En virtuel maskine, der er flyttet til Azure eller AWS, får nye naboer og en ny administrationsflade, men styresystemet og programmerne på den er de samme som før. Svaret på titlens spørgsmål er derfor ja: kravene til opdatering, konti og opsætning gælder fuldt ud, og der kommer nogle oveni. Både Microsoft og AWS skriver i deres egen dokumentation, at kunden selv står for styresystemet på en lejet maskine, for programmerne på den og for de netværksregler, der styrer trafikken til den. For IT-afdelingen betyder det, at en server i cloud skal med i testen på samme vilkår som serverne i jeres eget rum.
Det, der flytter med, og det, der er nyt
Det, der flytter med, er det velkendte: styresystemets version og opdateringer, lokale konti, tjenester, der kører uden at blive brugt, og programmer med egne svagheder. Her gælder de samme principper som for serverne i huset. → Servere som testområde
Det nye ligger rundt om maskinen. I cloud styres adgangen til maskinen ikke kun af styresystemet, men også af roller i abonnementet eller kontoen. Den, der har ret til at ændre maskinen i portalen, kan nulstille adgang, tage en kopi af disken eller ændre netværksreglerne. Microsoft gør selv opmærksom på, at abonnementets administratorer reelt kan logge på alle maskiner i abonnementet. Netværksreglerne er heller ikke længere en firewall, driften kender fra serverrummet, men regler knyttet til den enkelte maskine eller det virtuelle net.
Hvad testen afprøver i en virtuel maskine i cloud
Testen ser på maskinen fra tre sider:
- Udefra · hvilke tjenester maskinen svarer på fra internettet, og om administrationsadgang er åben for alle adresser.
- Indefra · hvad en bruger eller en tjeneste på maskinen kan nå, både i det virtuelle net og i resten af cloudmiljøet.
- Fra administrationen · hvem der kan styre maskinen gennem portalen, og om de rettigheder passer til opgaverne.
Den tredje side er den, driften kan overse. En maskine kan være velholdt indvendig og alligevel være svær at beskytte, fordi for mange kan ændre den udefra. Rollerne i abonnementet er et testområde for sig. → Azure-test
Fundtyper, der går igen
Fundene i virtuelle maskiner i cloud kan ligne dem fra serverrummet, men med en anden årsag:
- Administrationsadgang åben mod internettet · fjernskrivebord eller fjernterminal kan nås fra alle adresser, fordi reglen blev lavet midlertidigt og aldrig strammet. → Administrationsflader på internettet
- Maskiner, der ikke får opdateringer · Microsoft skriver, at Azure ikke selv opdaterer styresystemet på kundens maskiner. Hvis maskinen ikke er med i jeres patchproces, bliver den ikke opdateret.
- Gamle skabeloner · nye maskiner bygges fra et billede, der var opdateret, da det blev lavet, men ikke siden.
- Hemmeligheder på maskinen · adgangskoder eller nøgler i filer og opsætning, som giver adgang videre ind i cloudmiljøet. → Nøgler og hemmeligheder i cloud
- Glemte maskiner · test- og forsøgsmaskiner, der blev sat op til et projekt og stadig kører.
Den sidste fundtype er typisk for cloud. Det er let at oprette en maskine, og det koster ingen indkøbsrunde. Derfor kan der findes flere, end driften har på sin liste.
Hvad IT-afdelingen forbereder
Testeren skal kunne skelne mellem det, der er bevidst valgt, og det, der er glemt. Det kræver en oversigt fra jer:
- ☐ Liste over virtuelle maskiner med ejer, formål og miljø (produktion, test, forsøg).
- ☐ Oversigt over, hvilke maskiner der skal kunne nås fra internettet, og hvorfor.
- ☐ Beskrivelse af, hvordan maskinerne opdateres, og hvem der står for det.
- ☐ Oplysning om, hvilke skabeloner eller billeder nye maskiner bygges fra.
- ☐ Testkonti på maskinniveau og en konto med læseadgang i abonnementet eller kontoen.
- ☐ Kontaktperson hos driftsleverandøren, hvis maskinerne passes udefra.
Udbydernes regler for test gælder også her. Microsoft kræver ikke forhåndsgodkendelse for test af egne ressourcer i Azure, men henviser til fælles regler. AWS har sin egen politik med en liste over tjenester. → AWS-test
Rettelser: de samme principper, nye steder at sætte dem
Rettelserne følger de kendte principper, men nogle af dem sidder et andet sted end i serverrummet.
Færre veje ind. Administrationsadgang begrænses til de adresser eller forbindelser, der skal bruge den, eller åbnes kun, når den skal bruges. Microsoft beskriver netop tidsbegrænset adgang til administrationsporte som en mulighed.
Opdatering som en del af driften. Cloudmaskinerne kommer med i den samme patchproces som resten, med samme opfølgning. Microsoft anbefaler også, at maskiner kan bygges forfra fra en opdateret skabelon. → Opdateringsstatus på klienter og servere
Færre, der kan styre maskinen. Roller i abonnementet tildeles efter opgave, og netværksressourcer styres af dem, der har ansvaret for netværket.
Ryd op i det glemte. Maskiner uden ejer eller formål lukkes eller får en ejer. Af alle rettelserne i rapporten kan den koste mindst at gennemføre.
Når maskinerne passes af en leverandør
Nogle virksomheder har fået deres cloudmaskiner sat op af en partner, som også passer dem bagefter. Det rykker ikke ved, hvad testen ser på, men det rykker ved, hvem der kan svare. Leverandøren ved måske, hvorfor en netværksregel er åben, hvilken skabelon maskinerne er bygget fra, og hvem der har konti i abonnementet. Leverandørens egne administrationskonti hører med i testen på samme måde som jeres.
Afklar før testen, om opdatering af styresystemet ligger i leverandørens aftale, eller om den ligger hos jer. Det er en af de mest almindelige gråzoner i cloud: begge parter tror, den anden gør det. Rapporten bliver lettere at fordele, når den grænse er skrevet ned på forhånd. Spørg også, om andre kunder har maskiner bygget fra samme skabelon. Så kan en rettelse hos jer være relevant for flere.
Det skal I lade være med
- At antage, at udbyderen opdaterer maskinen. Styresystemet er jeres, også når hardwaren ikke er.
- At teste maskinen og glemme portalen. Den, der styrer maskinen udefra, kan omgå meget af det, der er hærdet indvendigt.
- At lade midlertidige netværksregler stå. En regel, der blev åbnet til en leverandør for et år siden, er et klassisk fund.
- At bruge en anden standard i cloud. Hvis hærdningen lokalt er beskrevet, skal den samme beskrivelse gælde i Azure og AWS.
- At udelade testmaskinerne. De kan have svagere opsætning og samme adgang til netværket.
Hvad kan og ikke kan konkluderes
En test af virtuelle maskiner i cloud viser, hvordan de udvalgte maskiner og deres omgivelser holdt på testtidspunktet. Den siger noget om jeres opsætning af styresystem, netværksregler og roller, men intet om udbyderens egen platform. Maskiner, der oprettes efter testen, er ikke dækket, og fordi det er let at oprette nye, bør resultatet kobles til, hvordan nye maskiner bygges og godkendes. Rettes skabelonen, rettes de næste maskiner også.
Kilder
- Microsoft Learn: Security best practices for IaaS workloads in Azure: kunden opdaterer selv sine virtuelle maskiner, abonnementets administratorer kan logge på alle maskiner, begrænsning af administrationsporte og genopbygning fra skabelon.
- AWS: Shared Responsibility Model: kunden står for styresystem, programmer og firewallregler på egne virtuelle maskiner.
- Microsoft Learn: Penetration testing: test af egne ressourcer i Azure uden forhåndsgodkendelse og henvisning til fælles regler.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: AWS-test · Nøgler og hemmeligheder i cloud
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
