Zero‑day: hvad en ukendt sårbarhed betyder for jeres test

Når en zero-day er i nyhederne, spørger ledelsen ofte, om den seneste penetrationstest burde have fanget den. Svaret afhænger af, hvad ordet dækker, og af, hvad en test overhovedet kan undersøge: en zero-day er pr. definition ukendt eller uden rettelse, og en test kan derfor sjældent finde den, men den kan vurdere, hvor meget skade en ukendt svaghed kan nå at gøre.

En zero-day er en sårbarhed i et produkt, som producenten ikke har nået at rette, typisk fordi den ikke var kendt, før den blev opdaget eller brugt af andre. Navnet hentyder til, at producenten har haft nul dage til at lave en rettelse. Så længe der ikke findes en opdatering, kan virksomheden ikke lukke svagheden på den sædvanlige måde.

Ukendt for producenten, ikke nødvendigvis for alle

Det centrale ved en zero-day er, at der ikke findes en rettelse. Svagheden kan være kendt af den, der opdagede den, af en lille kreds eller af personer, der bruger den i angreb. Når producenten får kendskab til den og udsender en rettelse, bliver den en almindelig kendt sårbarhed, som ofte får et nummer i det fælles katalog. → CVE forklaret

For køberen er skellet praktisk. En kendt sårbarhed kan håndteres med opdateringer og faste rutiner. En zero-day kan kun håndteres ved at begrænse, hvad en angriber kan nå, og ved at opdage og reagere hurtigt, hvis svagheden bliver brugt.

Ordet bruges ikke altid præcist. Nogle gange omtales en svaghed som zero-day, selv om der allerede er udsendt en rettelse, som blot ikke er installeret alle steder. Spørg derfor, om der findes en opdatering. Findes den, er opgaven at få den på plads.

Hvad en penetrationstest typisk afdækker

En penetrationstest afprøver de aftalte systemer for svagheder, der kan findes inden for den tid og ramme, opgaven har. Det omfatter kendte sårbarheder i standardsoftware, uheldige opsætninger, svage adgangsforhold og fejl i jeres egen løsning, fx i kundeportalens måde at adskille kunder på.

Fejl i jeres egen kode er på sin vis ukendte, indtil testeren finder dem. De bliver dog normalt ikke kaldt zero-days, fordi de kun findes i jeres system og rettes af jeres egen leverandør. En test kan derfor godt finde ukendte svagheder i det, I har fået udviklet.

At finde en helt ny svaghed i et udbredt produkt kræver ofte et målrettet forskningsarbejde, som rækker ud over en almindelig bestilling. Det er ikke det, I køber, når I bestiller en afgrænset test af webshoppen eller kontornettet.

Når testeren alligevel finder noget nyt

Det kan ske, at testeren støder på en svaghed i et standardprodukt, som ikke ser ud til at være kendt. Så opstår der spørgsmål, som er gode at have aftalt på forhånd. Hvem underretter producenten? Hvornår må svagheden omtales offentligt, og med hvilke oplysninger om jer? Hvad gør I i mellemtiden, hvor der ikke findes en rettelse?

En ansvarlig håndtering indebærer typisk, at producenten får besked og tid til at rette, før detaljer bliver offentlige. Jeres navn og systemer bør ikke fremgå, medmindre I har sagt ja. Skriv ind i aftalen, hvordan sådanne fund behandles, og hvem der har ansvaret for kontakten. Fund i produkter fra andre leverandører er behandlet i → Fund i tredjepartssoftware

Testen kan vise, hvor langt en ukendt svaghed rækker

Selv om en test sjældent finder zero-days, kan den sige meget om, hvor sårbar virksomheden er over for dem. Spørgsmålet ændres fra findes der en ukendt svaghed til hvad sker der, hvis den findes. Det er et spørgsmål, en penetrationstest godt kan belyse.

En test kan fx tage udgangspunkt i, at en angriber allerede har fået fodfæste på en maskine eller en konto, og undersøge, hvor langt der er derfra til ERP-systemet eller backup. Den tilgang kaldes ofte assume breach. → Assume breach

Opdelingen af netværket har stor betydning i den sammenhæng. Hvis gæstenettet, kontornettet og produktionsudstyret er adskilt, kan en svaghed ét sted ikke uden videre bruges til at nå alt andet. → Segmentering og pentest

Endelig kan virksomhedens evne til at opdage aktivitet afprøves. Hvis en ukendt svaghed bliver brugt, er det afgørende, om nogen ser det, og hvor hurtigt der bliver reageret. → SOC og pentest

Når en zero-day bliver kendt

Når en zero-day i et produkt, I bruger, bliver offentligt kendt, er det første spørgsmål ikke, om testen burde have fundet den. Det er, om I bruger det berørte produkt og den berørte udgave, om systemet kan nås udefra, og om producenten har anbefalet midlertidige foranstaltninger.

Det næste spørgsmål er, om der er tegn på, at svagheden allerede er brugt mod jer. Det kræver logning og nogen, der kan læse den. En penetrationstest er ikke det rette redskab i den situation. Har I mistanke om et angreb, er det en hændelse, der skal håndteres som sådan, før der tales om test.

Når en rettelse er udsendt, er opgaven at få den installeret og at kontrollere, at det er sket. En senere test kan bekræfte, at rettelsen er på plads, hvis det er et behov.

Det skal I lade være med

At forvente, at en test finder zero-days · en afgrænset test afprøver kendte typer af svagheder og jeres egen løsning.
At kalde manglende opdatering en zero-day · findes der en rettelse, er opgaven at installere den.
At glemme aftalen om nye fund · beslut på forhånd, hvordan ukendte svagheder i standardprodukter håndteres.
At satse alt på at holde svagheder ude · adskillelse og overvågning begrænser skaden, når noget slipper igennem.
At bruge en test som svar på et igangværende angreb · en mistanke skal håndteres som en hændelse.

Hvad kan og ikke kan konkluderes

En penetrationstest kan vise, hvordan jeres systemer håndterer kendte typer af svagheder, og hvor langt en angriber kan nå fra et givet udgangspunkt. Det siger noget væsentligt om, hvor robust virksomheden er over for også ukendte svagheder. Det er især brugbart, når resultatet viser, hvilke adskillelser og hvilken overvågning der faktisk virkede under testen, og hvor de manglede.

En test kan ikke dokumentere, at der ikke findes zero-days i de produkter, I bruger. Ingen test kan garantere mod svagheder, som ingen endnu kender. → En pentest er ingen garanti

Tjekliste til ukendte svagheder

☐ Er det aftalt, hvordan nye svagheder i standardprodukter håndteres?
☐ Undersøger testen, hvor langt en angriber kan nå fra et fodfæste?
☐ Er netværket opdelt, så én svaghed ikke giver adgang til alt?
☐ Kan virksomheden opdage og reagere på mistænkelig aktivitet?
☐ Er der en plan for, hvad I gør, når en zero-day i et brugt produkt bliver kendt?

Senest gennemgået: oktober 2026.