Angrebsflade: det, I viser frem, bestemmer testen

Det er langtfra givet, at en virksomhed ved præcist, hvilke systemer den har stående ude på internettet eller åbent for leverandører. Det er et problem for en penetrationstest, fordi testen kun kan undersøge det, der er med i aftalen, og aftalen kan kun omfatte det, I kender.

Angrebsfladen er summen af de steder, hvor nogen kan forsøge at få adgang til jeres systemer eller data: tjenester på internettet, fjernadgange, konti, integrationer og forbindelser til leverandører. Jo bedre I kender den, jo mere præcist kan I vælge, hvad testen skal dække, og jo mindre risikerer I, at det vigtigste står uden for scope.

Det, angrebsfladen består af

Angrebsfladen er ikke kun hjemmesiden. Den rummer alt, der kan nås og bruges til at komme videre:

Webløsninger · webshoppen, kundeportalen, hjemmesiden og eventuelle undersider til kampagner.
Fjernadgang · forbindelser, medarbejdere og leverandører bruger til at arbejde hjemmefra eller servicere systemer.
Mail og samarbejdsværktøjer · tjenester, som alle medarbejdere har konti i.
Integrationer · forbindelser mellem ERP-systemet, webshoppen og eksterne tjenester.
Cloudtjenester · lagring, servere og programmer, som virksomheden har abonnement på.
Leverandøradgange · driftsleverandørens og hostingfirmaets veje ind i jeres miljø.
Mennesker · medarbejdere, der kan modtage beskeder og blive bedt om at handle.

Hvert punkt er en mulig indgang. Ikke alle skal testes på én gang, men alle bør kendes.

Ydre og indre flade

Det er nyttigt at skelne mellem det, der kan nås udefra, og det, der kan nås, når nogen først er inde. Den ydre flade er alt det, der er synligt fra internettet. Den indre flade er det, en bruger eller en maskine på kontornettet kan nå: filservere, printere, administrative systemer og ERP-systemet.

En ekstern test undersøger typisk den ydre flade, mens en intern test tager udgangspunkt indefra. Begge er relevante, men de besvarer forskellige spørgsmål. → Ekstern eller intern penetrationstest

Grænsen er ikke altid skarp. En cloudtjeneste kan være tilgængelig fra internettet, men kræve login, og en fjernadgang kan føre direkte ind på kontornettet. Beskriv derfor hver indgang med, hvem der kan nå den, og hvad den giver adgang til.

Det glemte tæller også

Angrebsfladen omfatter også det, ingen tænker på. En gammel kampagneside, som stadig kører hos hostingfirmaet. Et testmiljø, som en leverandør satte op og aldrig lukkede. En konto til en tidligere medarbejder. En fjernadgang, som en tidligere driftsleverandør brugte.

Sådanne systemer er særligt uheldige, fordi de let bliver glemt i opdateringerne og ikke indgår i nogens ansvar. De kommer ikke med i et scope, der bygger på den officielle systemliste, og en test kan derfor ikke sige noget om dem. → Glemte testmiljøer

Sådan får I overblikket

Start med det, I selv har adgang til. Gennemgå de domæner, virksomheden har registreret, abonnementer på cloudtjenester, aftaler med hostingfirmaet og driftsleverandøren og listen over fjernadgange. Spørg leverandørerne, hvilke systemer de driver for jer, og hvilke adgange de har.

Inddrag også økonomiafdelingen. Fakturaer for tjenester, licenser og domæner kan vise systemer, som IT-afdelingen ikke har på sin liste. Det gælder især løsninger, som en afdeling selv har købt.

Saml oplysningerne i en enkel oversigt med system, adresse, ejer, leverandør og formål. Den behøver ikke være perfekt for at være nyttig, og den bliver bedre, hver gang den bruges. Hvordan adresser og domæner bruges i bestillingen, er forklaret i → IP-adresser og domæner

En tester kan som en del af opgaven hjælpe med at kortlægge den ydre flade ud fra offentligt tilgængelige oplysninger. Det kan afsløre systemer, I ikke kendte. Aftal i så fald, hvad der sker, hvis testeren finder noget, som ikke står på listen. Det må ikke testes uden en ny godkendelse.

Fra overblik til scope

Overblikket er ikke selve scope. Det er grundlaget for at vælge. Når I kan se hele fladen, kan I vurdere, hvilke dele der er vigtigst at få undersøgt nu, og hvilke der kan vente eller håndteres på anden måde. → Scope i en penetrationstest

Vær opmærksom på, at et for snævert valg kan give en rapport, der ser god ud, men kun dækker en lille del af det, en angriber kan nå. Hvis kundeportalen testes grundigt, mens fjernadgangen til kontornettet står uden for, bør begrænsningen være tydelig for ledelsen. → For snævert scope

Hvis I kun får testet de systemer, der er offentligt synlige, er det også et valg med en grænse, som rapporten skal vise.

Gør fladen mindre før testen

Det billigste system at beskytte er det, der ikke længere findes. Når overblikket er lavet, så luk de gamle sider, testmiljøer og adgange, som ingen bruger. Det reducerer angrebsfladen og gør testen mere fokuseret på det, der faktisk er i drift.

Lav dog ikke store ændringer lige før testen uden at fortælle testeren det. En nedlukning midt i testperioden kan gøre resultaterne svære at tolke. Aftal en dato, hvor oprydningen er færdig, og brug den tilstand som grundlag for scope.

Hold derefter oversigten levende. Angrebsfladen ændrer sig, hver gang der åbnes en ny webshop, skiftes hostingfirma, tilføjes en integration til ERP-systemet eller gives en ny leverandør adgang. Gør det til en fast del af sådanne projekter at opdatere oversigten og vurdere, om ændringen kræver en ny test. Så er grundlaget klar, næste gang en test skal bestilles, og I undgår at starte forfra med at finde ud af, hvad virksomheden egentlig har.

Det skal I lade være med

At tro, at hjemmesiden er hele fladen · fjernadgange, cloud og leverandører hører med.
At bygge scope på en gammel systemliste · det glemte er netop det, der ikke står der.
At lade testeren teste fund uden for listen · nye systemer kræver ny godkendelse.
At glemme leverandørernes adgange · de er en del af jeres flade, selv om andre driver dem.
At rydde op midt i testen · ændringer skal ske før start eller aftales.

Hvad kan og ikke kan konkluderes

Et godt overblik over angrebsfladen kan gøre det tydeligt, hvad testen dækker, og hvad den ikke dækker. Det giver ledelsen et reelt billede af, hvor stor en del af virksomhedens indgange der er undersøgt.

Overblikket kan ikke i sig selv sige, om systemerne er sikre. Og en test, der kun dækker en del af fladen, kan ikke bruges som konklusion om resten.