En firewall bestemmer, hvilken trafik der må passere, men den afgør ikke, om det, der får lov at passere, er sikkert. Hvorvidt virksomheden er dækket, hviler derfor på de systemer, firewallen bevidst lukker trafik ind til, på hvordan reglerne er sat op og vedligeholdt, og på hvad der sker indenfor.
Svaret på påstanden er, at en firewall er en nødvendig del af forsvaret, men ikke hele forsvaret. Den er en dør med en liste over, hvem der må komme ind. Den siger intet om, hvad de gæster, der står på listen, kan gøre, når de først er inde.
Hvad en firewall gør
En firewall sammenligner trafik med et sæt regler og lader den passere eller afviser den. Reglerne bestemmer, hvilke tjenester der kan nås fra internettet, og hvilke dele af nettet der må tale sammen. Det er en vigtig funktion, fordi den holder alt det ude, der ikke har et formål.
Firewallen arbejder ud fra de regler, den har fået. Den kender ikke virksomhedens hensigt, og den vurderer ikke, om en tjeneste, der må nås, har en svaghed. Hvis reglen siger, at webshoppen må nås fra hele verden, så lukker firewallen alle ind til webshoppen. Det er netop meningen.
Nogle firewalls kan mere end at filtrere efter regler og kan også genkende bestemte former for uønsket trafik. Det kan være en nyttig ekstra kontrol. Men det ændrer ikke princippet: firewallen kan kun reagere på det, den er indstillet til at genkende, og den kan ikke afgøre, om en funktion i kundeportalen giver for bred adgang.
Det, der skal være åbent
En virksomhed kan ikke lukke alt. Webshoppen skal kunne nås af kunderne. Kundeportalen skal kunne bruges hjemmefra. Medarbejdere skal kunne logge ind på fjernadgangen, og mailen skal kunne modtage beskeder udefra.
Alle disse tjenester er åbne med vilje, og firewallen lader trafikken til dem passere. Om de er sikre, afhænger af tjenesterne selv: af login, adgangskontrol, opdateringer og den måde, de er bygget på. En svaghed i kundeportalens adskillelse mellem kunder bliver ikke stoppet af en firewall, fordi trafikken ser ud som almindelig brug. → Angrebsflade
Det samme gælder login. Hvis en medarbejders adgangskode er kommet i forkerte hænder, kan den bruges gennem fjernadgangen, og firewallen ser en almindelig, godkendt forbindelse. → Fjernadgang og VPN i penetrationstesten · → Login og adgangskoder
Reglerne er kun så gode som vedligeholdelsen
En firewall bliver sat op med en bestemt hensigt. Over tid ændrer behovene sig. Der bliver åbnet for en leverandør, der skulle hjælpe med en opgave, for et testmiljø, der skulle vises frem, eller for en ny tjeneste, der skulle prøves af. Hvis ingen lukker åbningerne igen, bliver reglerne en historik over gamle behov.
Det betyder ikke, at firewallen er dårlig. Det betyder, at den skal vedligeholdes ligesom alt andet. Spørgsmålet om, hvorvidt reglerne stadig svarer til hensigten, kan besvares ved en teknisk gennemgang af opsætningen. En penetrationstest kan vise, hvad der faktisk kan nås udefra, og om det stemmer med det, virksomheden tror. → Penetrationstest eller teknisk gennemgang af opsætningen?
Spørg også, hvem der administrerer firewallen. Ligger den hos driftsleverandøren eller hostingfirmaet, skal virksomheden vide, hvordan ændringer bliver godkendt og dokumenteret, og hvem der ser på reglerne med jævne mellemrum.
Indenfor firewallen
En firewall i kanten af nettet beskytter mod trafik udefra. Den gør ikke meget ved det, der sker, når nogen allerede er indenfor. En bærbar computer, der er blevet inficeret uden for kontoret, en leverandør med fjernadgang eller en medarbejderkonto, der bliver misbrugt, starter alle på den anden side af muren. Det samme gælder printere, kameraer og andet udstyr, der er koblet på nettet og også skal tænkes med, når firewallens regler bliver lavet.
Her bliver spørgsmålet, hvordan nettet er delt op. Kan en pc på kontornettet nå ERP-systemets servere direkte? Er gæstenettet adskilt fra resten? Er administrative systemer skilt ud? Interne firewalls og opdeling af nettet kan begrænse, hvor langt en uønsket adgang kan nå, men kun hvis de er sat op med det formål. → Netværkssegmentering
En test, der tager udgangspunkt indenfor, kan belyse, hvad en almindelig bruger eller enhed kan nå. Den slags test er beskrevet i → Assume breach.
Hvad en penetrationstest kan sige om firewallen
En penetrationstest tester ikke firewallen som produkt. Den undersøger, hvad der kan nås og udnyttes inden for de rammer, firewallen sætter. Resultatet kan vise, om der er tjenester tilgængelige, som virksomheden ikke vidste var åbne, om de åbne tjenester har svagheder, og om adskillelsen mellem dele af nettet holder som tilsigtet.
Det giver et svar på det spørgsmål, påstanden egentlig handler om: er vi dækket? Bestil derfor testen ud fra systemerne og ikke ud fra firewallen. Et spørgsmål som hvad kan en fremmed nå i webshoppen og fjernadgangen udefra giver en brugbar opgave. Et ønske om at få firewallen testet giver det ikke, fordi det ikke siger, hvilke systemer og hvilken adgang konklusionen skal handle om.
Svaret kommer ikke fra firewallens eksistens, men fra en undersøgelse af det, der ligger bag og ved siden af den.
Det skal I lade være med
- At sætte lighedstegn mellem firewall og sikkerhed · firewallen er én kontrol blandt flere.
- At glemme de tjenester, der er åbne med vilje · webshop, portal, fjernadgang og mail skal vurderes for sig.
- At lade gamle åbninger stå · midlertidige regler skal lukkes, når behovet er væk.
- At overse det, der sker indenfor · en uønsket adgang kan begynde bag firewallen.
- At antage, at leverandøren holder reglerne opdateret · aftal, hvem der gennemgår dem, og hvornår.
- At bestille en test af firewallen i stedet for et spørgsmål · formulér, hvad I vil vide om systemerne bag den.
Hvad kan og ikke kan konkluderes
At en virksomhed har en firewall, siger, at der er en kontrol af trafik i kanten af nettet. Det siger ikke, om reglerne passer til hensigten, om de åbne tjenester er sikre, eller om nettet indenfor er delt op.
En penetrationstest kan belyse disse forhold for de systemer og udgangspunkter, der indgår. Den kan ikke sige noget om dele af nettet eller tjenester, der lå uden for opgaven. Og et resultat om webshoppen siger intet om fjernadgangen, medmindre den også var med.
Tjekliste til spørgsmålet om firewallen
- ☐ Ved I, hvilke tjenester der er åbne fra internettet, og hvorfor?
- ☐ Er de åbne tjenester selv vurderet, ikke kun firewallen foran dem?
- ☐ Er det aftalt, hvem der administrerer og gennemgår reglerne?
- ☐ Bliver midlertidige åbninger lukket, når behovet er væk?
- ☐ Er nettet indenfor delt op, så kritiske systemer er skilt ud?
- ☐ Er det overvejet, om en test indefra skal indgå?
- ☐ Er spørgsmålet til testen formuleret om systemerne og ikke om produktet?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Angrebsflade · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
