Bærbare og arbejdsstationer: hvad skal med i en test af klienten?

Penetrationtest: opslagsværk om penetrationstest på dansk

Medarbejdernes bærbare er det udstyr, der kommer flest steder hen og bliver brugt af flest mennesker. En test af klienten giver mest værdi, når den rettes mod virksomhedens standardopsætning og ikke mod en tilfældig maskine, og når bestillingen siger, hvilken situation maskinen skal vurderes i.

Klienten er her den computer, en medarbejder arbejder på, og den opsætning, den er installeret med. Spørgsmålet til testen er ikke, om netop denne bærbare er i orden. Spørgsmålet er, om den måde, virksomheden udleverer og vedligeholder computere på, holder de forudsætninger, som resten af sikkerheden bygger på.

Klienten er standardopsætningen, ikke den enkelte maskine

De fleste virksomheder udleverer computere, der er sat op efter samme skabelon. Skabelonen afgør, hvilke programmer der er installeret, hvilke indstillinger der er låst, og hvilke rettigheder brugeren får. Et fund på én maskine er derfor ofte et fund i skabelonen.

Det har betydning for, hvordan resultatet bruges. Hvis rapporten peger på en svaghed i opsætningen, skal rettelsen ske dér, hvor skabelonen vedligeholdes, og ikke kun på testmaskinen. Bed om, at rapporten oplyser, hvilken udgave af opsætningen der blev undersøgt, så det senere kan afgøres, om resultatet stadig gælder. Sammenhængen med opdateringer er beskrevet i → Patchstyring og penetrationstest.

Hvilken maskine skal repræsentere de andre?

Testeren bør få en maskine, der er klargjort præcis som en ny medarbejder ville få den. En maskine, IT-afdelingen har brugt til forsøg, eller en ældre computer fra lageret kan give et resultat, der ikke passer til resten af flåden.

Overvej også, om virksomheden har flere opsætninger. Kontorets stationære arbejdsstationer, de bærbare til sælgerne og maskinerne i lageret kan være sat op forskelligt. Hvis de adskiller sig på punkter, der betyder noget for sikkerheden, skal bestillingen vælge, hvilke der indgår.

Fælles maskiner er en gruppe for sig. En computer i et mødelokale, en skærm ved indgangen eller en pc på lageret, som flere logger ind på, bruges anderledes end en personlig bærbar. Hvis sådanne maskiner findes, bør bestillingen tage stilling til, om de skal med, og med hvilken bruger de skal vurderes. Ofte er det netop den fælles maskine, som ingen føler sig ansvarlig for.

Brug aldrig en kollegas maskine i daglig drift. Den indeholder mails, dokumenter og private spor, som ikke hører hjemme i en test, og den kan blive utilgængelig i arbejdstiden. Testmaskiner og testbrugere beskrives i → Testkonti og testdata.

To udgangspunkter: maskinen i fremmede hænder og brugeren ved tastaturet

En klienttest kan tage to forskellige udgangspunkter, og bestillingen bør sige, hvilket eller hvilke der skal med.

Maskinen uden bruger · computeren er glemt i toget eller stjålet fra en bil. Spørgsmålet er, hvad en uvedkommende kan få ud af den, når ingen er logget ind.
Brugeren ved tastaturet · en almindelig medarbejder er logget ind. Spørgsmålet er, om brugeren kan ændre mere på maskinen, end rollen giver lov til, eller nå mere i nettet, end opgaverne kræver.

De to situationer giver forskellige svar og forskellige rettelser. Den første handler om beskyttelsen af data på enheden. Den anden handler om rettigheder og om forbindelsen til kontornettet. Det andet spørgsmål ligger tæt op ad en intern test. → Ekstern eller intern penetrationstest

Brugergrupper med forskellige rettigheder

Ikke alle medarbejdere har de samme rettigheder på deres computer. Udviklere kan have lov til at installere programmer, økonomiafdelingen kan have adgang til særlige systemer, og ledelsen kan have undtagelser, som ingen længere husker begrundelsen for.

Beskriv de grupper, der findes, og vælg dem, testen skal se på. En test med den mest begrænsede bruger siger noget om udgangspunktet. En test med en gruppe, der har udvidede rettigheder, siger noget om undtagelserne. Begge kan være relevante, men de er forskellige spørgsmål.

Bærbare bruges også uden for kontoret. Hvis en del af spørgsmålet er, hvad maskinen gør på et hjemmenet eller en offentlig forbindelse, hører det sammen med virksomhedens løsning til hjemmearbejde. → Hjemmearbejde og egne enheder · → Fjernadgang og VPN i penetrationstesten

Hvem ejer opsætningen?

I mange virksomheder er det driftsleverandøren, der vedligeholder skabelonen og udruller opdateringer. Leverandøren skal derfor kende til testen, levere testmaskinen og være klar til at modtage fund, der vedrører opsætningen.

Aftal også, hvad der sker med testmaskinen bagefter. Den kan have fået ændret indstillinger undervejs, og den bør nulstilles, før den gives til en medarbejder. Hvem der står for nulstillingen, og hvordan det bekræftes, er en del af oprydningen. Skriv det ind i aftalen, så maskinen ikke ender i en skuffe med testens ændringer intakt. Leverandørens rolle i det hele er beskrevet i → Driftsleverandøren og testen.

Hvis overvågning eller beskyttelsesprogrammer på maskinen reagerer på testen, er det en oplysning i sig selv. Beslut på forhånd, om de skal være aktive som i daglig drift, så resultatet afspejler den opsætning, medarbejderne faktisk har.

Det skal I lade være med

At teste en forsøgsmaskine · resultatet gælder så kun den maskine og ikke den opsætning, medarbejderne har.
At bruge en kollegas computer · private og fortrolige filer hører ikke hjemme i en test.
At blande de to udgangspunkter · skriv, om testen gælder den stjålne maskine, den indloggede bruger eller begge.
At glemme undtagelserne · grupper med udvidede rettigheder skal vælges til eller fra med vilje.
At rette fund på testmaskinen alene · rettelsen skal ind i skabelonen, ellers kommer fundet igen på næste maskine.
At udlevere testmaskinen uden nulstilling · ændringer fra testen må ikke følge med ud i driften.

Hvad kan og ikke kan konkluderes

En test af klienten kan vise, hvordan den undersøgte opsætning fremstod med de udvalgte brugere og i de beskrevne situationer. Den kan understøtte en vurdering af hele flåden, hvis testmaskinen faktisk svarer til de andre.

Den kan ikke vise, hvordan maskiner med en anden opsætning, ældre udgaver eller lokale ændringer står. Den siger heller ikke noget om, hvordan den enkelte medarbejder bruger sin computer. En maskine, der har været væk fra nettet i lang tid, kan mangle opdateringer, som testmaskinen havde.

Resultatet skal derfor læses sammen med virksomhedens egen viden om flåden. Hvis IT-afdelingen ved, at en gruppe maskiner afviger fra skabelonen, er testens konklusion ikke dækkende for dem. Det kan være et argument for at få styr på afvigelserne, før næste test bestilles.

Tjekliste før klienten bestilles

☐ Er det beskrevet, hvilke opsætninger virksomheden har?
☐ Er testmaskinen klargjort som en ny medarbejders?
☐ Er det valgt, om testen gælder maskinen uden bruger, den indloggede bruger eller begge?
☐ Er brugergrupper med særlige rettigheder valgt til eller fra?
☐ Kender driftsleverandøren testen og sin rolle?
☐ Er nulstilling af testmaskinen aftalt?
☐ Oplyser rapporten, hvilken udgave af opsætningen der blev undersøgt?

Senest gennemgået: oktober 2026.