At glemme testkonti og adgange efter testen

Penetrationtest: opslagsværk om penetrationstest på dansk

En penetrationstest efterlader spor, som virksomheden selv har aftalt: testkonti, fjernadgange, undtagelser i overvågningen og testdata. Bliver de liggende, når testen er slut, er der åbnet en dør, som ingen længere holder øje med. Om oprydningen lykkes, hviler på en liste over alt det, der blev oprettet, en klar fordeling af, hvem der fjerner hvad, og en kontrol af, at det faktisk er sket.

Fejlen er særlig, fordi den skaber en ny svaghed i stedet for at overse en gammel. En testkonto med administrative rettigheder i ERP-systemet, som ingen bruger, og som ingen husker, er netop den slags adgang, testen skulle hjælpe med at finde.

Det, testen efterlader

Før og under testen bliver der oprettet og ændret en række ting for at gøre arbejdet muligt. Hver af dem skal tilbage til normal tilstand bagefter.

Testkonti · brugere i kundeportalen, ERP-systemet eller mailsystemet, som testeren har fået udleveret. → Testkonti og testdata
Ekstra rettigheder · rettigheder, der er givet til eksisterende konti for at teste bestemte roller.
Fjernadgang · VPN-profiler, adgangsnøgler eller midlertidige forbindelser til testeren.
Undtagelser · regler i firewall eller overvågning, der lod testerens adresser passere uden alarm. → Skal testeren undtages i firewall og overvågning?
Testdata · ordrer, kunder og filer, der er oprettet i systemerne som en del af testen.
Efterladte filer · filer, som testeren har lagt på en server for at dokumentere et fund, hvis det var en aftalt del af opgaven.
Delte adgangsoplysninger · adgangskoder og nøgler, der er sendt til testeren, og som stadig virker.

Listen er ikke udtømmende. Hver test har sine egne forudsætninger, og oversigten skal laves ud fra det, der faktisk blev givet og oprettet.

Hvem gør hvad

Oprydningen er en fælles opgave, men ansvaret skal fordeles.

Testeren bør kunne oplyse, hvad der er oprettet eller efterladt i systemerne under testen. Det gælder især ting, virksomheden ikke selv har udleveret, som testdata eller filer, der blev brugt til at dokumentere et fund. Bed om oversigten som en del af leverancen, så den følger med rapporten.

Virksomheden og driftsleverandøren fjerner det, de selv har oprettet: konti, rettigheder, fjernadgange og undtagelser. Det skal være klart, hvem der gør det for hvert system. Hvis kundeportalen drives af én leverandør og ERP-systemet af en anden, skal begge vide, hvad de har ansvaret for.

Hvis testeren selv skal fjerne noget, skal det være aftalt, hvordan og hvornår, og virksomheden skal stadig kontrollere resultatet.

Udpeg også én person, der samler trådene. Når flere leverandører og systemejere hver har deres del, er det let at gå ud fra, at en anden har taget sig af det. Den samlende person skal ikke selv fjerne alt, men skal kunne svare på, om oprydningen er færdig, og hvad der eventuelt mangler.

Aftal oprydningen før testen begynder

Oprydningen bliver lettest, når den er planlagt fra starten. Skriv i spillereglerne eller opgavebeskrivelsen, hvad der skal fjernes, hvem der gør det, og hvornår. → Rules of engagement

Før en løbende oversigt fra den første dag. Hver gang en konto oprettes, en rettighed gives eller en undtagelse lægges ind, noteres det med dato og ansvarlig. Så findes listen allerede, når testen er slut, og den skal ikke stykkes sammen bagefter fra mails og hukommelse.

Overvej at give testkonti og fjernadgange en udløbsdato fra starten, hvis systemerne tillader det. Så lukker de af sig selv, også hvis nogen glemmer at fjerne dem. Udløbsdatoen erstatter ikke oprydningen, men den begrænser følgerne af en forglemmelse.

Kontrollér, at det er sket

En besked om, at alt er fjernet, er ikke det samme som en kontrol. Gå listen igennem, og bekræft for hvert punkt, at kontoen er slettet eller spærret, at rettigheden er fjernet, og at undtagelsen er væk.

Kontrollen kan passende ske som en del af afslutningsmødet eller lige efter. Det er et naturligt tidspunkt, fordi både testeren, systemejerne og driftsleverandøren er samlet. → Afslutningsmødet

Tænk også på det, der ligger hos testeren. Rapporten, noter og eventuelle kopier af data fra jeres systemer skal opbevares og slettes efter det, der er aftalt. → Opbevaring og sletning af rapport og testdata

Kontrakten kan med fordel beskrive både oprydningen og testerens håndtering af data efter opgaven. → Kontrakten om penetrationstesten

Når testen afbrydes, forlænges eller følges af en retest

Oprydningen bliver sværere, når forløbet ikke slutter som planlagt. Hvis testen bliver afbrudt, fordi et system går ned eller en tilladelse mangler, kan der ligge konti og undtagelser, som ingen tænker på, mens opmærksomheden er rettet mod problemet. Notér derfor status for oprydningen, også når en test stopper før tid.

En retest kan kræve, at nogle adgange bliver genåbnet. Det er bedre at oprette nye, afgrænsede adgange til retesten end at lade de oprindelige stå åbne længe i forventning om, at de skal bruges igen. Når retesten er slut, gælder samme oprydning og samme kontrol som efter den første test.

Hvis testen forlænges, skal udløbsdatoer og aftaler om undtagelser forlænges bevidst og ikke blot ved at lade dem stå.

Det skal I lade være med

At oprette konti og adgange uden at notere dem · uden en liste kan oprydningen ikke kontrolleres.
At lade undtagelser i overvågningen stå · testerens adresser skal ikke længere passere uden alarm.
At genbruge testkonti til næste test · opret nye, og fjern de gamle.
At antage, at driftsleverandøren rydder op · aftal det udtrykkeligt for hvert system.
At glemme testdata i produktionen · ordrer og kunder fra testen kan forvirre drift og regnskab.
At acceptere en melding om oprydning uden kontrol · gå listen igennem punkt for punkt.

Hvad kan og ikke kan konkluderes

En gennemgået og kontrolleret oprydning kan dokumentere, at de konti, adgange og undtagelser, der stod på listen, er fjernet. Det giver et grundlag for at sige, at testen ikke har efterladt kendte åbninger.

Den kan ikke sige noget om ting, der ikke kom på listen. Hvis en konto blev oprettet uden at blive noteret, bliver den heller ikke fjernet. Oprydningen er derfor aldrig bedre end den oversigt, den bygger på. Og den siger intet om de øvrige konti og adgange i systemerne, som ikke havde med testen at gøre.

Tjekliste til oprydning

☐ Er der ført en oversigt over alle konti, rettigheder og adgange, der blev oprettet?
☐ Har testeren oplyst, hvad der er oprettet eller efterladt under testen?
☐ Er testkonti slettet eller spærret i alle systemer?
☐ Er ekstra rettigheder til eksisterende konti fjernet?
☐ Er fjernadgange og delte adgangsoplysninger lukket eller ændret?
☐ Er undtagelser i firewall og overvågning fjernet?
☐ Er testdata ryddet op i produktionen?
☐ Er oprydningen kontrolleret og ikke kun meldt?

Senest gennemgået: oktober 2026.