Et udtræk fortæller, hvordan opsætningen ser ud. Ændringsloggen viser, hvordan de kom til at stå sådan: hvem der ændrede en firewallregel, hvem der tilføjede en konto til en administratorgruppe, og hvem der slog en indstilling fra i lejeren. Holdt op mod ændringsstyringen kan loggen vise, om opsætningen faktisk er styret.
En opsætning, der ser rigtig ud i dag, kan være resultatet af tilfældige ændringer. Loggen afslører forskellen.
Hvad kilderne siger om at logge ændringer
Forordning 2024/2690 er en pligt for de digitale tjenesteudbydere i dens artikel 1 og en målestok for andre. Bilaget nævner logning af ændringer flere steder:
- Punkt 3.2.3, litra f: logfilerne skal, hvor det er relevant, omfatte adgang til eller ændringer af kritiske konfigurations- og backupfiler.
- Punkt 3.2.3, litra b og e: oprettelse, ændring eller sletning af brugere og udvidelse af tilladelser, og aktiviteter udført af administrative konti.
- Punkt 3.2.3, litra k: aktivering, standsning og pause af logningsprocesser.
- Punkt 6.4.2: også konfigurationsændringer er omfattet af ændringsstyringen og skal skrives ned, prøves af og vurderes på forhånd.
- Punkt 6.4.3: en ændring lavet i nødstilfælde noteres med resultat og forklaring på, hvorfor proceduren blev fraveget.
“Cyberforsvar der virker” fra Center for Cybersikkerhed, 2023, nævner logning af konfigurationsændringer blandt de tekniske tiltag. NIST skriver, at systemlogs kan vise ændringer af sikkerhedspolitikker og konti, herunder oprettelse, sletning og tildeling af rettigheder (SP 800-115 fra 2008, afsnit 3.2).
For finansielle enheder under DORA skal det efter delegeret forordning 2024/1774, artikel 13, litra h, være fastlagt, hvem der gør hvad, når en firewallregel oprettes, godkendes, ændres eller tages op til revision.
Tre steder, ændringerne skal kunne ses
Det er praksis at se på tre lag, fordi de logger forskelligt.
- Firewall og netværksudstyr · Hvad der skal kunne ses: Ændringer af regler, objekter og administrative indstillinger, med konto og tidspunkt · Typisk kilde: Udstyrets egen ændringslog eller revisionshistorik, sendt til central logning
- Katalog · Hvad der skal kunne ses: Ændringer af grupper, konti, politikker og delegeringer · Typisk kilde: Sikkerhedsloggen på domænecontrollerne, hvis revisionspolitikken er sat til at skrive dem
- Lejer i skyen · Hvad der skal kunne ses: Ændringer af roller, politikker, deling og sikkerhedsindstillinger · Typisk kilde: Lejerens auditlog
Fælles for dem er, at logningen skal være slået til, gemmes længe nok og ikke kunne slettes af den, der laver ændringerne.
Sådan bruges loggen i en gennemgang
En fremgangsmåde, der er sitets forslag:
- Træk ændringerne for en periode. Vælg fx de seneste tre måneder for firewallen, administratorgrupperne og lejerens sikkerhedsindstillinger.
- Sammenlign med ændringsstyringen. Find for et udvalg af ændringer den tilhørende sag eller godkendelse.
- Se efter mønstre. Er der ændringer uden sag? Ændringer foretaget af konti, der ikke burde have rettighederne? Ændringer om natten uden nødprocedure? Pauser i logningen?
- Kontrollér nødændringerne. Er de dokumenteret med begrundelse, og er de fulgt op?
Det er ikke nødvendigt at gennemgå alle ændringer. En stikprøve, der viser, om sager og log stemmer, siger meget om, hvor godt opsætningen er styret.
Vælg stikprøven, så den rammer både almindelige hverdage og perioder med travlhed eller ferie, hvor ændringer lettere bliver lavet hurtigt og uden sag. Notér for hver ændring i stikprøven, om sagen fandtes, om den var godkendt før ændringen, og om ændringen svarer til det, sagen beskrev.
Når loggen mangler
Det sker, at en ændringslog ikke findes, er slået fra eller kun gemmes i få dage. Så kan gennemgangen ikke vise, at opsætningen er styret, kun at den ser ud på en bestemt måde i dag. Det bør stå i rapporten.
Mangler loggen for netop de kritiske systemer, er det i sig selv et fund. Det er også et af de fund, der er hurtigst at rette, fordi det oftest er en indstilling.
Når en leverandør laver ændringerne
Driver en leverandør firewall, servere eller lejer, laver leverandørens folk ændringerne. Loggen viser så leverandørens konti. Spørgsmålet er, om ændringerne svarer til de ændringer, I har bestilt eller godkendt. Det kræver, at I har læseadgang til loggen eller får den leveret. Hvordan kunden kontrollerer sin IT-leverandør mere bredt, er et andet emne.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ændringslogning er slået til på firewall, katalog og lejer, at loggene gemmes et sted, hvor de ikke kan slettes af den, der laver ændringer, og at nogen sammenligner log og sager med jævne mellemrum.
Uden ændringslog kan ingen sige, hvem der åbnede en regel, eller hvornår en konto blev administrator. Efter en hændelse er det ofte det første spørgsmål, og uden loggen er der intet svar.
Det skal I lade være med
- At lade administratorer kunne slette loggen over deres egne ændringer · så er den svag som bevis.
- At acceptere ændringer uden sag som en vane · ændringsstyringen holder så op med at virke.
- At glemme lejeren i skyen · den har sin egen log, der skal slås til og gemmes.
Det skal gennemgangen kunne vise
- ☐ Ændringslogning slået til på firewall, katalog og lejer, med opbevaringstid.
- ☐ En stikprøve af ændringer koblet til sager eller godkendelser.
- ☐ Nødændringer med begrundelse og opfølgning.
- ☐ Spor af, hvem der kan slette eller standse logningen.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 3.2.3 og 6.4, læst 13. november 2026.
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, trin 2, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk de seneste ti ændringer i jeres ydre firewall, og find sagen eller godkendelsen bag hver.
Læs også: Logning i lejeren · Revisionspolitikken på domænecontrollere og servere
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
