Administrationsflader opgøres ved at liste hver flade på tværs af udstyret og derefter vise, fra hvilke net den kan nås. Kan en almindelig klient i brugernettet åbne loginsiden til hypervisoren, er det et fund, også selv om ingen kender adgangskoden.
Kontrolpunktet går på tværs af platforme. Firewall, switche, hypervisor, lagersystem, backupserver og serverkortene til fjernstyring af fysiske servere har hver deres flade, og de bliver ofte sat op af forskellige folk på forskellige tidspunkter.
Målestokken
Fire punkter i bilaget til forordning 2024/2690 rammer kontrolpunktet:
- Et dedikeret administrationsnet adskilt fra driftsnettet, og administrationskanaler adskilt fra anden trafik (punkt 6.8.2, litra f, og litra g).
- Systemer til administration af sikkerhedspolitikken bruges ikke til andre formål (6.7.2, litra e).
- Systemer til systemadministration bruges kun til administration, adskilles logisk fra anden applikationssoftware og beskyttes med autentificering og kryptering (11.4.2).
- Særlige konti bruges udelukkende til administration (11.3.2).
Punkterne er bindende for de tjenesteudbydere, forordningens artikel 1 opregner. At bruge dem som målestok andre steder er vores tolkning.
Under DORA skal finansielle enheder efter standarden i 2024/1774 have et særskilt og dertil indrettet netværk til administration af IKT-aktiver (artikel 13, litra c).
I AWS findes et tilsvarende punkt. AWS’ gengivelse af CIS AWS Foundations Benchmark har kontroller, der slår ud, når sikkerhedsgrupper eller netværks-ACL’er åbner porte til fjernadministration for hele internettet (AWS’ kontroller EC2.53, EC2.54 og EC2.21; CIS v5.0.0 krav 5.2 til 5.4). Vi har kun læst AWS’ gengivelse, ikke selve CIS-dokumentet.
Opgørelsen
Første skridt er en liste over fladerne. Den kan bygges sådan:
- (Firewall) · Flade: (Webadministration) · Adresse og port: (10.0.99.1, 443) · Net, den står i: (Administrationsnet) · Net, der kan nå den: (Administrationsnet og VPN for drift)
- (Hypervisor) · Flade: (Webklient) · Adresse og port: (10.0.10.5, 443) · Net, den står i: (Servernet) · Net, der kan nå den: (Servernet og brugernet)
- (Serverkort) · Flade: (Fjernkonsol) · Adresse og port: (10.0.10.21, 443) · Net, den står i: (Servernet) · Net, der kan nå den: (Hele det interne net)
Eksemplerne er tænkte. De viser den typiske afvigelse: fladen står i et net, som brugernettet har bred adgang til.
Kilderne til listen er udstyrets egen opsætning, DHCP- og DNS-udtræk og systemlisten. Serverkortene er nemme at overse, fordi de har deres egen netværksport og egen adresse, uafhængigt af styresystemet på serveren.
Hvorfra kan de nås?
Andet skridt er at læse regelsæt og routing for hver flade. Fra hvilke net er der en vej til adressen og porten? Svaret kommer fra firewallens regler mellem zonerne og fra routingen. Det kræver ingen afprøvning.
Tre svar er normale fund:
- Brugernettet kan nå fladen, fordi den står i servernettet, og brugernettet har bred adgang dertil.
- Den VPN-pulje, alle medarbejdere bruger, kan nå fladen, selv om kun driftens pulje burde kunne.
- Fladen kan nås fra internettet, fordi en regel blev åbnet til en leverandør.
Kan en flade nås fra internettet, skal den også stå i opgørelsen over det, der står åbent mod internettet.
Konti og login på fladerne
Fladerne bør kræve en særskilt administratorkonto, ikke den konto, administratoren bruger til mail og internet. Punkt 11.3.2 i bilaget siger det for konti generelt. For fladerne er spørgsmålene, om login sker mod et centralt katalog, om der kræves flerfaktor, og om der findes lokale konti, der ikke følger med, når en medarbejder stopper.
Det kan driften selv
Driften kan lave listen over flader og læse reglerne uden hjælp. En enkel start er at tage en almindelig klient i brugernettet og skrive op, hvilke af fladerne på listen regelsættet tillader den at nå. Svaret står i reglerne og kræver ingen afprøvning.
Flyt derefter én flade ad gangen ind i administrationsnettet, begynd med hypervisor og serverkort. Det kræver ofte kun en ny adresse og en regel for administrationsnettet. Skriv ændringen ind i listen, så den næste gennemgang kan se, hvad der er rettet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over fladerne og en læsning af regelsættet for hver. Driften kan lave listen selv. Det tager tid at finde de flader, ingen har tænkt over, fx serverkort og lagersystemets egen webside.
Administrationsfladerne giver den, der kommer ind, kontrol over alt bag dem. En hypervisor-flade, der kan nås fra brugernettet, betyder, at én kompromitteret klient er ét login fra alle servere. Adskillelsen gør det sværere og giver flere spor undervejs.
Det skal I lade være med
- At gå ud fra, at fladen er sikker, fordi den kræver login · adgangskoder kan lækkes, og fladen kan have fejl.
- At glemme serverkortene · de har egen adresse og egen konto.
- At bruge administratorkontoen til mail og internet · fladerne skal have deres egen konto.
Det skal gennemgangen kunne vise
- ☐ En liste over alle administrationsflader med adresse og port.
- ☐ For hver flade de net, der kan nå den, læst i regelsæt og routing.
- ☐ Ingen flader, der kan nås fra brugernettet eller internettet, eller en begrundelse for hver.
- ☐ Særskilte administratorkonti og flerfaktor på fladerne.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2, 6.8.2, 11.3.2 og 11.4.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13, læst 13. november 2026.
- AWS, CIS AWS Foundations Benchmark in Security Hub CSPM, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find alle serverkort og deres adresser i DHCP-udtrækket, og læs, hvilke net der kan nå dem.
Læs også: Virtualiseringsplatformen · Segmentering på papiret og i regelsættet
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
