Printere, kameraer og IoT på netværket: skal de med i testen?

Printere, overvågningskameraer, mødelokaleskærme og andre forbundne enheder er computere, selv om de sjældent bliver behandlet som det. Hvorvidt de hører hjemme i en penetrationstest, afgøres af, hvad de har adgang til, hvor de står på netværket, og om nogen overhovedet ved, at de er der.

Udstyret bør med i overvejelsen om scope, også når det ikke kommer med i selve testen. Første skridt er en liste over enhederne. Andet skridt er at beslutte, hvilke der skal undersøges, og hvilke spørgsmål testen skal svare på om dem.

Computere, der ikke ligner computere

En netværksprinter har sit eget styresystem, en webside til indstillinger og ofte et lager med kopier af det, der er printet eller scannet. Et kamera sender billeder over nettet og kan styres fra en app. En skærm i mødelokalet modtager indhold fra medarbejdernes computere. Fælles for dem er, at de er sat op for at virke, og at de sjældent får opdateringer i samme rytme som computere. Om nogen har ændret fabriksindstillingerne, er ofte uvist.

Enhederne kommer ofte ind ad andre veje end IT-afdelingen. Kameraerne er installeret af sikringsfirmaet, printerne leveret af en leasingpartner, og adgangskontrollen sat op af en elektriker. Ingen af dem tænker nødvendigvis på enhederne som en del af virksomhedens IT, og ingen af dem er nødvendigvis bedt om at holde dem opdateret. Adgangskontrol og styring af bygningen behandles særskilt. → Adgangskontrol og bygningsautomatik på netværket

Find enhederne først

En enhed, ingen kender, kan hverken beskyttes eller vurderes. Lav derfor en liste, før testen bestilles. Den kan bygge på driftsleverandørens oversigter, fakturaer, aftaler med leverandører og en tur gennem lokalerne. Spørg også i afdelingerne. Lageret, receptionen og produktionen kan have udstyr, som de selv har købt og koblet på, fordi det var det hurtigste.

Printere og multifunktionsmaskiner · også dem, der scanner til mail eller fælles mapper.
Kameraer og optagere · overvågning inde og ude.
Mødelokaleudstyr · skærme, højttalere og videoudstyr.
Styring af bygningen · lys, varme, ventilation og adgangskontrol.
Andet udstyr · fx vægte, lagerscannere eller sensorer i produktionen.

Opgaven med at finde ukendte enheder kan også være en del af testen. En intern test kan vise, hvad der faktisk svarer på netværket. Holdt op mod listen giver det et billede af, hvor meget der er ukendt. → Angrebsflade

Spørgsmål, testen kan besvare

For udstyret er spørgsmålene ofte enkle, og de kan formuleres uden teknik:

Står enhederne på et net for sig, eller deler de net med medarbejdernes computere?
Kan indstillingerne ændres af andre end dem, der skal kunne ændre dem?
Kan enhederne nås fra internettet, uden at det er meningen?
Gemmer enhederne oplysninger, som andre kan få fat i, fx scannede dokumenter eller optagelser?

Det første spørgsmål er ofte det vigtigste. Står printeren på samme net som ERP-systemet, kan en svaghed i printeren få betydning for meget mere end udskrifterne. Adskillelsen er behandlet i → Netværkssegmentering.

Det tredje spørgsmål hører til en ekstern vinkel. Kameraer og optagere, der kan styres fra en app, kan have en åbning mod internettet, som ingen har tænkt over. Den slags åbninger hører med i oversigten over det, virksomheden viser udadtil. → IP-adresser og domæner i opgaven

Det fjerde spørgsmål overses ofte. En multifunktionsmaskine, der gemmer scannede lønsedler, eller en optager med billeder af medarbejdere, rummer oplysninger, der skal beskyttes på linje med fildelingen.

Driften kræver forsigtighed

Enheder som printere og kameraer kan reagere uforudsigeligt, når de bliver undersøgt. En printer kan gå i stå, et kamera kan genstarte, og en optager kan miste optagelser. Det er sjældent alvorligt for en printer, men det kan være det for et overvågningssystem eller en adgangskontrol.

Aftal derfor, hvilke enheder testen må berøre, og hvor forsigtigt. Kritiske enheder kan undersøges med en mere begrænset tilgang eller uden for åbningstiden. Hav en kontaktperson, der kender udstyret, og aftal, hvad der sker, hvis noget holder op med at virke. Overvej også at varsle de medarbejdere, der overvåger kritiske enheder, så en genstart ikke bliver forvekslet med en fejl. → Hvis noget går ned under testen

Leverandørerne skal med

Mange enheder er omfattet af en serviceaftale. Leverandøren kan have fjernadgang til dem, og aftalen kan indeholde regler for, hvem der må ændre noget. Spørg leverandøren, om enheden må indgå i en test, og om leverandøren selv har adgang udefra. → Leverandørers fjernadgang til jeres systemer

Rettelserne ligger også ofte hos leverandøren. Er printeren leaset, er det leasingpartneren, der skal opdatere den. Aftal, hvem der modtager fundene, og om serviceaftalen dækker sikkerhedsopdateringer, eller om det skal aftales særskilt.

Når udstyret ikke kan opdateres

Noget udstyr kan ikke opdateres, fordi producenten er holdt op med at udgive rettelser, eller fordi en opdatering kræver, at et tilknyttet system også udskiftes. Testen kan påvise svagheder, der ikke kan rettes på enheden selv. Så skal virksomheden vælge mellem at udskifte enheden, isolere den på et net for sig eller acceptere risikoen. Det er en beslutning for den, der ejer budgettet og risikoen, ikke for testeren.

Bed om, at rapporten skelner mellem fund, der kan rettes med en opdatering, og fund, der kræver en beslutning om udstyret. Så bliver det lettere at se, hvad der kan klares i driften, og hvad der skal på ledelsens bord. → Risikoaccept

Det skal I lade være med

At teste uden en liste over enhederne · ukendt udstyr havner uden for scope.
At lade udstyret dele net med computerne · en svag enhed bliver en vej ind til resten.
At glemme serviceaftalerne · leverandøren kan have adgang og regler, testen skal kende.
At behandle et overvågningssystem som en printer · et nedbrud har forskellige konsekvenser.
At overse, hvad enhederne gemmer · scanninger og optagelser kan være fortrolige.

Hvad kan og ikke kan konkluderes

En test kan vise, om de undersøgte enheder var adskilt, beskyttet og ude af syne fra internettet på testtidspunktet. Udstyr, der ikke indgik, eller som kobles på senere, ligger uden for resultatet. Nyt udstyr kommer ofte til, uden at nogen tænker på det som en ændring af netværket.

Listen over enheder er derfor lige så vigtig som rapporten. Den bør holdes opdateret og have en ejer. Rapporten bør på samme måde nævne de enheder, der indgik, med type og placering.