Penetrationstest eller teknisk gennemgang af opsætningen?

En IT-chef, der vil vide, om firewall, servere og brugerrettigheder er sat fornuftigt op, kan bestille to ret forskellige ting. Valget hviler på, om I har mest brug for bredde eller for bevis: en teknisk gennemgang ser systematisk på opsætningen, mens en penetrationstest påviser, hvad der faktisk kan udnyttes.

Begge er tekniske opgaver udført af en specialist, og begge ender i en liste over forhold, der bør rettes. Forskellen ligger i metoden og dermed i, hvad listen betyder. En gennemgang siger, at en indstilling afviger fra god praksis eller fra jeres egne krav. En test siger, at en svaghed blev brugt til at opnå noget bestemt.

Gennemgangen læser opsætningen

Ved en teknisk gennemgang får specialisten adgang til at se, hvordan systemerne er sat op. Det kan være regler i firewallen, indstillinger på servere, opsætningen af det trådløse net, rettigheder på fildrev eller roller i ERP-systemet. Specialisten sammenligner med anbefalinger, med jeres egne politikker og med det, systemerne skal bruges til.

Gennemgangen kan dække mange indstillinger på relativt kort tid, fordi den ikke skal afprøve hver enkelt. Den kan finde forhold, der ikke er udnyttelige i dag, men som bliver det, hvis noget andet ændrer sig. Den kan også finde unødvendige regler og rettigheder, som ingen kan forklare.

NIST SP 800-115 beskriver gennemgang af dokumentation, regelsæt og systemopsætning som en selvstændig gruppe af teknikker. Det understreger, at gennemgang og afprøvning er to forskellige værktøjer, ikke to grader af det samme.

Testen afprøver konsekvensen

Ved en penetrationstest arbejder testeren typisk fra et udgangspunkt, der ligner en bestemt situation: udefra, som almindelig bruger eller fra gæstenettet. Testeren forsøger at komme videre og dokumenterer, hvad der lykkedes. → Black box, grey box og white box

Styrken er, at resultatet viser sammenhænge. Tre indstillinger, der hver for sig ser harmløse ud i en gennemgang, kan tilsammen give adgang til noget vigtigt. Testen kan påvise den kæde. Den viser også, hvilke svagheder der i praksis ikke kunne bruges, fordi andre forsvar holdt.

Til gengæld når testen ikke alle indstillinger. Den følger de veje, der giver mening fra udgangspunktet, og bruger tiden der. En regel i firewallen, som aldrig blev relevant under testen, bliver ikke nødvendigvis vurderet.

Testens resultat afhænger også af udgangspunktet. En test fra gæstenettet siger noget om gæstenettet. Den siger ikke, hvordan opsætningen ser ud set fra en medarbejders computer på kontornettet, medmindre det udgangspunkt også er med i opgaven.

Hvornår bredde giver mest

Vælg en gennemgang, når spørgsmålet handler om, hvorvidt opsætningen er ordentlig hele vejen rundt.

Efter en større omlægning · Når kontornettet er bygget om, eller I har skiftet driftsleverandør, kan en gennemgang vise, om det nye svarer til det aftalte.
Når I vil rydde op · Gamle regler og rettigheder, som ingen kender formålet med, findes bedst ved at se dem alle igennem.
Når opsætningen skal sammenlignes med krav · Fx jeres egen politik for adgangskoder eller en kundes krav til adskillelse.
Når cloudtjenester skal vurderes · I fx Microsoft 365 kan spørgsmålet handle om indstillinger og deling. → Microsoft 365 og penetrationstest

Hvornår bevis giver mest

Vælg en penetrationstest, når spørgsmålet handler om, hvad en bestemt situation kan føre til.

Før en løsning åbnes · Kan kundeportalen eller webshoppen modstå forsøg på misbrug?
Når adskillelse skal dokumenteres · Kan en bruger på gæstenettet faktisk nå kontornettet? → Segmentering og penetrationstest
Når en kunde vil se et testresultat · Nogle kunder beder specifikt om en rapport fra en afprøvning.
Når prioriteringen skal skærpes · Påviste konsekvenser gør det lettere at vælge, hvad der skal rettes først.

Hvad hver opgave kræver af jer

De to opgaver stiller forskellige krav til forberedelsen. En gennemgang kræver læseadgang til opsætningen. Specialisten skal kunne se regler, indstillinger og rettigheder, enten direkte i systemerne eller gennem udtræk, som driftsleverandøren laver. Aftal, hvilken form der bruges, og hvem der laver udtrækkene. Et ufuldstændigt udtræk giver en ufuldstændig gennemgang.

En penetrationstest kræver i stedet et aftalt udgangspunkt: adresser, en plads på nettet eller testkonti med bestemte roller. Testeren skal ikke nødvendigvis se opsætningen, men skal have tilladelse til at afprøve systemerne og en kontakt, der kan træffe beslutninger, hvis noget uventet sker.

I begge tilfælde skal det være klart, hvem der ejer systemerne, og om hostingfirmaet eller driftsleverandøren skal give samtykke. Hvis en del af opsætningen ligger hos en leverandør, som ikke vil udlevere den, skal det fremgå af rapporten som en begrænsning. → Før penetrationstesten

De to kan kombineres

En opgave kan godt indeholde begge dele. En test af kontornettet kan suppleres med en gennemgang af firewallreglerne. En test af ERP-systemet kan suppleres med en gennemgang af rollerne. Så får I både det brede overblik og de påviste konsekvenser.

Hvis de kombineres, skal rapporten holde dem adskilt. Læseren skal kunne se, hvilke fund der kommer fra gennemgangen og er vurderinger af en indstilling, og hvilke der kommer fra testen og er påvist i praksis. Uden den adskillelse kan en anbefaling om en indstilling blive læst som et dokumenteret brud, eller omvendt. → Scope i en penetrationstest

Valget mellem teknisk gennemgang og en bredere audit af processer og politikker er behandlet særskilt. → Penetrationstest eller IT-sikkerhedsaudit?

Det skal I lade være med

At læse et gennemgangsfund som påvist udnyttelse · En afvigende indstilling er en vurdering, ikke et dokumenteret brud.
At antage, at testen har set alle indstillinger · Testeren bruger tiden på de veje, der er relevante fra udgangspunktet.
At give for lidt adgang til gennemgangen · Specialisten skal kunne se opsætningen for at vurdere den.
At blande de to typer fund i én liste · Rapporten skal vise, hvordan hvert fund er fremkommet.
At vælge efter, hvad der lyder grundigst · Vælg efter spørgsmålet: bredde eller bevis.

Hvad kan og ikke kan konkluderes

En teknisk gennemgang kan vise, om opsætningen af de gennemgåede systemer svarer til anbefalinger og egne krav. Den kan ikke alene vise, hvad en svaghed ville føre til i praksis, og nogle fund kan vise sig at være uden betydning, når de afprøves. → Falsk positiv i en penetrationstest

En penetrationstest kan vise, hvad der lykkedes fra det aftalte udgangspunkt. Den kan ikke vise, at de indstillinger, testen ikke berørte, er i orden. Begge resultater gælder forholdene på det tidspunkt, de blev lavet.