Et gæstenet skal give besøgende adgang til internettet uden at give adgang til virksomhedens egne systemer. Om det lykkes, afhænger ikke af nettets navn, men af de regler, der faktisk gælder mellem gæstenettet og resten, og af hvad der i praksis er havnet på gæstenettet.
En penetrationstest kan afprøve adskillelsen fra en gæsts plads. Den er mest brugbar, når virksomheden først har beskrevet, hvem gæstenettet er til, hvad det må give adgang til, og hvilke enheder der står på det.
Hvem bruger gæstenettet i virkeligheden?
Gæstenettet bliver ofte oprettet til besøgende til møder. Med tiden kommer andre brugere til: medarbejdernes egne telefoner, håndværkere, leverandører på længere opgaver, en kantineoperatør og måske udstyr, som ingen vidste, hvor de ellers skulle sætte. Hver ny brugergruppe ændrer, hvad nettet skal kunne, og hvad der står på spil. Gæstenettet kan dermed ende som det net, der har flest forskellige brugere og færrest regler. Det er i sig selv en grund til at vide præcist, hvad det giver adgang til.
Skriv derfor ned, hvem der faktisk bruger nettet. En oversigt kan se sådan ud:
- Mødegæster · har brug for internet i nogle timer.
- Medarbejdernes egne enheder · telefoner og tablets, som virksomheden ikke ejer.
- Leverandører og håndværkere · har brug for internet i dage eller uger.
- Udstyr · skærme, højttalere eller andre enheder, der er sat på gæstenettet for nemheds skyld.
Det sidste punkt er det mest problematiske. Står udstyr, der også kan nås fra kontornettet, på gæstenettet, er der en bro mellem de to. → Printere, kameraer og IoT på netværket
Hvad adskilt skal betyde
Ordet adskilt dækker flere krav. Gør dem tydelige, før testen bestilles:
- En gæst kan ikke nå kontornettet, servernettet eller udstyrsnettet.
- En gæst kan ikke nå de enheder, der styrer det trådløse net.
- Gæster kan ikke nå hinandens enheder.
- De kablede stik i mødelokalerne følger samme regler som det trådløse gæstenet.
Hvert krav kan afprøves for sig og få sit eget svar i rapporten. Det tredje krav bliver ofte overset, men det betyder noget, når gæster og medarbejdernes egne enheder deler net. Det fjerde dækker en indgang, som mange glemmer, fordi gæstenettet opfattes som noget trådløst.
Gæstenettets adskillelse er en del af den samlede opdeling af netværket. → Netværkssegmentering
Medarbejdernettet er et andet spørgsmål
Mange virksomheder har både et trådløst medarbejdernet og et gæstenet. Medarbejdernettet giver typisk adgang til interne systemer og skal derfor kræve mere for at komme på. Spørgsmålet om medarbejdernettet er, hvem der kan komme på det, og hvad det kræver. Spørgsmålet om gæstenettet er, hvad man kan nå, når man først er der.
Hold de to spørgsmål adskilt i bestillingen. Bruger det trådløse medarbejdernet en fælles adgangskode, som også er givet til leverandører, er grænsen mellem nettene mindre skarp, end den ser ud. Det er en oplysning, testeren skal have, og som virksomheden kan handle på uden en test. Medarbejdernettets egen sikkerhed kan godt indgå i samme opgave, men den bør have sine egne spørgsmål og sit eget afsnit i rapporten. Hvordan trådløse net placeres blandt testtyperne, er beskrevet i → Typer af penetrationstest.
Adgangen til gæstenettet
Måden, gæster kommer på nettet, påvirker, hvad testen skal se på. Nogle virksomheder har et åbent net uden kode, andre en fælles kode på et skilt i receptionen, og andre igen en personlig adgang, der udløber. Ingen af løsningerne er forkert i sig selv, men de giver forskellige forudsætninger. Personlige adgange, der udløber, giver mere kontrol, men kræver også, at nogen administrerer dem.
Et åbent net betyder, at alle inden for rækkevidde er gæster, også dem på parkeringspladsen. En fælles kode, der aldrig skiftes, betyder, at tidligere gæster og ansatte stadig kan komme på. Det er forhold, testeren skal kende for at kunne læse resultatet rigtigt, og som rapporten bør nævne.
Testen foregår på stedet
En test af gæstenettet kræver, at testeren er på gæstenettet, og det betyder som regel at være fysisk til stede. Aftal, hvor testeren må opholde sig, og hvem der tager imod. Skal testen omfatte flere lokationer, skal hver lokation nævnes, fordi gæstenettet kan være sat op forskelligt fra sted til sted.
Deler virksomheden bygning med andre, skal det være klart, hvilke net der er jeres. Et net, som udlejeren eller en nabo driver, må ikke indgå uden deres tilladelse. Driver driftsleverandøren det trådløse net, skal leverandøren kende tidspunktet. → Driftsleverandøren og testen
NIST SP 800-115 omtaler undersøgelse af trådløse net som en selvstændig teknik i en teknisk sikkerhedsvurdering. For køberen betyder det, at gæstenettet fortjener sin egen linje i scope. Skiftes hele det trådløse net, er det en anledning for sig. → Nyt trådløst net på kontoret
Gæstenettet i rapporten
Bed om, at rapporten svarer på kravene til adskillelse ét for ét. For hvert krav bør det fremgå, hvilken lokation og hvilket net testen gjaldt, og om kravet holdt. Holdt et krav ikke, skal rapporten beskrive, hvad der kunne nås, så driftsleverandøren kan rette den rigtige regel. Et fund om gæstenettet er ofte overskueligt at rette, når det først er beskrevet præcist.
Bed også om, at forhold, testeren bemærker uden for opgaven, nævnes for sig. Det kan fx være et ukendt trådløst net i bygningen, som en medarbejder eller en leverandør har sat op uden at sige det.
Det skal I lade være med
- At sætte udstyr på gæstenettet for nemheds skyld · det kan skabe en bro til kontornettet.
- At give leverandører medarbejdernettets kode · så forsvinder forskellen mellem nettene.
- At glemme de kablede stik i mødelokaler · de bør følge samme regler som det trådløse gæstenet.
- At teste ét sted og konkludere for alle · gæstenettet kan være sat op forskelligt på hver lokation.
- At inddrage naboens eller udlejerens net · det kræver deres tilladelse.
Hvad kan og ikke kan konkluderes
En test kan vise, om de krav til adskillelse, der blev afprøvet, holdt fra gæstenettet på de lokationer og den dag, testen fandt sted. Enheder, der kommer på nettet senere, og lokationer uden for opgaven er ikke omfattet. Rapporten bør angive lokationer, net og dato, så resultatet kan holdes op mod senere ændringer.
Et resultat, hvor adskillelsen holdt, kan bruges som grundlag for fortsat at tilbyde gæstenettet. Det fritager ikke virksomheden for at holde øje med, hvad der bliver koblet på.
Tjekliste til gæstenettet
- ☐ Er det beskrevet, hvem der bruger gæstenettet?
- ☐ Er kravene til adskillelse skrevet ned ét for ét?
- ☐ Er udstyr på gæstenettet kendt og vurderet?
- ☐ Er medarbejdernettet og gæstenettet beskrevet hver for sig?
- ☐ Er det oplyst, hvordan gæster får adgang?
- ☐ Er lokationer, udlejer og naboer afklaret?
- ☐ Kender driftsleverandøren tidspunktet?
Kilder
- NIST SP 800-115: undersøgelse af trådløse net som en del af en teknisk sikkerhedsvurdering.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Et nyt kontor kobles på netværket
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
