Rapporten siger, at en konto kunne logge ind med adgangskode alene, selv om tofaktor blev indført for flere år siden. For IT-afdelingen er det et af de mest frustrerende fund, fordi arbejdet føltes færdigt. En mulig forklaring er: tofaktor gælder i de regler, der blev sat op, men ikke på de veje, som reglerne ikke dækker. Svaret på, hvordan I lukker hullerne, hviler på Microsofts anbefaling om at blokere loginmetoder, der ikke understøtter tofaktor, og på at holde undtagelserne få, navngivne og kontrollerede.
Hvad der skal stå i bestillingen om tofaktor, er beskrevet for køberen på penetrationtest.dk. Her er driftens side: hvor hullerne kan være, hvad de betyder, og hvordan de lukkes uden at medarbejdere bliver låst ude.
Tre slags huller
Fund om tofaktor kan sorteres i tre grupper.
Gamle loginmetoder. Ældre protokoller til mail og andre tjenester kan ikke bede om en ekstra faktor. Hvis de stadig er tilladt, kan en adgangskode bruges alene ad den vej, også selv om den moderne loginside kræver tofaktor. Microsoft anbefaler at blokere dem og oplyser på baggrund af egne analyser, at langt de fleste forsøg på at gætte eller genbruge adgangskoder sker via netop de gamle metoder.
Undtagelser. En gruppe, en konto eller et sted er undtaget fra kravet. Nogle undtagelser er bevidste og nødvendige, andre er rester fra en overgang. → Betinget adgang i Entra ID
Glemte brugere. Konti, der aldrig har registreret en faktor, fx nye medarbejdere, fælles postkasser, der kan logges ind på, eller konti oprettet til et formål, der er slut.
Hvor hullerne gemmer sig
Testen ser på de steder, hvor kravet om tofaktor ikke altid rækker:
- Mail på ældre klienter · gamle mailprogrammer og enheder, der kun kan bruge adgangskode. → Exchange Online
- Fjernadgang · VPN eller anden adgang til nettet, der har sit eget login ved siden af Entra ID. → VPN og fjernadgangsportaler i dybden
- Tjenestekonti · konti, der bruges af programmer, men logger ind som almindelige brugere og derfor er undtaget. → Tjenestekonti
- Betroede netværk · kontornettet er markeret som sikkert, så kravet bortfalder, når man sidder der.
- Registrering af faktor · om en ny faktor kan registreres uden ekstra kontrol, fx første gang eller efter nulstilling.
- Nulstilling via support · hvad servicedesken kræver, før en faktor eller adgangskode nulstilles.
Det sidste punkt er ikke teknisk, men det hører med. En stærk tofaktor er ikke stærkere end den proces, der kan fjerne den. Spørg derfor også, hvordan en medarbejder, der har mistet sin telefon, får adgang igen, og om svaret er det samme, når det er en administrator, der ringer. Den proces er måske ikke skrevet ned, og testen kan kun vurdere det, der er beskrevet eller aftalt.
Hvad fundene betyder
Alvoren afhænger af, hvad kontoen kan nå, og hvor let adgangskoden er at få fat i. En glemt testkonto uden adgang til noget er en sag for oprydningen. En administratorkonto, der kan logge ind med adgangskode alene via en gammel protokol, er et af de alvorligste fund i en test af lejeren.
Bed testeren om at koble fundene til konkrete konti og roller. Et fund, der siger, at gamle loginmetoder er tilladt, er nyttigt. Et fund, der siger, hvilke konti der faktisk brugte dem i testperioden, er mere nyttigt, fordi det viser, hvem der rammes, når de blokeres.
Rækkefølgen, når hullerne skal lukkes
Microsoft anbefaler at blokere gamle loginmetoder og samtidig undersøge, hvem der stadig bruger dem, inden blokeringen slås til. Det giver en naturlig rækkefølge:
- Find brugen · loggene for login viser, hvilke konti og enheder der bruger gamle metoder.
- Flyt brugerne · opdater klienter og enheder, eller find en anden løsning til dem, der ikke kan opdateres.
- Afprøv blokeringen · kør reglen i en tilstand, hvor den kun registrerer, og se, hvem den ville ramme.
- Slå den til · først for alle, der er klar, og til sidst for resten.
- Ryd op i undtagelser · hver undtagelse får en ejer, en begrundelse og en slutdato.
- Styrk de vigtigste konti · administratorer bør bruge loginmetoder, der er sværere at narre, som Microsoft anbefaler for privilegerede konti.
Husk nødadgangen undervejs. Microsoft anbefaler, at nødadgangskonti holdes uden for regler, der kan blokere login, så en forkert regel ikke låser alle administratorer ude. → Nødadgangskonti
Systemer, der ikke kan bruge moderne login, kræver en beslutning. De kan udskiftes, afskærmes eller accepteres som en kendt risiko med en dato for, hvornår beslutningen tages op igen. Det sidste hører hjemme hos ledelsen, ikke hos den enkelte tekniker.
Hvem der retter hvad
Fund om tofaktor kan fordele sig på flere hænder. Regler i Entra ID ligger hos den, der passer lejeren, måske en driftsleverandør. Fjernadgangen ligger hos netværksfolkene eller hos en anden leverandør. Mailklienter og enheder ligger hos dem, der passer arbejdspladserne. Servicedeskens rutiner ligger hos supporten.
Fordel derfor fundene efter ejer, før arbejdet går i gang, og giv hver ejer en dato. Ellers venter de på hinanden. Det gælder især blokeringen af gamle loginmetoder, som kræver, at klienter er opdateret, før reglen kan slås til. En fælles liste over de berørte konti og enheder gør det lettere at se, hvornår alle er klar. Når rettelserne er på plads, kan en kort kontrol med de samme testkonti vise, om hullerne er lukket, før næste test bekræfter det. → Klar til retest
Det skal I lade være med
- At blokere gamle metoder uden at kende brugen. Printere, scannere og ældre systemer kan holde op med at sende mail.
- At lade undtagelser stå uden slutdato. En midlertidig undtagelse bliver permanent, hvis ingen følger op.
- At regne kontornettet for sikkert. En maskine på nettet kan være den, der er kompromitteret.
- At glemme servicedeskens rutiner. En nulstilling uden kontrol gør tofaktoren til pynt.
- At lade fælles postkasser kunne logge ind. De har måske hverken en faktor eller en ejer.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke veje ind der accepterede adgangskode alene i testperioden, med de konti og tjenester der var med. Den kan ikke vise, om en undtagelse er nødvendig for jeres drift. Den kan heller ikke sige noget om veje, der ikke var i scope, fx fjernadgang, der ikke blev testet, eller systemer med eget login. Et resultat uden fund betyder, at de undersøgte veje krævede tofaktor på testtidspunktet.
Tjekliste til tofaktor i drift
- ☐ Er gamle loginmetoder blokeret, eller er brugen af dem kortlagt?
- ☐ Har hver undtagelse en ejer, en begrundelse og en slutdato?
- ☐ Har alle aktive konti registreret en faktor?
- ☐ Kræver fjernadgang tofaktor på samme niveau som cloud?
- ☐ Er servicedeskens kontrol ved nulstilling beskrevet?
- ☐ Bruger administratorer de stærkeste loginmetoder?
Kilder
- Microsoft Learn: Block legacy authentication with Conditional Access: anbefaling om at blokere loginmetoder uden tofaktor, Microsofts analyse af angreb på adgangskoder via gamle metoder, undersøgelse af brugen i loggene og undtagelse af nødadgangskonti.
- Microsoft Learn: Protect Microsoft 365 from on-premises attacks: loginmetoder, der modstår phishing, til administratorer og blokering af gamle loginmetoder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Exchange Online · Tjenestekonti · Nulstilling af adgangskoder og tofaktor
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
