Det, IT selv har oprettet til testen, kan IT selv finde og fjerne. Det, testeren har lagt i systemerne undervejs, er en anden sag: en fil på en server, en bruger oprettet i en webapplikation, en ændret indstilling eller testdata i et forretningssystem. Uden en liste fra testeren er det umuligt at vide, om alt er fjernet. Svaret er at kræve listen i aftalen før testen, få den udleveret ved testens afslutning i en form, driften kan arbejde med, og kontrollere den mod jeres egne observationer.
Hvorfor testeren efterlader noget
En penetrationstest er ikke kun en scanning udefra. For at vise, hvad en svaghed betyder, kan testeren være nødt til at gøre noget i systemerne. Den amerikanske standardorganisation NIST beskriver i sin vejledning om sikkerhedstest, at testere, der får adgang til et system, kan installere yderligere værktøjer for at komme videre i testen. Det kan være en nødvendig del af arbejdet og er en god grund til at vide, hvad der er lagt hvor.
Sporene kan falde i disse grupper.
- Filer · fx en fil, der viser, at testeren kunne skrive på en server eller et delt drev.
- Værktøjer og programmer · placeret på systemer, testeren fik adgang til, for at komme videre.
- Konti · brugere, som testeren selv oprettede i en applikation eller et system for at vise en svaghed.
- Ændringer i opsætning · indstillinger, der blev ændret for at dokumentere et fund.
- Testdata · poster, beskeder, ordrer eller uploadede filer i applikationer.
- Forbindelser · midlertidige adgange, som testeren selv etablerede undervejs.
Hvad der er efterladt, afhænger af testen. En ekstern test af en hjemmeside giver andre spor end en intern test af et Active Directory-miljø. Listen skal laves ud fra det, der faktisk skete. Spørg også ind til spor, der ikke ligger i jeres egne systemer, men hos en leverandør, fx i en hostet webapplikation eller en cloudtjeneste, som en anden driver. Dér skal leverandøren have listen, så oprydningen kan ske i leverandørens del af miljøet.
Aftal listen før testen
Kravet om listen hører hjemme i aftalen. Skriv tre ting ind.
- At testeren fører en liste · over alt, der oprettes, placeres eller ændres i jeres systemer.
- Hvornår den udleveres · ved testens afslutning, før eller sammen med rapporten.
- Hvem der fjerner hvad · om testeren selv fjerner sine spor, eller om driften gør det ud fra listen.
Samme vejledning anbefaler, at testerne fører en log over deres aktiviteter trin for trin, så organisationen kan skelne testerens handlinger fra en rigtig angribers. Listen over efterladte spor er en samling af de punkter i den log, der har sat sig i jeres systemer. Hvis testeren fører en god log, er listen let at lave. Bed om, at listen også nævner de spor, testeren allerede selv har fjernet. Det giver jer mulighed for at kontrollere, at de faktisk er væk, og det viser, at listen dækker hele perioden og ikke kun det, der ligger tilbage. Er der flere testere på opgaven, skal listen samle alles spor, ikke kun den ansvarliges.
Hvad listen skal indeholde
Listen skal kunne bruges af en administrator, der ikke var med i testen.
- System · navn eller adresse på det system, hvor sporet ligger.
- Hvad · fil, konto, ændring, data eller forbindelse.
- Hvor · placering, så sporet kan findes.
- Hvornår · dato og tidspunkt for oprettelsen.
- Status · om testeren har fjernet det, eller om det ligger der endnu.
- Følger · om fjernelsen kan påvirke andre data eller funktioner.
Det sidste punkt er vigtigt for testdata i forretningssystemer. En ordre, der er knyttet til en kunde og en faktura, kan ikke bare slettes uden at tænke på konsekvensen.
Sammenhold listen med jeres egne observationer
Listen er testerens oplysning. Kontrollér den mod det, I selv har set.
- Driftsloggen · nævner ændringer eller episoder, som ikke står på listen? → Driftslog over testperioden
- Opsynet med testkonti · viste kontiene aktivitet på systemer, som listen ikke nævner? → Testkonti under opsyn
- Beskyttelsen på maskinerne · har endpointbeskyttelsen meldt om filer, der ikke står på listen?
- Systemernes egen logning · viser den nye konti eller ændringer i perioden, som ingen kan forklare?
Hvis der er noget, I ikke kan forklare, så spørg testeren. Kan testeren heller ikke forklare det, skal det undersøges som en mulig hændelse og ikke afskrives som en rest fra testen. → Alarmer under testen
Når testeren selv rydder op
Nogle aftaler lader testeren fjerne sine egne spor. Det er praktisk, men det fritager ikke driften for at kontrollere. Bed om, at listen stadig udleveres med status for hvert punkt, så I kan se, hvad der er fjernet, og bekræfte det i systemerne.
Vær opmærksom på, at testerens adgang kan være lukket, før oprydningen er færdig. Hvis testeren skal rydde op, så aftal, at det sker, mens adgangen stadig findes, og at adgangen derefter lukkes som en del af jeres egen oprydning. → Oprydning efter testen
Data, testeren har taget med
Sporene går begge veje. Ud over det, der er lagt i jeres systemer, kan testeren have taget kopier af data med som dokumentation, fx skærmbilleder, uddrag eller adgangsoplysninger, der blev fundet. Bed om, at listen også nævner, hvilke typer data testeren har hentet, så I kan vurdere, om der er behov for at nulstille adgangskoder eller tage andre skridt. → Skal adgangskoder nulstilles efter testen?
Hvordan testeren opbevarer og sletter data efter opgaven, er et aftalepunkt for køberen. Har testen fundet personoplysninger eller andre følsomme data, hører det til sin egen vurdering. → Følsomme data fundet under testen
Det skal I lade være med
- At undlade at kræve listen i aftalen. Bagefter er det svært at få.
- At acceptere en mundtlig besked om, at alt er fjernet. Bed om listen på skrift.
- At slette testdata uden at tænke på sammenhængen. Lad systemets ejer beslutte.
- At afskrive uforklarede spor som testen. Spørg, og undersøg, hvis svaret mangler.
- At glemme de data, testeren har taget med. De kan kræve egne skridt.
Hvad kan og ikke kan konkluderes
En fuldstændig liste, der er kontrolleret mod jeres egne observationer, giver et godt grundlag for at sige, at testens spor er fjernet. Den kan ikke garantere, at intet er overset, fordi den bygger på testerens egen registrering. Hvis jeres logning og opsyn ikke dækker alle systemer, kan der være spor, ingen af jer har set.
Tjekliste til listen
- ☐ Står kravet om listen i aftalen?
- ☐ Er det aftalt, hvem der fjerner hvad?
- ☐ Har listen system, placering, tidspunkt og status for hvert punkt?
- ☐ Er listen sammenholdt med driftslog, opsyn og logning?
- ☐ Er uforklarede spor undersøgt?
- ☐ Nævner listen de data, testeren har taget med?
Kilder
- NIST SP 800-115: testere, der får adgang, kan installere yderligere værktøjer for at komme videre; testerne bør føre en log over deres aktiviteter, så organisationen kan skelne dem fra en rigtig angriber.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Testkonti under opsyn · Klar til retest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
