Microsoft 365 er en tjeneste, som Microsoft driver, men som virksomheden selv sætter op. En penetrationstest kan derfor rette sig mod jeres egen opsætning, jeres konti og jeres indstillinger, men ikke mod Microsofts platform. Rammen for, hvad der må testes, står i Microsofts regler for penetrationstest og i jeres egne aftaler.
Køberens opgave er at afgrænse, hvilken del af opsætningen testen skal sige noget om, og at sikre, at aktiviteterne holder sig inden for reglerne. Den tekniske uddybning til IT-afdelinger findes på penetration-test.dk.
Jeres lejemål, Microsofts platform
Microsoft beskriver ansvaret i skyen som delt. For en tjeneste som Microsoft 365 står Microsoft for den underliggende drift, mens kunden står for egne data, konti, adgangsstyring og de indstillinger, der vælges. Hvor grænsen går i detaljer, varierer fra tjeneste til tjeneste. → Delt ansvar i cloud
Spørgsmålene i bestillingen skal derfor handle om det, I selv har valgt. Hvem kan logge ind, og hvordan? Hvad må deles med personer uden for virksomheden? Hvem har administrative roller? At Microsoft beskytter sine datacentre, siger intet om, hvorvidt en mappe i jeres fildeling er delt med alle, der har linket.
Mange af de forhold, en test kan finde, er derfor valg, som nogen hos jer eller driftsleverandøren har truffet. Nogle er truffet bevidst for at gøre arbejdet lettere, andre er standardindstillinger, som ingen har set på. En test kan gøre valgene synlige, så de kan træffes igen på et oplyst grundlag.
Reglerne, testen skal følge
Microsoft har fælles regler for penetrationstest af sine onlinetjenester. Reglerne kræver, at test sker i jeres eget lejemål eller på ressourcer, som der er udtrykkelig tilladelse til at teste. De forbyder blandt andet forsøg på at lamme tjenesten, aktiviteter, der skaber overdreven trafik, brug af loginoplysninger, der ikke er jeres egne, og forsøg på at komme videre ind i Microsofts egne systemer. Microsoft forbeholder sig desuden ret til at afbryde aktivitet, også når den er en del af en gyldig test.
Reglerne kan ændre sig, og det er udgaven på testtidspunktet, der gælder. Bed testeren bekræfte, at aktiviteterne holder sig inden for dem, og læg jeres skriftlige tilladelse klar, så den kan fremvises, hvis Microsoft henvender sig om aktiviteten. Det er jer som ejer, der giver tilladelsen. Microsoft giver den ikke på jeres vegne. → Er en penetrationstest lovlig?
Phishing er et særligt punkt. Reglerne forbyder phishing rettet mod Microsofts medarbejdere og brug af Microsofts tjenester til phishing mod andre. Ønsker virksomheden at afprøve medarbejdernes reaktion på falske mails, er det en særskilt opgave med sine egne rammer. → Phishing-test
Hvad en test af opsætningen kan handle om
Microsoft 365 er mange tjenester under ét navn. Et ønske om at få det hele testet giver ikke testeren et klart opdrag. Vælg i stedet de områder, der skal besvares:
- Login · hvordan medarbejderne logger ind, og om tofaktorlogin gælder alle.
- Administrative roller · hvor mange der har dem, og om de bruges til dagligt arbejde.
- Deling udadtil · hvad medarbejderne kan dele med personer uden for virksomheden.
- Gæster · hvilke eksterne brugere der har adgang, og til hvad.
- Tilknyttede apps · programmer, der har fået adgang til mail, filer eller kalender.
- Mail · regler for videresendelse og beskyttelse mod forfalskede afsendere.
Vælg hellere få områder grundigt end mange overfladisk. Hvert område kan være en del for sig i scope. Login og tofaktor er behandlet nærmere i → Tofaktorlogin i testen, og mailen i → Mailtjenester og penetrationstest.
Licenserne påvirker svaret
Hvad der kan stilles ind i Microsoft 365, afhænger af, hvilke licenser virksomheden har. To virksomheder med abonnementer af samme navn kan have forskellige muligheder for adgangsstyring og overvågning. Det har betydning for, hvordan fund skal læses. Et fund om en manglende indstilling kan kræve en anden licens at rette, og så er det en budgetbeslutning frem for en teknisk fejl.
Oplys derfor, hvilke licenser der er i brug, før testen begynder. Så kan testeren skelne mellem det, der ikke er slået til, og det, der ikke findes i jeres abonnement, og anbefalingerne bliver mere realistiske.
Gennemgang eller afprøvning?
Meget af det, der er relevant i Microsoft 365, er indstillinger. Nogle spørgsmål besvares bedst ved, at en tester gennemgår opsætningen med en konto, der kan læse den. Andre kræver, at testeren afprøver, hvad en almindelig medarbejderkonto faktisk kan nå. De to tilgange giver forskellige svar og bør begge stå i bestillingen, hvis begge ønskes. Nogle virksomheder begynder med gennemgangen, fordi den belaster driften mindst, og lader afprøvningen følge, når de åbenlyse forhold er rettet. Andre vil først se, hvad en konto faktisk kan. Begge rækkefølger kan give mening. → Pentest eller teknisk gennemgang
Testkontiene følger af valget. En afprøvning af, hvad en medarbejder kan, kræver en konto med en almindelig medarbejders rettigheder. En gennemgang af indstillinger kræver en konto, der kan læse dem uden at kunne ændre dem. Aftal, hvem der opretter kontiene, og at de lukkes, når testen er slut.
Er Microsoft 365 koblet til et lokalt Active Directory, kan et forhold i det ene få betydning i det andet. → Active Directory i penetrationstesten
Det skal I lade være med
- At bede om at få hele Microsoft 365 testet · vælg de områder, der skal besvares.
- At forvente, at Microsofts platform bliver testet · det er ikke tilladt og svarer ikke på jeres spørgsmål.
- At springe reglerne over · aktiviteterne skal holde sig inden for Microsofts gældende regler.
- At give testeren den højeste administratorrolle · så viser testen ikke, hvad en almindelig konto kan.
- At overse gæster og tilknyttede apps · de har ofte adgang, som blev givet for længe siden.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan de undersøgte dele af jeres opsætning holdt på testtidspunktet med de konti, der blev brugt. Den kan ikke dokumentere Microsofts egen sikkerhed, og den dækker ikke tjenester eller indstillinger uden for scope.
Indstillinger i Microsoft 365 ændres let, og Microsoft tilføjer løbende nye funktioner. Et resultat fra i dag siger derfor mest, hvis der også er styr på, hvem der må ændre indstillingerne i morgen.
Et resultat uden væsentlige fund dækker de udvalgte områder. Det omfatter ikke medarbejdernes computere og telefoner, selv om de bruges til at logge ind, medmindre de var med i scope.
Tjekliste før Microsoft 365 kommer med
- ☐ Er de områder, testen skal besvare, valgt?
- ☐ Er Microsofts gældende regler for penetrationstest læst?
- ☐ Ligger der en skriftlig tilladelse fra virksomheden?
- ☐ Er det aftalt, om testen er en gennemgang, en afprøvning eller begge?
- ☐ Er testkonti oprettet med de rette rettigheder?
- ☐ Er koblingen til et lokalt AD afklaret?
Kilder
- Microsoft Learn: Penetration testing: tilladelse fra ressourcens ejer, forbudte aktiviteter og henvisning til Microsofts fælles regler.
- Microsoft Cloud Unified Penetration Testing Rules of Engagement: reglerne for test af Microsofts onlinetjenester, herunder test i eget lejemål og Microsofts ret til at afbryde aktivitet.
- Microsoft Learn: Shared responsibility in the cloud: fordelingen af ansvar for SaaS-tjenester som Microsoft 365.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Active Directory i penetrationstesten · Fildeling og samarbejdsværktøjer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
