Står I med en liste over fejlopsætninger, mangler der ofte den score, som en sårbarhed i software har. En konto med alt for mange rettigheder har intet CVE-nummer, og det har en åben administrationsflade heller ikke, og derfor må alvorligheden vurderes ud fra, hvor eksponeret fejlen er, hvilke rettigheder den giver, og hvad konsekvensen er, hvis den udnyttes.
Modellen i denne artikel er sitets egen. Den er ikke en standard, men en måde at gøre vurderingen ens fra fund til fund.
Hvorfor værktøjets niveau ikke er nok
NIST skriver i vejledningen fra 2008 om sårbarhedsscannere, at de bruger deres egne risikoniveauer, og at den, der vurderer, bør fastlægge det passende risikoniveau for hver sårbarhed i stedet for blot at acceptere scannerens (SP 800-115, afsnit 4.3). NIST peger også på, at nogle små svagheder kan lægge sig oven i hinanden og blive til en stor, hvad scanneren ikke kan opdage.
Det gælder i endnu højere grad for konfigurationsfund. Et måleværktøj kan markere en afvigelse fra en benchmark som høj eller lav, men det kender ikke jeres net, jeres konti eller jeres data. En indstilling, der er uden betydning på en isoleret testmaskine, kan være alvorlig på en domænecontroller.
Tre spørgsmål til hvert fund
Sitets model stiller tre spørgsmål. Hvert besvares med lav, middel eller høj.
- Eksponering: hvem kan nå fejlen? · Lav: Kun administratorer fra adskilte maskiner · Middel: Brugere på det interne net · Høj: Alle på internettet eller gæstenettet
- Rettigheder: hvad giver fejlen adgang til? · Lav: Én almindelig brugers data · Middel: En gruppe systemer eller en afdelings data · Høj: Administrator i katalog, lejer eller hypervisor
- Konsekvens: hvad sker der, hvis den udnyttes? · Lav: Begrænset og let at genoprette · Middel: Driftsforstyrrelse eller tab af data i et afgrænset område · Høj: Hele miljøet, backup eller følsomme data på spil
Fundets samlede alvorlighed følger det højeste svar, medmindre der er en god grund til andet. Et fund med høj eksponering og lav konsekvens er stadig værd at rette hurtigt, fordi det kan være første led i en kæde.
Tænkte eksempler
Eksemplerne er tænkte og viser, hvordan modellen kan bruges:
- (En administrationsflade på en firewall kan nås fra internettet uden flerfaktor.) Eksponering høj, rettigheder høje, konsekvens høj. Samlet høj.
- (Tre servicekonti er medlem af en administratorgruppe i kataloget.) Eksponering middel, rettigheder høje, konsekvens høj. Samlet høj.
- (Et ældre krypteringsniveau er tilladt på en intern webserver, der kun bruges af én afdeling.) Eksponering middel, rettigheder lave, konsekvens middel. Samlet middel.
- (Lokale politikker på testmaskiner afviger fra baselinen.) Eksponering lav, rettigheder lave, konsekvens lav. Samlet lav.
Det andet eksempel viser, hvorfor rettigheder vejer tungt. En konto er ikke farlig i sig selv. Den er farlig, fordi det, der kan få fat i den, får alt det, kontoen kan.
Sammenhænge mellem fund
Fund skal også vurderes sammen. To fund, der hver for sig er middel, kan tilsammen være alvorlige. En konto med brede rettigheder er middel, når den kun kan bruges fra adskilte maskiner. Kan den også logge på fra almindelige klienter, ændrer det eksponeringen og dermed det samlede billede.
Det er derfor almindelig praksis at gennemgå de høje fund en ekstra gang og spørge, om andre fund gør dem værre, eller om et middel fund bliver højt i kombination.
Kritiske fund venter ikke på rapporten
Efter NIST’s afsnit 7.3 skal et kritisk fund straks videre til den person, planen har peget på. Finder gennemgangen noget, der kan udnyttes udefra og giver brede rettigheder, bør driften høre om det samme dag. Det kræver, at planen siger, hvem der skal have besked, og hvordan.
Hvad forordningen siger om vurderingen
For de digitale tjenesteudbydere, forordning 2024/2690 omfatter, kræver bilagets punkt 6.5.2, at dokumentationen af sikkerhedstest rummer en vurdering af hvert fund: hvor kritisk det er, og hvilke foranstaltninger der kan dæmpe det. Forordningen siger ikke, hvordan vurderingen laves. For andre er punktet en målestok for, at hvert fund skal have en vurdering. Hvordan alvorlighed bruges i en samlet audit med konklusion, er et andet emne.
Afbødning trækker ned
Findes der en afbødning, kan den sænke vurderingen. En åben protokol er mindre alvorlig, hvis serveren kun kan nås fra et afgrænset segment. Afbødningen skal kunne ses i opsætningen, og den bør skrives ved fundet, så læseren kan se, hvorfor vurderingen er lavere end fejlen alene tilsiger.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der vurderer, kender miljøet godt nok til at svare på de tre spørgsmål, og at driften hjælper med at afklare eksponering og rettigheder. Svarene skal skrives ved hvert fund.
Uden en fast model bliver alvorligheden et skøn, der skifter fra fund til fund. Så kommer de lette rettelser først, og fejlen, der giver adgang til hele kataloget, venter.
Det skal I lade være med
- At overtage måleværktøjets niveau uden vurdering · det kender ikke jeres miljø.
- At vurdere fund hver for sig, når de hænger sammen · kombinationen kan være værre.
- At vente med kritiske fund til rapporten · de meldes straks.
Det skal gennemgangen kunne vise
- ☐ En vurdering af eksponering, rettigheder og konsekvens for hvert fund.
- ☐ Begrundelse, hvor en afbødning sænker vurderingen.
- ☐ En gennemgang af sammenhænge mellem de høje fund.
- ☐ Spor af, at kritiske fund er meldt straks til den aftalte kontaktperson.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 4.3 og 7.3, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.5.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de fem øverste fund på jeres nuværende liste, og svar på de tre spørgsmål for hvert.
Læs også: Prioritering af sårbarheder · Administrationsflader, der kan nås fra brugernettet eller internettet
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
