I mange virksomheder er Active Directory det sted, hvor brugere, computere og rettigheder styres. Når det skal med i en penetrationstest, er køberens opgave ikke at forstå teknikken, men at beslutte, hvilket spørgsmål testen skal besvare, hvilket udgangspunkt den skal have, og hvordan driften beskyttes undervejs.
Kort fortalt kommer AD som regel med i en intern test, fordi det binder kontornettet sammen. Spørgsmålet er typisk, hvor langt en almindelig brugerkonto kan nå, og om de mest betroede konti og systemer er adskilt fra resten. Den tekniske uddybning findes på penetration-test.dk, som er skrevet til IT-afdelinger og driftsleverandører.
Hvorfor AD fylder i en intern test
Active Directory er Microsofts katalogtjeneste. Den holder styr på, hvem der er medarbejder, hvilke grupper de er med i, og hvad de har adgang til. Når en medarbejder logger på sin computer, åbner en fil på fildelingen eller bruger ERP-systemet, er det ofte AD, der afgør, om det er tilladt.
Det gør AD til et centralt punkt. Får en uvedkommende kontrol over de konti, der administrerer AD, kan vedkommende i praksis styre store dele af virksomhedens IT. AD er desuden ofte vokset over mange år. Medarbejdere er kommet og gået, grupper er oprettet til projekter, og konti er lavet til systemer, som ikke længere findes. Ingen har nødvendigvis det fulde overblik, og derfor kan en test finde veje, som ingen havde forestillet sig. Spørgsmålet om rettigheder fylder af samme grund meget, når en intern test planlægges. → Ekstern eller intern penetrationstest
Mange virksomheder har også koblet AD sammen med Microsofts cloudtjeneste til identiteter, så de samme konti bruges i Microsoft 365. Et forhold i det lokale AD kan dermed få betydning i skyen og omvendt. Den afgrænsning hører med i samtalen om scope. → Microsoft 365 og testen
Spørgsmålene, køberen kan stille
Køberen behøver ikke kende fagudtrykkene for at formulere en brugbar bestilling. Spørgsmålene kan stilles i almindeligt sprog:
- Hvor langt kan en almindelig medarbejders konto nå?
- Er de konti, der administrerer AD, adskilt fra det daglige arbejde?
- Har servicekonti og gamle konti flere rettigheder end nødvendigt?
- Kan en computer på kontornettet bruges til at nå servernettet eller backup?
Spørgsmålene peger mod en test, der går ud fra, at en konto eller computer allerede er kompromitteret, og som undersøger, hvad der kan ske derfra. → Assume breach
Udgangspunktet skal aftales
En AD-test kræver en placering på det interne net og typisk en almindelig brugerkonto. Aftal, hvilken slags konto testeren får: en ny konto uden særlige rettigheder eller en konto, der ligner en bestemt medarbejdergruppe. Valget påvirker, hvad resultatet siger, og bør stå i rapporten.
Aftal også, om testeren må forsøge at udvide sine rettigheder, hvis der viser sig en vej. Det er ofte netop det, testen skal vise. Men en udvidet adgang til AD er en følsom situation. Det skal stå klart, hvad testeren må gøre med adgangen, og hvornår der skal stoppes og gives besked. → Rules of engagement
Oprydning lige før testen?
Det kan være fristende at rydde op i AD, inden testen begynder. Gamle konti fjernes, og grupper strammes. Det er godt arbejde, men det ændrer, hvad testen måler. Undersøger testen en opsætning, der netop er ryddet, siger resultatet noget om den nye tilstand og ikke om den, der har været i drift længe.
Der kan være gode grunde til begge veje. Afgørende er, at valget træffes bevidst, og at rapporten nævner det, hvis der er ryddet op umiddelbart før. Er oprydningen omfattende, kan det give mening at lade testen vente, til ændringerne har sat sig.
Driften skal beskyttes
AD er så centralt, at forstyrrelser kan mærkes af alle medarbejdere. Konti, der bliver låst, ændringer, der spreder sig, eller belastning af de servere, der styrer AD, kan stoppe arbejdet. Testen skal derfor planlægges med driften for øje. Aftal et tidsrum, så driften ved, hvornår uventede hændelser kan skyldes testen.
- Kontaktperson · en person hos jer eller driftsleverandøren, der kan nås under hele testen.
- Ændringer · en klar aftale om, at testen ikke ændrer indstillinger uden accept.
- Låste konti · en plan for, hvad der sker, hvis rigtige brugere bliver låst ude.
- Overvågning · en beslutning om, hvorvidt overvågningen skal kende til testen.
Er driften lagt ud til en leverandør, skal leverandøren med i planlægningen. Leverandøren kender opsætningen og kan reagere, hvis noget opfører sig uventet. → Driftsleverandøren og testen
Rapporten skal kunne bruges af flere
Fund i AD rammer ofte flere systemer på én gang. Rapporten bør forklare, hvilken vej testen fandt, og hvilke konti eller grupper der var involveret, så både IT-afdelingen og ledelsen kan forstå betydningen. Et resumé, der kun siger, at testeren fik fuld adgang, er ikke nok at prioritere ud fra.
Bed om, at fundene knyttes til konkrete rettelser, og at det fremgår, hvilke rettelser der hænger sammen. En enkelt for bred gruppe kan være årsagen til flere fund, og en enkelt rettelse kan løse dem alle.
Overvej også, hvem der skal se rapporten. En detaljeret beskrivelse af veje gennem AD er følsom, så længe fundene ikke er rettet. Aftal, hvordan rapporten sendes og opbevares. → Opbevaring og sletning af rapport og testdata → Sådan læser I en pentestrapport
Det skal I lade være med
- At udelade AD fra en intern test uden begrundelse · det binder ofte resten af nettet sammen.
- At give testeren en administratorkonto fra start · så kan testen ikke vise, hvor langt en almindelig konto når.
- At glemme koblingen til skyen · fælles konti kan føre et fund videre til Microsoft 365.
- At undlade en kontaktperson under testen · forstyrrelser i AD rammer alle medarbejdere.
- At læse en lang liste uden sammenhæng · bed om, at fund, der hænger sammen, bliver samlet.
Hvad kan og ikke kan konkluderes
En test kan vise, hvor langt de udleverede konti og placeringer nåede i AD på testtidspunktet, og hvilke rettigheder der gjorde det muligt. Den kan ikke sige, at alle veje er fundet, og den dækker ikke ændringer i grupper og rettigheder bagefter. AD ændrer sig, hver gang en medarbejder starter, skifter job eller stopper.
Et resultat, hvor testeren ikke kom videre, er mest værd, når rapporten viser, hvilke udgangspunkter og konti der blev brugt.
Tjekliste før AD kommer med i testen
- ☐ Er spørgsmålet til AD formuleret i almindeligt sprog?
- ☐ Er udgangspunktet og testkontoens rettigheder aftalt?
- ☐ Er det aftalt, hvad testeren må gøre med en udvidet adgang?
- ☐ Er der en kontaktperson under hele testen?
- ☐ Er driftsleverandøren med i planlægningen?
- ☐ Er koblingen til skyen og Microsoft 365 afklaret?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Microsoft 365 og testen · Netværkssegmentering
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
