Fjernadgang og VPN i penetrationstesten: hvad kan testen vise?

Fjernadgangen er den løsning, der lader medarbejdere og leverandører komme ind i virksomhedens net udefra. Hvad en test af den kan vise, afhænger af to valg i bestillingen: om testen kun skal se på adgangen, som den møder en fremmed på internettet, og om den også skal undersøge, hvad en bruger kan nå, når forbindelsen er etableret.

De to spørgsmål kan begge have betydning, men svarene er forskellige. Det første handler om døren. Det andet handler om, hvad der ligger bag den. En bestilling, der kun nævner VPN, siger ikke, hvilket af de to spørgsmål virksomheden ønsker besvaret.

Døren har to sider

Fjernadgang er en af de løsninger, hvor grænsen mellem ekstern og intern test bliver tydelig. Udefra er adgangen en tjeneste på internettet, som alle kan finde. Indefra er den en forbindelse, der placerer brugeren et sted i virksomhedens net, med de rettigheder, den placering giver.

Skriv derfor i bestillingen, hvilken side testen skal se på, eller om begge sider skal med. Hvis begge skal med, bør rapporten holde resultaterne adskilt, så en læser kan se, hvad der krævede en gyldig bruger, og hvad der ikke gjorde. Hvornår en ny løsning i sig selv er en anledning til test, er beskrevet i → Ny fjernadgang eller VPN-løsning.

Hvilke løsninger tæller som fjernadgang?

Ordet VPN dækker sjældent det hele. Lav en oversigt over alle de veje, der fører ind i virksomhedens net eller systemer udefra.

Medarbejdernes VPN · den løsning, som bærbare bruger hjemmefra eller på rejse.
Webbaserede adgange · portaler, hvor medarbejdere logger ind for at nå interne programmer.
Fjernskrivebord · adgange, hvor brugeren arbejder på en maskine i virksomheden.
Leverandøradgange · forbindelser, som driftsleverandøren eller en systemleverandør bruger.
Forbindelser mellem kontorer · faste forbindelser mellem afdelinger eller lokationer.

Leverandørernes adgange er ofte de mindst kendte, fordi de er oprettet af leverandøren selv. De har deres eget emne. → Leverandørers fjernadgang til jeres systemer

Spørgsmålene før login

Set udefra er fjernadgangen en tjeneste, som testen kan undersøge uden brugerkonto. Køberens spørgsmål kan være, om tjenesten afslører mere, end den bør, om den er opdateret, og om loginsiden kan modstå forsøg på at komme ind uden gyldige oplysninger.

Her er login og tofaktor centrale. Hvis adgangen kræver tofaktor for nogle brugere, men ikke for andre, er det vigtigt for testens spørgsmål. Beskriv, hvilke brugergrupper der logger ind hvordan. Login som testområde og tofaktor er behandlet hver for sig i → Login og adgangskoder og → Tofaktorlogin i testen.

En test før login kan ikke sige noget om, hvad brugere kan nå bagefter. Det er et andet spørgsmål.

Spørgsmålene efter login

Når en bruger er logget ind, placeres forbindelsen i virksomhedens net. Spørgsmålet er nu, om placeringen passer til brugerens opgaver. Kan en medarbejder fra salg nå økonomiafdelingens systemer? Kan en leverandør, der kun skal vedligeholde ERP-systemet, også se kontornettets maskiner?

For at undersøge det skal testeren have en eller flere testbrugere med de roller, virksomheden vil have vurderet. Vælg rollerne bevidst. En test med en administrators forbindelse siger noget andet end en test med en almindelig medarbejders. Hvis spørgsmålet handler om, hvorvidt nettene er adskilt, hører det også under → Netværkssegmentering.

Tænk også over, hvad en bruger kan gøre, ikke kun hvad brugeren kan se. En forbindelse, der kun giver adgang til ét program, er en anden situation end en, der placerer brugeren på kontornettet med samme muligheder som ved skrivebordet. Virksomhedens egen beskrivelse af, hvad hver brugergruppe skal kunne, er det, testens resultat sammenholdes med. Uden den beskrivelse kan testeren påvise, hvad der er muligt, men ikke vurdere, om det er tilsigtet.

Hvem bruger adgangen, og hvorfra?

Fjernadgang bruges af mennesker på mange slags udstyr. Bestillingen bør beskrive, hvem der har adgang, og fra hvilke enheder. Er det kun virksomhedens egne bærbare, eller kan medarbejdere også forbinde fra private maskiner? Skal leverandører bruge deres eget udstyr?

Svaret påvirker testens spørgsmål. Hvis adgang kun gives fra virksomhedens administrerede maskiner, kan det være relevant at spørge, om den regel faktisk håndhæves. Hvis private enheder er tilladt, er det en forudsætning, rapporten skal kende. Hjemmearbejdets betydning for testen er beskrevet i → Hjemmearbejde og egne enheder.

Drift og leverandør under testen

Fjernadgangen er ofte en løsning, som mange afhænger af hele dagen. En test kan i sjældne tilfælde påvirke den, eksempelvis hvis kontoer låses efter for mange forsøg. Aftal derfor testvindue, kontaktperson og hvad der skal ske, hvis en testbruger eller en rigtig bruger bliver låst ude.

Hvis driftsleverandøren eller en anden part driver løsningen, skal den være orienteret og have godkendt testen. Det gælder også, hvis løsningen er en tjeneste i cloud, hvor udbyderen har egne vilkår. Overvågningen kan opfatte testen som et angreb. Om den skal have besked, er et valg, der påvirker, hvad resultatet kan bruges til.

Bed om, at rapporten beskriver, hvilken løsning og hvilken udgave der blev undersøgt, og hvilke testbrugere der blev brugt. Fjernadgang skiftes eller opdateres jævnligt, og en senere læser skal kunne se, om resultatet stadig gælder den løsning, virksomheden bruger i dag.

Det skal I lade være med

At skrive VPN og intet mere. Beskriv, om testen gælder adgangen udefra, forbindelsen indefra eller begge.
At glemme leverandøradgangene. De er en del af fjernadgangen, selv om andre har oprettet dem.
At teste med en administrator alene. Vælg de brugerroller, I faktisk vil have vurderet.
At overse, hvem der logger ind fra hvilke enheder. Det er en forudsætning for at forstå resultatet.
At teste uden at have aftalt låste konti. Medarbejdere skal kunne arbejde, mens testen kører.

Hvad kan og ikke kan konkluderes

En test af fjernadgangen kan vise, hvordan adgangen fremstod udefra på testtidspunktet, og hvad de udleverede testbrugere kunne nå efter login. Den kan ikke vise, hvad andre brugere med andre rettigheder kunne nå, hvis de ikke indgik.

Den kan heller ikke alene sige, om en rigtig medarbejders bærbare er godt beskyttet. Det er et spørgsmål om klienten, ikke om adgangen. Hvis begge dele har betydning, skal de bestilles hver for sig. Et resultat uden fund ved fjernadgangen betyder heller ikke, at adgangen kan stå uændret i årevis. Nye brugere, nye leverandører og nye opdateringer ændrer forudsætningerne løbende.