Nogle systemer kan gå i stå eller opføre sig forkert, når de bliver mødt af noget, de ikke er bygget til, og en penetrationstest er netop sådan et møde. Det gælder ikke kun gamle servere, men også særligt udstyr, systemer uden reserve og forretningssystemer, som ingen tør genstarte. Svaret er ikke at holde dem ude af testen pr. automatik, men at IT finder dem før testen, beskriver, hvad de ikke tåler, og får hensynet skrevet ind i aftalen, så både testeren og driften ved, hvad der gælder.
Hvad gør et system skrøbeligt
Skrøbelighed handler om, hvad der sker, hvis systemet bliver belastet eller får uventede henvendelser, og hvad det koster, hvis det går galt. Følgende kendetegn er værd at kigge efter.
- Alder og support · styresystem eller software, som leverandøren ikke længere opdaterer. → Servere uden support
- Særligt udstyr · maskiner, styringer eller apparater med indlejret software, der er bygget til et snævert formål. → OT-grænsen
- Ingen reserve · systemer, der kører i én instans, og hvor nedetid stopper en forretningsproces.
- Leverandørbinding · systemer, hvor kun leverandøren må genstarte, gendanne eller ændre opsætningen.
- Historik · systemer, der tidligere er gået ned ved en scanning, en opdatering eller en uventet belastning.
- Ukendt opførsel · systemer, som ingen i IT kender godt nok til at vide, hvordan de reagerer.
Det sidste punkt er værd at tage alvorligt. Hvis ingen kan svare på, hvordan et system opfører sig, er det i sig selv en grund til at behandle det forsigtigt og til at finde ud af det.
Find dem før aftalen er færdig
Listen over skrøbelige systemer skal ligge klar, mens opgaven afgrænses, ikke dagen før testen. Den britiske myndighed NCSC skriver i sin vejledning om penetrationstest, at usædvanlige systemer bør nævnes allerede, når testeren giver tilbud, og at afgrænsningen bør omfatte kritiske systemer, der kræver særlig håndtering.
Spørg systemejerne og driftsleverandørerne direkte. De kender systemernes svagheder bedre end en oversigt, og de ved, hvilke perioder der er følsomme, fx månedsafslutning, produktion i døgndrift eller kampagner i webshoppen.
De hensyn, der kan aftales
Når systemerne er fundet, skal der vælges et hensyn for hvert af dem. Den amerikanske standardorganisation NIST skriver i sin vejledning om sikkerhedstest, at nogle testformer kan føre til, at systemer bliver utilgængelige, og at organisationer kan overveje at teste på en tilsvarende kopi eller at begrænse bestemte aktiviteter til tidspunkter uden for den normale drift.
- Andet tidspunkt · testen af systemet lægges i et tidsrum, hvor nedetid gør mindst skade, og hvor driften er til stede.
- Lavere tempo · testeren arbejder mere afdæmpet mod systemet og stopper ved første tegn på påvirkning.
- Kopi i stedet for produktion · testen foregår på et tilsvarende miljø, hvis et sådant findes og ligner produktionen nok. → Testmiljø eller produktion til webtest
- Kun gennemgang · systemet vurderes ud fra opsætning og placering i nettet, uden aktiv test.
- Ude af testen · systemet holdes helt udenfor, og det fremgår af rapporten.
Hvert hensyn har en pris. Jo mere forsigtigt et system behandles, jo mindre kan testen sige om det. Det er en afvejning for systemets ejer og opgavens ejer, ikke en teknisk detalje, testeren skal løse alene.
Driftens forberedelse af systemerne
Hensynet i aftalen skal følges op af forberedelse i driften.
- Gendannelsespunkt · en frisk og afprøvet backup eller en anden vej tilbage. → Backup og gendannelsespunkt før testen
- Ejer til stede · systemets ejer eller leverandør kan nås, mens systemet testes.
- Overvågning · driften holder ekstra øje med systemets tilstand i det aftalte tidsrum. → Driftsovervågning under testen
- Stopkriterium · det er beskrevet, hvilke symptomer der får testen mod systemet til at stoppe.
Skriv hensynene ind i beredskabet, så vagten ved, hvilke systemer der skal reageres hurtigst på. → Beredskab under testen
Når testeren finder et skrøbeligt system undervejs
Listen er ikke nødvendigvis komplet. Midt i testen kan testeren støde på et system, der reagerer langsomt, svarer uventet eller tydeligvis er ældre end resten, uden at det stod på listen. Aftal på forhånd, at testeren i den situation stopper aktiviteten mod systemet og melder det til kontaktpersonen, før der arbejdes videre.
Kontaktpersonen finder ejeren og får afklaret, hvilket hensyn der skal gælde. Beslutningen noteres, så den kan genfindes, når rapporten skal læses. Er systemet ukendt for IT, er det et tegn på, at oversigten over miljøet har huller, og det er værd at følge op på for sig. → Når testen viser, at dokumentationen ikke passer
Skrøbeligheden er selv et fund
Et system, der kan bringes ned af en test, kan også bringes ned af en angriber, en fejlkonfigureret scanner eller en uheldig opdatering. At systemet er skrøbeligt, er derfor oplysning, der hører med i rapporten og i jeres egen risikovurdering, uanset om testen gik godt.
Det betyder også, at et system, der blev holdt ude af testen, ikke er uden risiko. Det er bare ikke undersøgt. Bed om, at rapporten skriver tydeligt, hvilke systemer der blev behandlet særligt, og hvordan, så læseren ikke tror, at de er testet på lige fod med resten.
På længere sigt er spørgsmålet, om systemet skal blive ved med at være skrøbeligt. Afskærmning, udskiftning eller en reserve kan gøre det muligt at teste det fuldt næste gang. → Når et system ikke kan opdateres
Det skal I lade være med
- At holde systemer ude uden at sige det. Rapporten skal vise, hvad der ikke blev testet.
- At lave listen dagen før testen. Hensynene skal med i afgrænsningen.
- At gætte på, hvordan et system reagerer. Spørg ejeren eller leverandøren.
- At lade et skrøbeligt system blive testet uden ejer til stede. Så tager det længere tid at reagere.
- At betragte et undtaget system som sikkert. Det er kun uundersøgt.
Hvad kan og ikke kan konkluderes
Et skrøbeligt system, der kom igennem testen uden problemer, har tålt den aftalte, forsigtige behandling. Det siger ikke, at det tåler en angriber, der ikke tager hensyn. Et system, der blev holdt ude, kan rapporten ikke sige noget om. Til gengæld giver listen over skrøbelige systemer et billede af, hvor driften er sårbar over for nedetid, og den er værd at bruge i planlægningen af udskiftninger. Gem listen sammen med rapporten, så næste test kan begynde fra den i stedet for fra bunden.
Tjekliste til skrøbelige systemer
- ☐ Har systemejere og leverandører fået mulighed for at melde systemer ind?
- ☐ Er der valgt et hensyn for hvert skrøbeligt system?
- ☐ Er hensynene skrevet ind i aftalen med testeren?
- ☐ Er der et gendannelsespunkt og en ejer til stede?
- ☐ Kender vagten listen?
- ☐ Er det aftalt, at rapporten viser, hvilke systemer der blev behandlet særligt?
Kilder
- NCSC: Penetration testing: usædvanlige systemer nævnes ved tilbud; afgrænsningen omfatter kritiske systemer, der kræver særlig håndtering; testerne bør undgå unødig påvirkning.
- NIST SP 800-115: nogle testformer kan gøre systemer utilgængelige; overvej test på et tilsvarende miljø eller uden for normal drift.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Servere uden support · OT-grænsen · Medicinsk udstyr og kliniske systemer på netværket
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
