En opdeling af netværket er kun så god som de regler, der faktisk gælder mellem delene. En penetrationstest kan afprøve, om skillevæggene holder, men kun hvis virksomheden først har beskrevet, hvilke net der skal være adskilt, og hvad der må passere mellem dem.
Svaret på titlens spørgsmål findes derfor i to dokumenter: den beskrivelse, der viser den tilsigtede opdeling, og testens resultat for hver skillevæg, der blev afprøvet. Uden det første har testen intet at holde det andet op imod.
Hvad segmentering skal beskytte
Segmentering betyder, at netværket deles op i zoner med hver sit formål, og at trafikken mellem zonerne begrænses. Tanken er, at et problem i én zone ikke uden videre skal brede sig til de andre. En inficeret computer på kontornettet bør ikke kunne nå backup, og en gæst bør ikke kunne nå ERP-systemet.
Zonerne i en mellemstor virksomhed kan fx være som nedenfor. Jeres egne zoner kan hedde noget andet og være flere eller færre.
- Kontornettet · medarbejdernes computere og telefoner.
- Servernettet · ERP-systemet, filserveren og andre fælles systemer.
- Gæstenettet · besøgende og private enheder, der kun skal på internettet.
- Udstyrsnet · printere, kameraer og bygningssystemer.
- Administration · de adgange, som IT-afdelingen og driftsleverandøren styrer det hele med.
- Produktion · anlæg og styringer, hvor de findes.
En firewall mellem internettet og kontornettet er én skillevæg. Segmentering handler om de skillevægge, der står inde i virksomheden. → Vi har en firewall, så vi er dækket
Tegningen og virkeligheden
Mange virksomheder har en netværkstegning med en pæn opdeling. Over tid kommer der undtagelser til. En regel bliver åbnet, fordi en ny printer ikke virkede. En leverandør får adgang til servernettet for at løse en sag. Et projekt kræver en forbindelse, som aldrig bliver lukket igen. Hver undtagelse var begrundet, men tilsammen kan de udhule opdelingen.
En test af segmenteringen sammenligner tegningen med den faktiske tilstand. Det kræver, at tegningen er opdateret, eller at det står klart, at den ikke er det. Ved ingen, hvilke zoner der findes, er første skridt en beskrivelse og ikke en test.
Gå undtagelserne igennem, før testen bestilles. Mange kan lukkes uden en test, og resten kan listes, så testeren kender dem. En kendt og begrundet undtagelse er en anden sag end en åbning, som ingen kan forklare. Listen gør det også lettere at læse rapporten, fordi fund kan holdes op mod de undtagelser, virksomheden allerede har accepteret.
Formulér skillevæggene som påstande
Den mest brugbare bestilling formulerer opdelingen som påstande, som testen kan be- eller afkræfte. Hver påstand angiver en zone, der er udgangspunkt, og en zone, der ikke skal kunne nås derfra.
- Fra gæstenettet kan man kun komme på internettet.
- Fra kontornettet kan man bruge ERP-systemet, men ikke nå dets administration.
- Fra udstyrsnettet kan man hverken nå kontornettet eller servernettet.
- Backup kan kun nås fra de systemer, der skal skrive til den.
Påstandene giver et klart svar for hver skillevæg. Rapporten kan så sige, hvilke påstande der holdt, og hvilke der ikke gjorde, i stedet for en generel vurdering af netværket. Retningen betyder også noget. At kontornettet ikke kan nå produktionen, er ikke det samme som, at produktionen ikke kan nå kontornettet.
Testeren skal stå de rigtige steder
For at afprøve en skillevæg skal testen tage udgangspunkt på den side, der ikke må komme igennem. Testeren skal derfor have en placering i hver zone, der indgår, fx en testenhed på gæstenettet, en på kontornettet og en på udstyrsnettet. Aftal, hvordan placeringerne etableres, og hvem hos jer eller driftsleverandøren der sørger for det. Kan en placering ikke etableres, skal påstanden stå som ikke afprøvet i rapporten frem for at forsvinde i stilhed.
En test, der kun tager udgangspunkt på kontornettet, kan ikke sige noget om gæstenettet. Det lyder selvfølgeligt, men det er en almindelig årsag til, at en rapport ikke svarer på det spørgsmål, køberen havde. Valget af udgangspunkt er beskrevet i → Ekstern eller intern penetrationstest.
En segmenteringstest passer godt sammen med en test, der går ud fra, at en uvedkommende allerede har fået fodfæste på en computer eller en konto. → Assume breach
Hvad rapporten skal vise
Bed om, at rapporten gennemgår påstandene én for én. For hver påstand bør det fremgå, hvilket udgangspunkt testen havde, hvilken zone der var målet, og om påstanden holdt. Holdt en påstand ikke, skal rapporten beskrive, hvilken forbindelse der var åben, så den rigtige regel kan rettes. En samlet liste over åbninger uden henvisning til påstandene gør det svært at se, hvilken del af opdelingen der svigter.
Bed også om, at fund, som ikke vedrører opdelingen, holdes for sig. En segmenteringstest bliver let blandet sammen med en bredere intern test, og så drukner svaret på det spørgsmål, der blev stillet.
Når en standard stiller krav
PCI DSS krav 11 indeholder et særskilt krav om penetrationstest af segmenteringen, når virksomheden bruger opdeling til at afgrænse det område, hvor kortdata behandles. Kravet omfatter blandt andet test efter ændringer i segmenteringen og en bekræftelse af, at opdelingen virker og isolerer området. For virksomheder, der skal leve op til standarden, bør bestillingen henvise direkte til kravet. Hvad det betyder i jeres situation, afklares med den, der vurderer overholdelsen.
Også uden en standard er en ændring af netværket en god anledning til at afprøve opdelingen. Et nyt kontor, et nyt trådløst net eller en ny driftsleverandør kan flytte skillevæggene. → Et nyt kontor kobles på netværket
Det skal I lade være med
- At bestille en segmenteringstest uden en beskrivelse af zonerne · testen har intet at holde resultatet op imod.
- At teste fra én zone · hver skillevæg kræver et udgangspunkt på den side, der skal holdes ude.
- At glemme den anden retning · trafik kan være spærret den ene vej og åben den anden.
- At lade undtagelser forblive udokumenterede · en åbning, ingen kender, kan ikke vurderes.
- At udelade administrationsadgangene · de forbinder ofte zoner, som ellers er adskilt.
Hvad kan og ikke kan konkluderes
En test kan vise, om de påstande, der blev afprøvet, holdt fra de udgangspunkter, der var med, på testtidspunktet. Den kan ikke sige noget om zoner eller retninger, der ikke var med, og den dækker ikke regler, som ændres bagefter. Gæstenettet har sine egne spørgsmål. → Trådløse net og gæstenet
Et resultat, hvor alle påstande holdt, er stærkest, når rapporten viser, hvilke udgangspunkter og zoner der indgik.
Tjekliste til test af segmenteringen
- ☐ Er zonerne beskrevet med formål og indhold?
- ☐ Er skillevæggene formuleret som påstande med retning?
- ☐ Har testeren en placering i hver zone, der indgår?
- ☐ Er kendte undtagelser listet?
- ☐ Er administrationsadgange og leverandørforbindelser med?
- ☐ Er det afklaret, om en standard stiller krav til testen?
Kilder
- PCI DSS krav 11 (Microsoft Learn): krav 11.4.1 og 11.4.5 om test af segmentering og afgrænsning af kortdataområdet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Produktionsanlæg og OT · Backup og gendannelse
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
