Hvor testeren kobles på jeres net, er ikke kun et praktisk spørgsmål om kabler og forbindelser. Udgangspunktet bestemmer, hvilken situation testen efterligner, og dermed hvad rapporten kan sige noget om. Et netværksstik i mødelokalet svarer på et andet spørgsmål end en VPN-forbindelse hjemmefra eller en af jeres egne bærbare med en almindelig brugerkonto. IT-afdelingen skal derfor vælge udgangspunktet ud fra det spørgsmål, testen skal besvare, og først derefter løse logistikken.
Det kan også være relevant at bruge flere udgangspunkter i samme test, hvis der er flere spørgsmål, der skal besvares.
Fire almindelige udgangspunkter
En intern test bygger på et af disse udgangspunkter eller en kombination af dem.
- Netværksstik på kontoret · testeren møder op og kobler sin egen maskine til et stik eller et trådløst net.
- VPN-forbindelse · testeren arbejder udefra og får en forbindelse som en fjernarbejdende medarbejder.
- Udleveret maskine · testeren får en af jeres standardklienter med en almindelig brugerkonto.
- Testenhed hos jer · en fysisk eller virtuel enhed, som testeren styrer på afstand. → Testenhed på jeres netværk
Hvert udgangspunkt har sin egen styrke og sine egne blinde vinkler.
Netværksstik: den ukendte enhed
Et stik på kontoret svarer på spørgsmålet om, hvad en ukendt enhed kan nå, når den kommer ind på nettet. Det kan være en besøgendes bærbar, en enhed, der er sat til i et mødelokale, eller en leverandørs maskine. NCSC nævner netop en uautoriseret enhed på det interne net som et af de scenarier, en test kan tage udgangspunkt i.
Udgangspunktet siger meget om netværksadgangskontrol og om, hvad der er tilgængeligt i det segment, stikket hører til. Hvis stikket er åbnet specielt til testen, skal I være bevidste om, at testen ikke afprøver, om en fremmed enhed var blevet afvist. Skal det spørgsmål med, må stikket være et, der står som det plejer. → Ukendte enheder på nettet
Det kræver fysisk fremmøde og en aftale om, hvem der lukker testeren ind, og hvor testeren må opholde sig. Vælg stikket med omtanke. Et stik i receptionen eller et mødelokale siger noget andet end et stik i IT-afdelingen, fordi de kan høre til forskellige segmenter.
VPN: den fjernarbejdende medarbejder
En VPN-forbindelse placerer testeren dér, hvor fjernarbejdende medarbejdere lander. I mange net er det et segment med egne regler, som ikke nødvendigvis svarer til kontornettet. Testen siger derfor noget om, hvad en fjernforbindelse giver adgang til, og om VPN-segmentet er afgrænset, som det er tænkt.
Udgangspunktet er praktisk, fordi testeren ikke behøver at være til stede. Til gengæld siger det mindre om kontornettet og intet om netværksadgangskontrollen på kontoret. Brug det, når det er fjernadgangen, der er spørgsmålet, eller når fremmøde ikke er muligt, men skriv begrænsningen ind i opgaven.
Vær opmærksom på, at fjernforbindelser kan have flere profiler. Medarbejdere, administratorer og leverandører kan lande i hvert sit segment med forskellige rettigheder. Aftal, hvilken profil testeren får, og overvej, om leverandørernes adgang er et spørgsmål for sig. En leverandørprofil med bred adgang kan være mere interessant at få belyst end den almindelige medarbejders, fordi den sjældnere bliver gennemgået.
Udleveret maskine: den kompromitterede arbejdsplads
En af jeres egne klienter med en almindelig brugerkonto efterligner situationen, hvor en medarbejders maskine er kommet i de forkerte hænder. Det er et realistisk udgangspunkt for mange spørgsmål om rettigheder, fordi testen begynder med præcis den adgang, en medarbejder har.
Udgangspunktet tester samtidig jeres standardopsætning af klienter. Rapporten kan derfor indeholde fund om selve maskinen, og det er værdifuldt. → Klienttest for IT-afdelingen
Der er et særligt hensyn. Jeres beskyttelse på klienten vil reagere på testerens aktiviteter. Beslut på forhånd, om den skal være aktiv som normalt, så testen også siger noget om beskyttelsen, eller om testeren skal have en undtagelse for at nå længere ind i nettet. Begge valg er legitime, men de giver forskellige svar. → Endpoint-beskyttelse og testen
Hvilket udgangspunkt passer til jeres spørgsmål?
Begynd med spørgsmålet, og vælg derefter. Nogle typiske sammenhænge:
- Vil I vide, hvad en fremmed enhed kan nå? Brug et netværksstik, der står som normalt.
- Vil I vide, hvad fjernadgangen giver adgang til? Brug en VPN-forbindelse med en almindelig profil.
- Vil I vide, hvor langt en medarbejders adgang rækker? Brug en udleveret maskine.
- Vil I vide, om segmenteringen holder? Brug flere udgangspunkter i forskellige segmenter. → Segmentering i dybden
- Er der lang afstand eller flere lokationer? Overvej en testenhed.
Kan I ikke beslutte jer, er det et tegn på, at spørgsmålet ikke er skarpt nok endnu. Tag det op med den, der har bestilt testen.
Flere udgangspunkter i samme test koster tid, fordi testeren skal etablere sig flere steder. Til gengæld giver det et bredere billede og gør det muligt at sammenligne. Viser det sig, at VPN-segmentet når lige så langt som kontornettet, er det en konklusion, der kun kommer frem, når begge er afprøvet.
Det, driften skal klargøre
Hvert udgangspunkt har sine praktiske krav. Stikket skal være i det rigtige segment og virke. VPN-profilen skal være oprettet med de rettigheder, en almindelig bruger har. Den udleverede maskine skal være en standardklient og ikke en særligt klargjort maskine, ellers tester I noget, der ikke findes i drift. Uanset valget skal det fremgå af aftalen, hvornår adgangen åbnes og lukkes igen. → Intern penetrationstest: det, IT-afdelingen skal stille til rådighed
Det skal I lade være med
- At vælge det nemmeste udgangspunkt uden at se på spørgsmålet. Svaret bliver kun så godt som valget.
- At åbne specielt for testeren og konkludere på adgangskontrollen. Så er den ikke afprøvet.
- At klargøre en særlig maskine. Brug en, der ligner jeres andre klienter.
- At glemme at skrive udgangspunktet i rapporten. Læseren skal kunne se, hvorfra testen begyndte.
- At slå beskyttelse fra uden beslutning. Valget skal træffes og noteres på forhånd.
Hvad kan og ikke kan konkluderes
En intern test siger noget om det, der kunne nås fra det valgte udgangspunkt, med de rettigheder og undtagelser, der var aftalt. Den siger ikke noget om andre udgangspunkter. En test fra VPN-segmentet kan ikke bruges som svar på, om kontornettet er afgrænset, og en test fra en udleveret maskine med slået beskyttelse fra kan ikke bruges som svar på, om beskyttelsen virker. Sørg for, at udgangspunktet står i rapporten, så konklusionen ikke bliver læst bredere, end den er.
Tjekliste til valget
- ☐ Er det spørgsmål, testen skal besvare, skrevet ned?
- ☐ Passer udgangspunktet til spørgsmålet?
- ☐ Er det besluttet, om beskyttelsen på klienten skal være aktiv?
- ☐ Er stik, VPN-profil eller maskine klargjort og afprøvet?
- ☐ Er det aftalt, hvornår adgangen åbnes og lukkes?
- ☐ Bliver udgangspunktet beskrevet i rapporten?
Kilder
- NCSC: Penetration testing: uautoriseret enhed på det interne net som eksempel på et testscenarie.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Ukendte enheder på nettet · Segmentering i dybden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
