Ny fjernadgang eller VPN‑løsning: skal den testes?

En fjernadgang er en dør fra internettet direkte ind til virksomhedens net. Når døren skiftes, er spørgsmålet ikke kun, om den nye løsning virker for brugerne, men om den er sat op, så kun de rette kommer ind, og kun til det, de skal bruge.

Ja, en ny fjernadgang er en god anledning til en test, fordi løsningen både er synlig udefra og giver adgang indad. Testen hører hjemme, når løsningen er sat op som i drift, men mens projektet stadig har plads til at rette, typisk efter pilotfasen og før den gamle løsning er lukket.

Hvorfor netop fjernadgangen fortjener en test

Fjernadgangen står åben mod internettet hele døgnet, og den er bygget til at give adgang til det interne net. Det gør den til et af de steder, hvor en fejl i opsætningen har størst rækkevidde. En svaghed i en informationsside på hjemmesiden og en svaghed i fjernadgangen er ikke det samme.

Producenter af fjernadgangsløsninger udsender rettelser til sårbarheder, og kendte sårbarheder registreres med et CVE-nummer. En ny løsning starter derfor ikke fra et tomt blad. Den skal både være opdateret og sat rigtigt op, og det er to forskellige ting. Fjernadgangen er også et sted, hvor bekvemmelighed og sikkerhed trækker i hver sin retning. Brugerne vil have adgang hurtigt og uden besvær, og det kan friste til undtagelser, som ingen senere husker. → CVE forklaret

Skiftet åbner også for projektfejl. Der laves midlertidige regler for at få pilotbrugere på, leverandøren opretter konti til opsætningen, og den gamle løsning får lov at køre videre for en sikkerheds skyld. Alt sammen forståeligt, men det er sjældent noget, nogen husker at rydde op i bagefter.

Køberens spørgsmål til den nye løsning

Formålet med testen kan skrives som nogle få køberspørgsmål. Hvad en test af fjernadgang omfatter, er beskrevet i → Fjernadgang og VPN i penetrationstesten.

Hvem kan logge ind · holder login og tofaktor, også for særlige konti og leverandører?
Hvad når man ind til · får en almindelig bruger adgang til hele kontornettet eller kun til det nødvendige?
Hvad er synligt udefra · viser løsningen mere frem mod internettet end nødvendigt?
Hvad er tilbage af det gamle · er den tidligere løsning og dens konti lukket?

Skriv også ned, hvilke brugergrupper der findes. En medarbejder på kontoret, en sælger på farten, en leverandør og en administrator kan have vidt forskellige rettigheder i den samme løsning. Testen kan kun sige noget om de grupper, den har fået konti til.

Tofaktorlogin har sine egne valg i bestillingen, fx om testeren skal have konti med tofaktor, og hvilke undtagelser der findes. → Tofaktorlogin i testen

Hvor i projektet hører testen til?

Et projekt med ny fjernadgang har ofte en pilotfase, en udrulning og en nedlukning af den gamle løsning. Testen kan placeres forskellige steder, og hver placering har sin fordel.

Efter pilotfasen · opsætningen er på plads, få brugere er afhængige af den, og rettelser er lette at gennemføre.
Efter udrulningen · alle brugergrupper og regler er med, men rettelser påvirker flere.
Efter nedlukning af det gamle · testen kan bekræfte, at der kun er én vej ind.

Den første placering giver mest plads til at rette, forudsat at pilotens opsætning svarer til den endelige. Kombinér eventuelt med en kort kontrol efter nedlukningen af den gamle løsning. Det er en mindre opgave, men den lukker et spørgsmål, som ellers let bliver stående åbent.

Uanset placering bør testen ligge, før aftalen om den gamle løsning udløber. Så er der stadig et sted at falde tilbage, hvis testen finder noget, der kræver en større ændring af den nye opsætning.

Leverandører og hjemmearbejde i samme dør

En ny fjernadgang bruges sjældent kun af egne medarbejdere. Driftsleverandøren, systemleverandører og eksterne konsulenter kan have deres egne indgange. De bør med i overvejelserne, fordi deres adgang kan være bredere end den almindelige brugers og sjældnere bliver gennemgået. → Leverandørers fjernadgang til jeres systemer

Ved hjemmearbejde opstår spørgsmålet, hvad der sker med de enheder, der kobles på. Det er et emne for sig, som hænger sammen med valget af fjernadgang, men som ikke behøver at indgå i samme test. → Hjemmearbejde og egne enheder

Leveres fjernadgangen som en tjeneste af en udbyder, skal udbyderens regler for test afklares. Testen retter sig mod virksomhedens opsætning og ikke mod udbyderens platform.

Spørg den leverandør, der har sat løsningen op, om de selv har testet opsætningen hos jer, og hvad den test omfattede. Svaret er nyttigt som baggrund, men det er leverandørens vurdering af eget arbejde og erstatter ikke en uafhængig test.

Udefra, indefra eller begge dele?

En fjernadgang ligger på grænsen mellem to perspektiver. Login og det, der er synligt udefra, hører til en ekstern test. Det, en tilsluttet bruger kan nå, hører tættere på en intern test fra en aftalt position. Bestillingen bør sige, hvilke af de to perspektiver der skal med, og hvilke brugertyper testeren skal optræde som. → Ekstern eller intern penetrationstest

Begge perspektiver kan godt samles i én opgave, så længe rapporten viser, hvilket resultat der hører til hvilket udgangspunkt.

Et tænkt eksempel: virksomheden giver sælgerne adgang til ERP-systemet via den nye fjernadgang. Den eksterne del af testen ser på, om login holder. Den interne del ser på, om en sælgers forbindelse også giver adgang til lønsystemet og filserveren, som sælgerne ikke skal bruge.

Det skal I lade være med

At teste den gamle løsning, lige før den lukkes · resultatet bliver ikke brugt til noget.
At udelade leverandørernes indgange · de er en del af den nye dør.
At nøjes med at kontrollere versionen · en opdateret løsning kan stadig give adgang til for meget.
At lade pilotens midlertidige regler blive stående · fjern dem, eller tag dem med i testen.
At glemme nedlukningen · en gammel løsning, der kører videre, er fortsat en indgang.

Hvad kan og ikke kan konkluderes

En test af den nye fjernadgang kan vise, om login, adgangsbegrænsning og det synlige udefra holdt under testen, for de brugertyper og indgange, der var med. Den kan give et grundlag for at beslutte fuld udrulning eller nedlukning af den gamle løsning.

Den kan ikke vise, at løsningen forbliver sikker, når producenten senere offentliggør nye sårbarheder. Det kræver løbende opdatering, som testen ikke erstatter. Den siger heller ikke noget om brugergrupper eller indgange, der oprettes efter testen. Nye leverandører og nye regler i løsningen bør vurderes, når de kommer til. → Opdateringer og penetrationstest