En rapport fra en webtest kan blive blandet sammen til én bunke, som sendes til udviklerne. Men en del af fundene har intet med koden at gøre. De sidder i webserveren, i platformen under løsningen og i de filer og indstillinger, der fulgte med installationen. Dem kan IT-afdelingen rette selv, måske hurtigere end nogen anden. Svaret på, hvilke fund der hører til driften, hviler på et skel, som OWASP også bruger i sin testvejledning: test af konfiguration og udrulning er en kategori for sig, adskilt fra test af løsningens egen logik.
Hvordan I kender et driftsfund
Et fund hører til driften, når det kan rettes uden at ændre en linje i løsningens kode. Spørg om tre ting:
- Sidder det i serveren eller platformen? · fx webserverens indstillinger, styresystemet eller den runtime, løsningen kører på.
- Sidder det i installationen? · fx filer, mapper eller konti, der fulgte med, og som ikke er en del af selve programmet.
- Er det en indstilling, I har valgt? · eller undladt at vælge, fx en standardværdi, ingen har ændret.
Hvis svaret er ja til et af spørgsmålene, er fundet sandsynligvis IT’s. Hvis I er i tvivl, så spørg testeren. Fordelingen mellem IT og en ekstern leverandør er beskrevet for sig. → Købte webløsninger i driften
Fundtyper i webserverens opsætning
OWASP har i sin seneste Top 10 forkert sikkerhedsopsætning som en af de højest placerede kategorier. I en webtest kan det vise sig som:
- Standardsider og eksempelfiler · velkomstsider, dokumentation eller eksempler fra installationen, der stadig ligger på serveren.
- Administrationssider, der kan nås udefra · fx administration af webserveren, databasen eller løsningen, som burde være begrænset til driftens net. → Administrationsflader på internettet
- Mappevisning · serveren viser indholdet af en mappe, når der ikke ligger en side i den.
- Gamle filer og kopier · sikkerhedskopier, gamle udgaver og midlertidige filer, der er efterladt i de mapper, webserveren udstiller.
- Unødvendige moduler og funktioner · udvidelser, der er slået til, men ikke bruges.
- For brede rettigheder · webserveren kører med flere rettigheder i styresystemet, end den har brug for, eller kan skrive i mapper, den kun skal læse fra.
- Svag kryptering af forbindelsen · forældede protokolversioner eller certifikater, der er udløbet eller udstedt forkert. → TLS og certifikater i rapporten
- Sikkerhedsheadere og oplysninger om serveren · manglende headere og svar, der fortæller udgave og platform. → Sikkerhedsheadere og cookieindstillinger
Mange af fundene har lav eller middel alvorlighed alene. De bliver vigtigere i sammenhæng: en glemt kopi af en konfigurationsfil kan indeholde en adgangskode, og en administrationsside, der kan nås udefra, er en indgang, der ikke skulle have været der.
Hvorfor fundene opstår
Fundene i opsætningen er ikke nødvendigvis udtryk for sjusk. De opstår, fordi en installation følger producentens standard, og standarden er lavet til at virke, ikke til at være stram. Senere kommer der ændringer: et modul slås til for at løse et problem, en kopi lægges til side før en opdatering, en administrationsside åbnes for en leverandør. Ingen af ændringerne bliver rullet tilbage.
Derfor er det sjældent nok at rette det enkelte fund. Den samme fejl kan findes på flere servere, fordi de er sat op på samme måde. Et driftsfund i rapporten er derfor også et spørgsmål til processen: hvem godkendte ændringen, hvorfor blev den ikke rullet tilbage, og hvordan opdager I næste gang, at en midlertidig ændring er blevet permanent? Svarene hører hjemme i ændringsstyringen, ikke kun i opgaven om at rette serveren.
Det, IT har klar til testen
Testeren får mere ud af tiden, når driftens del af løsningen er beskrevet på forhånd. Det behøver ikke være omfattende:
- Serverne bag løsningen · hvilke servere der indgår, og hvilken webserver og platform de kører.
- Hvad der er tilpasset · ændringer i forhold til producentens standard, og hvorfor de blev lavet.
- Administrationsveje · hvordan driften og eventuelle leverandører administrerer serveren.
- Ansvarlige · hvem der retter i webserveren, og hvem der retter i platformen, hvis det er forskellige personer eller leverandører.
Beskrivelsen gør det lettere for testeren at skelne mellem et bevidst valg og en glemt standardindstilling. Den gør det også lettere for jer at sende fundene det rigtige sted hen, når rapporten kommer. Opdag I, at beskrivelsen ikke kan laves, fordi ingen ved, hvem der satte serveren op, er det i sig selv værd at notere. → Netværkstegning og systemoversigt
Sådan prioriterer I
Fund i opsætningen er gode kandidater til hurtige rettelser, men ikke alle er lige vigtige. Prioritér efter tre spørgsmål:
- Giver fundet adgang? · en administrationsside eller en fil med en adgangskode kommer først.
- Kan det nås udefra? · fund på en server på internettet vejer tungere end samme fund internt.
- Findes det flere steder? · så skal rettelsen ind i standardopsætningen, ikke kun på den ene server.
Fund, der kun giver oplysninger om serveren, kan vente til næste planlagte vedligehold. → Hurtige rettelser og større projekter
Rettelser på begrebsniveau
Rettelserne følger nogle få principper:
- Fjern det, der ikke bruges · standardsider, eksempler, gamle filer og moduler.
- Begræns adgangen til administration · til driftens net eller en særskilt adgangsvej.
- Kør med færrest mulige rettigheder · webserveren skal kunne det, den skal, og ikke mere.
- Hold sikkerhedskopier uden for de udstillede mapper · så de ikke kan hentes over nettet.
- Hold platformen opdateret · webserver, runtime og styresystem. → Forældede komponenter og biblioteker
Spørg leverandøren, før I fjerner eller ændrer noget i en købt løsning. Nogle løsninger forventer filer eller moduler, som ser overflødige ud.
Gør rettelsen til standard
Når fundet er rettet på én server, skal rettelsen ind i den skabelon, den opsætningsbeskrivelse eller den automatisering, som nye servere bygges efter. Ellers kommer fundet igen ved næste installation. → Gør rettelserne permanente
Det skal I lade være med
- At sende driftsfund til udviklerne. De kan ikke rette dem, og fundene bliver liggende.
- At rette den ene server og glemme de andre. Samme opsætning giver samme fund.
- At lade kopier ligge i webroden før en opdatering. Læg dem et andet sted.
- At åbne administrationen for en leverandør og glemme at lukke. Registrér det som en midlertidig ændring.
- At afvise små fund som ligegyldige. De kan være lette at rette og vigtige i sammenhæng.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke fund i opsætningen testeren kunne se og påvise fra sit udgangspunkt, på de servere, der var omfattet. Den kan ikke garantere, at andre servere med samme opsætning er i orden, eller at opsætningen forbliver stram efter næste ændring. Fravær af driftsfund betyder heller ikke, at løsningens kode er uden svagheder.
Kilder
- OWASP WSTG: Configuration and Deployment Management Testing: OWASP’s kategori for test af konfiguration og udrulning, adskilt fra test af løsningens logik.
- OWASP Top 10: forkert sikkerhedsopsætning er kategori A02 i 2025-udgaven.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Forældede komponenter og biblioteker · Serverhærdning
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
