Et testmiljø, som ingen længere bruger, kan stadig være tilgængeligt fra internettet. Det er sjældent nogens bevidste valg, men en rest af et projekt, en leverandørs demo eller en gammel kopi af webshoppen, der aldrig blev lukket. Hvad en penetrationstest kan gøre ved det, afhænger af, om I kender miljøerne, før testen bestilles, og om de står i scope.
Spørgsmålet er altså ikke kun teknisk. Det handler om overblik og ejerskab: hvem oprettede miljøet, hvem betaler for det, og hvem skal beslutte, om det skal lukkes eller beskyttes.
Hvorfor miljøerne bliver glemt
Testmiljøer oprettes ofte i en travl fase. En udvikler eller et bureau skal vise en ny udgave af kundeportalen, og det er hurtigere at lægge den på en adresse, alle kan nå, end at sætte adgangsbegrænsning op. Når projektet er færdigt, flyttes opmærksomheden til driften, og kopien bliver stående.
Andre gange ligger miljøet hos hostingfirmaet eller en softwareleverandør, som ikke har fået besked om, at det ikke skal bruges mere. Det kan også være en kopi af ERP-systemets webdel, som blev oprettet til en opgradering, og som stadig indeholder rigtige oplysninger fra den dag, kopien blev taget.
Fælles for situationerne er, at ingen har set miljøet som en del af den daglige sikkerhed. Det får derfor sjældent de samme opdateringer, den samme overvågning eller de samme adgangsregler som produktionen.
Hvad et glemt miljø kan betyde
Et glemt miljø er ikke nødvendigvis et problem. Hvis det ikke indeholder rigtige oplysninger og ikke har forbindelse til andre systemer, kan betydningen være lille. Men det kan også være en ældre udgave af en løsning med kendte svagheder, en kopi med kundedata eller et miljø med forbindelser til de systemer, der bruges i driften.
Det er den samme vurdering som for alle andre fund: hvilke oplysninger og funktioner er berørt, og hvem kan nå dem? Forskellen er, at et glemt miljø ofte mangler en ejer, som kan svare på spørgsmålene. → Sårbarhed, fund og risiko
Overblik begynder hos jer selv
Før en test bestilles, er det en god idé at samle det, I selv ved. Det kræver ikke tekniske færdigheder, men det kræver, at nogen spørger rundt.
- Domæner og underdomæner · hvilke adresser ejer virksomheden, og hvad peger de på?
- Leverandører og bureauer · hvem har lavet løsninger til jer, og har de oprettet test- eller demoudgaver?
- Hostingaftaler · hvilke servere og tjenester betaler I for, og bruges de alle?
- Tidligere projekter · hvilke opgraderinger og lanceringer har haft et eget miljø undervejs?
- Kopier med data · findes der udgaver med rigtige kunde- eller medarbejderoplysninger uden for produktionen?
Listen bliver sjældent fuldstændig i første forsøg. Den giver alligevel et grundlag for scope og for samtalen med testeren. → IP-adresser og domæner i bestillingen
Hvad testen kan bidrage med
En ekstern test kan omfatte en kortlægning af, hvad der er synligt fra internettet inden for de adresser og domæner, I har oplyst. Det kan afsløre miljøer, som ingen havde på listen. Om kortlægningen indgår, og hvor bred den skal være, skal fremgå af bestillingen, fordi det ikke er givet, at en test omfatter mere end de systemer, der er nævnt ved navn. → Angrebsflade
En kortlægning er et øjebliksbillede af det, der var synligt i testperioden. Den er nyttig som supplement til jeres egen liste, men den erstatter ikke, at virksomheden selv ved, hvilke løsninger den har bestilt og betaler for.
Testeren må kun undersøge det, I har ret til at give tilladelse til. Hvis et miljø viser sig at ligge hos en leverandør eller på en adresse, I ikke ejer, skal det afklares, før det undersøges nærmere. Aftal på forhånd, hvordan testeren skal håndtere et sådant miljø: notere det og stoppe, eller kontakte jer for en beslutning.
Når miljøet er fundet
Når et glemt miljø dukker op i rapporten, er den første beslutning ikke teknisk. Find en ejer. Det kan være projektlederen fra det oprindelige projekt, den leverandør, der oprettede miljøet, eller den IT-ansvarlige, der har aftalen med hostingfirmaet.
Derefter er der som regel tre muligheder: lukke miljøet, begrænse adgangen til det eller bringe det op på samme niveau som produktionen, hvis det stadig skal bruges. Lukning er ofte den enkleste løsning, men husk at slette data og stoppe betalingen, så miljøet ikke bare er skjult. → Prioritering af rettelser
Hvis miljøet indeholdt rigtige personoplysninger og har været tilgængeligt, kan det være nødvendigt at vurdere, om der er tale om et brud på persondatasikkerheden. Den vurdering hører hos virksomhedens databeskyttelsesansvarlige eller rådgiver. Teksten her er ikke juridisk rådgivning.
Forebyg det næste glemte miljø
Overblikket forsvinder igen, hvis ingen holder det ved lige. Skriv i aftaler med leverandører og bureauer, at test- og demomiljøer skal meldes til jer og lukkes ved projektets afslutning. Gør afviklingen til et punkt på projektets afslutningsliste, på linje med dokumentation og overdragelse.
Brug den liste, der blev lavet før testen, som udgangspunkt for en løbende oversigt. Når et nyt miljø oprettes, skal det have en ejer og en planlagt slutdato. → Penetrationstest i produktion eller testmiljø
Det skal I lade være med
- At gå ud fra, at testmiljøer er usynlige. En adresse uden link fra hjemmesiden kan stadig være tilgængelig.
- At bestille testen uden at oplyse alle domæner. Testeren kan kun kortlægge det, der er omfattet af tilladelsen.
- At lukke miljøet uden at slette data. Et skjult miljø med kundeoplysninger er stadig en kopi med kundeoplysninger.
- At lade leverandøren beholde miljøer uden aftale. Det skal fremgå, hvem der ejer og betaler for hvert miljø.
- At glemme miljøet efter rapporten. En lukket sag skal kunne dokumenteres, ikke kun meldes.
Hvad kan og ikke kan konkluderes
Testen kan vise, hvilke miljøer der var synlige inden for de oplyste adresser og domæner på testtidspunktet. Den kan ikke garantere, at der ikke findes andre miljøer på adresser, I ikke har oplyst, eller som oprettes efter testen. Et resultat uden glemte miljøer betyder, at kortlægningen inden for scope ikke fandt nogen, ikke at virksomheden ingen har.
Omvendt siger et fundet miljø ikke i sig selv noget om, hvor længe det har stået åbent, eller om andre har været inde i det. Det er spørgsmål, som testen normalt ikke besvarer. Hvis de bliver vigtige, fordi miljøet indeholdt rigtige oplysninger, kræver de en særskilt undersøgelse af logfiler og adgange, og den skal bestilles som sin egen opgave.
Tjekliste til overblik over miljøer
- ☐ Har I en liste over domæner og underdomæner?
- ☐ Har leverandører og bureauer oplyst deres test- og demomiljøer?
- ☐ Er hostingaftaler gennemgået for ubrugte tjenester?
- ☐ Er kopier med rigtige data identificeret?
- ☐ Har hvert miljø en ejer og en slutdato?
- ☐ Fremgår det af bestillingen, om testen omfatter kortlægning?
- ☐ Er det aftalt, hvad testeren gør ved miljøer uden for jeres ejerskab?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: IP-adresser og domæner i bestillingen · Oprydning efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
