om der findes en fælles standard for serverne, og om den faktisk følges.
Hærdning som begreb er forklaret for sig. Her handler det om, hvad testen konkret ser på serverne, og hvordan fundene bruges. → Hærdning forklaret
Hvorfor servere er et særskilt testområde
Servere adskiller sig fra klienter på flere punkter, der påvirker både testen og rettelserne.
- Mange roller · en server kan være filserver, databaseserver, printserver og applikationsserver på én gang, og hver rolle bringer sine egne tjenester.
- Lang levetid · servere kan stå i mange år, og opsætningen bærer præg af de mennesker og leverandører, der har været forbi.
- Følsom drift · en genstart eller en ændret indstilling kan stoppe et forretningssystem, så rettelser kræver planlægning.
- Administrativ adgang · servere administreres af flere personer og konti end klienter, og mange af dem har brede rettigheder.
Derfor kan fundene på servere være tungere og rettelserne langsommere. Det gør det vigtigt at prioritere rigtigt.
Det, testen afprøver
En intern test ser på serverne fra nettet og, hvis det er aftalt, med en konto på dem. Den beskriver, hvad der var muligt, ikke hvordan.
- Tjenester og roller · hvilke tjenester kører, og er de nødvendige for serverens formål? Tjenester, der er installeret som standard eller til et gammelt formål, øger fladen.
- Opsætning · følger serveren en kendt standard, eller er den sat op i hånden? Standardindstillinger, der aldrig er ændret, kan give et fund. → Hærdningsstandarder
- Konti og rettigheder · hvem er lokale administratorer, hvilke tjenestekonti kører hvad, og med hvilke rettigheder? → Tjenestekonti
- Administrationsadgang · hvorfra kan serveren administreres, og kræver det stærkt login?
- Data på serveren · ligger der adgangskoder, nøgler eller kopier af følsomme data, som flere kan læse, end der burde?
- Opdateringer og support · er styresystem og programmer opdateret, og har producenten stadig support? → Servere og styresystemer uden support
Testen kan også se på forbindelser mellem servere. En server, der kan nå alle andre, er mere kritisk end en server, der kun taler med få.
Det, I forbereder
- Lav en liste over servere med rolle og ejer · det gør det muligt at vurdere fundene i forhold til, hvad serveren bruges til.
- Marker de skrøbelige · servere med forretningskritiske systemer eller ældre programmer, som kan reagere dårligt på test, skal testeren kende.
- Beskriv jeres standard · hvis I har en fælles opsætning for servere, skal testeren vide det, så afvigelser kan beskrives som afvigelser.
- Tag alle platforme med · Linux-servere og apparater med eget styresystem glemmes let, hvis listen kun kommer fra kataloget. → Linux-servere i et Windows-miljø
- Afklar platformen under serverne · virtualiseringsplatformen kan være administreret separat og skal med i overvejelserne. → Virtualiseringsplatformen som testområde
Hvad fundene siger
Fund på servere kan grupperes efter, hvad de fortæller om driften.
- Ingen fælles standard · hver server er sat op forskelligt, og fundene varierer fra server til server. Rettelsen er en standard, ikke en rettelse pr. server.
- Standarden følges ikke · der findes en standard, men nogle servere afviger. Rettelsen er kontrol og opfølgning.
- For mange administratorer · store grupper eller tjenestekonti har administratorrettigheder på mange servere. Microsoft beskriver netop medlemskab af de lokale administratorgrupper på servere som et område, hvor rettighederne ofte er langt bredere end nødvendigt.
- Administration fra overalt · serverne kan administreres fra almindelige klienter og netværk. NCSC beskriver beskyttelse af administrationsflader og opdeling af administrationen i lag som grundprincipper. → Lagdelt administration
- Overflødige tjenester · roller og programmer, der ikke bruges, men stadig kører og skal vedligeholdes.
De to første grupper er de vigtigste at skelne mellem, fordi de kræver forskellige svar. Mangler standarden, er det et projekt, som skal have tid og en ejer. Findes den, men følges den ikke, er det et spørgsmål om kontrol og om, hvem der må sætte servere op uden om den. For en MSP med mange kunders servere kan det samme spørgsmål stilles på tværs: bruges den samme standard hos alle, eller har hver kunde sin egen historie?
Sådan prioriterer og retter I
NIST har en vejledning om sikring af servere, der beskriver kerneopgaverne i at beskytte servere, hvis hovedopgave er at levere tjenester på nettet. Microsoft anbefaler at tage udgangspunkt i en kendt og afprøvet baseline frem for at lave sin egen. På begrebsniveau ser rettelserne sådan ud.
- Begræns administratorerne · færre konti med administratorrettigheder på serverne, og adskilte konti til administration.
- Afskærm administrationen · serverne kan kun administreres fra bestemte maskiner og net.
- Fjern det overflødige · roller, tjenester og programmer, der ikke bruges.
- Indfør en standard · én beskrivelse af, hvordan servere sættes op, og en kontrol af, at den følges.
- Ret de kritiske servere først · domænecontrollere, backup, virtualisering og servere med følsomme data går forrest.
Rettelser på servere kan påvirke driften. Afprøv dem i et testmiljø eller på en mindre kritisk server, og planlæg dem i et servicevindue. → Databaseservere: adgang, konti og data
Det skal I lade være med
- At rette den server, testen fandt, og ikke de andre. Samme fejl kan findes på flere servere med samme opsætning.
- At bygge en standard fra bunden. En kendt baseline er et bedre udgangspunkt.
- At glemme de servere, der ikke står i kataloget. Apparater og Linux-servere har også konti og tjenester.
- At lade administration foregå fra almindelige klienter. Det binder serverens sikkerhed til klientens.
- At hærde uden at afprøve. En stram indstilling kan stoppe et forretningssystem.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan de undersøgte servere var sat op, og hvad der var muligt fra testerens position i testperioden. Den viser ikke, at servere uden for scope eller servere, der blev tilføjet senere, følger samme opsætning. Et resultat med få fund er bedst, når det kan forklares med en standard, der følges, og ikke med held.
Tjekliste til serverne
- ☐ Har I en liste over servere med rolle og ejer?
- ☐ Findes der en fælles standard for opsætning, og bliver den kontrolleret?
- ☐ Er antallet af administratorer på serverne begrænset?
- ☐ Kan serverne kun administreres fra bestemte maskiner og net?
- ☐ Er overflødige roller og tjenester fjernet?
- ☐ Er Linux-servere og apparater med i listen?
Kilder
- NIST SP 800-123: Guide to General Server Security: vejledning fra 2008 om kerneopgaverne i at beskytte servere, der leverer tjenester på nettet.
- Microsoft Learn: Security baselines guide: anbefalingen om at bruge en kendt og afprøvet baseline for Windows og Windows Server.
- Microsoft Learn: Implementing Least-Privilege Administrative Models: lokale administratorgrupper på servere med langt flere medlemmer end nødvendigt.
- NCSC: Secure system administration: principper om at beskytte administrationsflader, lagdelt administration, styring af privilegeret adgang og logning.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Domænecontrollere som testområde · Backupsystemet som mål
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
