Når næsten alle servere er virtuelle, er platformen under dem den vigtigste maskine i huset. Den, der styrer værterne og deres administration, kan starte, stoppe, kopiere og ændre alle servere på én gang, også domænecontrollerne og backupserveren. Om platformen er godt beskyttet, afhænger derfor mindre af de enkelte servere og mere af, hvem og hvad der kan nå administrationen af den.
Spørgsmålet er ikke nødvendigvis med i en test, medmindre nogen har bedt om det. Mange interne test koncentrerer sig om brugernes net og om Active Directory, og platformen nævnes kun, hvis testeren tilfældigvis støder på den. Det er et valg, der bør træffes bevidst.
Hvorfor platformen er særlig
En virtuel server er i sidste ende en samling filer på en vært. Har nogen kontrol over værten eller dens centrale administration, er beskyttelsen inde i den virtuelle server ikke længere afgørende. Kryptering, konti og logning inde på serveren beskytter ikke mod den, der står et lag under.
NIST beskriver hypervisoren som den software, der fordeler værtens processorkraft, hukommelse, net og lager mellem de virtuelle maskiner og holder dem adskilt. Vejledningen om serverbaserede hypervisorplatforme giver anbefalinger til netop de grundfunktioner. For IT-afdelingen er pointen enkel: adskillelsen mellem serverne er kun så stærk som beskyttelsen af platformen.
Der er også en driftsmæssig side. Platformen er måske ikke en del af den daglige opdateringskørsel, og den kan blive opdateret mere forsigtigt end andet, fordi en fejl rammer alle servere. Det er forståeligt, men det kan betyde, at platformen halter efter.
Hvad testen afprøver
En test af platformen ser på den som et administrationssystem og stiller spørgsmål til adgangen, ikke til de enkelte servere.
- Hvem kan nå administrationen · om værternes og den centrale administrations flader kan nås fra brugernes net, fra servernettet eller kun fra et adskilt administrationsnet. → Administrationsnet
- Hvordan der logges på · om login sker med personlige konti, om der bruges tofaktor, og om platformen er bundet til domænet.
- Rettigheder i platformen · hvem der har fulde rettigheder, og om rollerne er delt efter opgave.
- Opdateringsstatus · om værter og administration har kendte svagheder, som producenten har rettet.
- Forbindelsen til backup · om de samme konti styrer både platformen og backup af den. → Backupsystemet som mål
Hvis platformen er bundet til Active Directory, bliver et svagt punkt i kataloget også et svagt punkt i platformen. Det er et valg, der har både fordele og ulemper, og testen kan vise, hvad det betyder i jeres miljø.
Det, IT skal forberede
Platformen er så vigtig, at mange IT-afdelinger er tøvende med at lade den indgå. Det er en rimelig bekymring, og den løses med aftaler, ikke ved at holde platformen ude.
- Beslut, om platformen skal være mål · eller om testen kun skal vise, om den kan nås.
- Aftal, hvad der ikke må ske · ingen ændringer af virtuelle maskiner, ingen genstart af værter, ingen ændring af opsætning. At påvise adgang er som regel nok.
- Udpeg kontakten · den, der kender platformen, og som kan kontaktes med det samme, hvis noget opfører sig mærkeligt. → Kontaktpersonen i IT under testen
- Afklar driftsleverandørens del · står en leverandør for platformen, skal leverandøren acceptere testen.
- Kontrollér backup · der skal findes en frisk kopi af de vigtigste servere, før testen går i gang.
Når platformen er delt med andre
Ikke alle platforme står i eget serverrum. Nogle virksomheder har deres servere på en platform, som driftsleverandøren eller et hostingfirma ejer, og hvor andre kunder står på de samme værter. Så ændrer spørgsmålet sig. Testen kan normalt kun se på den del, I selv administrerer, fx jeres egen adgang til en portal, og ikke på leverandørens værter eller den fælles administration.
Det er ikke en mangel ved testen, men en grænse, der skal stå i aftalen og i rapporten. Spørg leverandøren, hvordan deres egen administration er adskilt, og om den har været testet. Svaret hører hjemme i jeres leverandørstyring, ikke i jeres pentestrapport. → Hostede servere i den eksterne test
Hvad fundene kan sige
Fund om platformen handler ikke nødvendigvis om, at hypervisoren selv er svag. De handler om vejen dertil. Administrationen kan nås fra nettet, hvor medarbejdernes maskiner står. Den samme administratorkonto bruges til domænet og til platformen. Der er mange med fulde rettigheder, fordi det var nemmest, da platformen blev sat op. Eller platformen er bagud med opdateringer, fordi ingen har tid til at planlægge et vindue.
Hvert af fundene kan være middel alvorligt for sig. Sammen kan de udgøre en vej fra én klient til kontrol over alle servere, og det er sådan rapporten bør læses. Bed testeren beskrive kæden, hvis der er en.
Sådan retter I
Rettelserne følger samme principper som for anden administration. NCSC’s principper for sikker systemadministration nævner betroede administrationsmaskiner, beskyttede administrationsflader, administration i lag, styring af privilegeret adgang og logning af administratorhandlinger. Overført til platformen betyder det:
- Adskil administrationen · platformen administreres fra et net og fra maskiner, som kun bruges til det.
- Adskil identiteten · konti til platformen er ikke de samme som de daglige konti eller domænets administratorkonti. → Én konto til alt
- Færre med fulde rettigheder · roller efter opgave, så ikke alle kan alt.
- Hold platformen opdateret · med en fast plan for vinduer, som tager højde for, at alle servere berøres.
- Log administrationen · og send logningen et sted hen, som den, der administrerer platformen, ikke selv kan ændre.
De to første punkter kan være projekter. Det tredje kan gennemføres hurtigt. → Lagdelt administration
Det skal I lade være med
- At udelade platformen af frygt for nedbrud. Aftal i stedet, hvad testen må og ikke må.
- At lade testen ændre noget på platformen. Påvist adgang er tilstrækkeligt dokumentation.
- At administrere platformen fra den daglige maskine. Den er netop den, en angriber kommer ind ad.
- At bruge domænets administratorkonti på platformen. Så rammer et svagt punkt i kataloget begge dele.
- At udskyde opdateringer uden plan. Platformens vinduer skal stå i kalenderen.
Hvad kan og ikke kan konkluderes
Testen viser, om platformens administration kunne nås og med hvilke rettigheder, fra de udgangspunkter testen havde. Den siger ikke noget om hypervisorens indre sikkerhed eller om forhold, testen ikke måtte afprøve. Et resultat uden fund betyder, at adgangen var lukket for testeren i perioden, ikke at platformen er fejlfri.
Tjekliste til platformen
- ☐ Er det besluttet, om platformen er mål i testen?
- ☐ Er det skriftligt aftalt, hvad testen ikke må ændre?
- ☐ Kan administrationen kun nås fra et adskilt net?
- ☐ Er platformens konti adskilt fra daglige konti og domænets administratorer?
- ☐ Er antallet af fulde rettigheder gennemgået?
- ☐ Er der en plan for opdatering af værter og administration?
Kilder
- NIST SP 800-125A Rev. 1: Security Recommendations for Server-based Hypervisor Platforms: hypervisorens rolle med at fordele værtens ressourcer og holde virtuelle maskiner adskilt, og anbefalinger til platformens grundfunktioner.
- NCSC: Secure system administration: fem principper for sikker administration, fra betroede administrationsmaskiner til logning.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Servere som testområde · Driftsværktøjer med bred adgang · Terminalservere og virtuelle skriveborde som testområde
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
