Gennemgangen kontrollerer tre ting ved backup af konfigurationer: at der findes en kopi af opsætningen for hvert stykke udstyr og hver tjeneste, at kopien er nyere end den seneste ændring, og at den kan indlæses igen. SAMSIK anbefaler netop det: konfigurationer med i backuppen og test af, at de kan indlæses.
Data får som regel backup. Opsætningen af firewallen, switchene, den trådløse controller, lejeren i skyen og skabelonerne til infrastrukturen gør det sjældnere. Den ligger i udstyret selv og i hovedet på den, der satte det op. Går udstyret i stykker, eller skal netværket genopbygges efter en hændelse, er det opsætningen, der tager tid at genskabe.
Hvad kilderne siger
SAMSIK anbefaler i vejledningen Cyberforsvar der virker, at konfigurationer og systemer, der er nødvendige for at retablere efter en større sikkerhedshændelse, også inkluderes i backup. Vejledningen siger, at det regelmæssigt bør testes, at backupindholdet er komplet, og at data og konfigurationer kan indlæses fra backup. I vejledningen om ransomware anbefaler SAMSIK backup af data og konfigurationer, opbevaret separat fra produktionsmiljøet og med en kopi offline, og test af, at backuppen kan bruges til reetablering. Vejledningerne er anbefalinger og ingen lov.
Forordning 2024/2690 kræver i bilaget fuldstændige og nøjagtige kopier, konfigurationsdata medregnet (punkt 4.2.2, litra b). Punkt 3.2.3, litra f, nævner desuden ændringer i kritiske konfigurationsfiler blandt det, der skal logges. Forordningen gælder en afgrænset kreds, fx udbydere af administrerede tjenester og cloud. For andre er punkterne en målestok.
CISA m.fl. anbefaler i #StopRansomware Guide, at skabelonfiler til infrastruktur som kode versionsstyres, at ændringer i dem auditeres, og at der holdes backup af dem offline.
Listen over opsætninger
Gennemgangen begynder med en liste over alt, der har en opsætning, som skal kunne genskabes. Listen er praksis og kan se sådan ud:
- Firewall · (eksport af hele regelsættet og systemopsætningen)
- Switche og routere · (konfigurationsfil pr. enhed)
- Trådløs controller · (eksport fra controlleren)
- Lejer i skyen · (udtræk af indstillinger for identitet, post og deling)
- Hypervisor og lager · (eksport af værtsopsætning)
- Skabeloner til infrastruktur · (versionsstyret kopi med offline udgave)
For hver linje noteres, hvor kopien ligger, hvornår den sidst blev taget, og hvornår opsætningen sidst blev ændret. Listen over netværksudstyr kan tages fra switche, routere og firewalls.
Er kopien aktuel?
Det vigtigste kontrolpunkt er datoen. En kopi af firewallens regelsæt fra sidste år hjælper lidt, men alle ændringer siden er tabt. Gennemgangen sammenligner datoen for seneste kopi med datoen for seneste ændring i udstyrets egen log eller i ændringsloggen. Er ændringen nyere end kopien, er kopien forældet.
Det er almindelig praksis at tage kopien automatisk ved hver ændring eller efter en fast plan, og at gemme flere udgaver, så en fejlagtig ændring kan rulles tilbage. Ingen kilde sætter et interval. Hvordan ændringsloggen bruges som bevis, står i ændringsloggen som bevis.
Lejeren i skyen
Lejerens indstillinger er en konfiguration som alle andre, og de skifter ofte uden at nogen tænker på dem som opsætning. Det er almindeligt at trække dem med platformens egne kommandoer og gemme resultatet med dato. Kopien bruges dels til at genskabe opsætningen, dels til at se, hvad der er ændret siden sidst. Udtrækket ligner det, en gennemgang af lejeren alligevel trækker, så de to opgaver kan løses samtidig.
Kan den indlæses?
SAMSIK’s anbefaling om at teste, at konfigurationer kan indlæses fra backup, er et kontrolpunkt, der let bliver sprunget over. En eksport kan være ufuldstændig, i et format, som en nyere version af udstyret ikke læser, eller uden de certifikater og nøgler, der skal bruges. Testen kan være at indlæse kopien i en enhed af samme type på et testnet eller i et testmiljø og se, at den virker. Den protokolleres som andre gendannelsestest med dato, hvem der gjorde det, og resultatet.
Hvor kopien ligger
Ligger kopien af firewallens opsætning kun på en server bag den samme firewall, kan den ikke hentes, når firewallen er nede. SAMSIK’s anbefaling om en kopi offline gælder også her. Gennemgangen spørger, hvor kopierne ligger, hvem der kan hente dem, og om de kan nås, når netværket selv er væk. Det hænger sammen med afhængighedskæden i gendannelse fra nul.
Når leverandøren har kopien
Kopier af netværksudstyrets opsætning kan blive taget af en leverandør, der driver netværket. Kontrolpunktet er så, at I selv har adgang til kopierne, eller at I efter aftalen kan kræve dem udleveret. Uden den adgang kan netværket ikke genskabes uden leverandøren, og den afhængighed bør være et bevidst valg.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over udstyr og tjenester, et udtræk af datoer for kopier og ændringer og en afprøvet indlæsning for de vigtigste enheder. Er kopierne automatiske, tager kontrollen kort tid.
Uden backup af konfigurationerne skal netværket genopbygges fra hukommelsen efter en hændelse. Det tager tid, og regler, der var tilføjet af en grund, kan blive glemt eller sat forkert.
Det skal I lade være med
- At gemme kopien af firewallens opsætning kun bag samme firewall · hav en kopi, der kan nås, når den er nede.
- At stole på en eksport, der aldrig er indlæst · afprøv den.
- At glemme lejerens indstillinger · de er også en konfiguration.
Det skal gennemgangen kunne vise
- ☐ En liste over udstyr og tjenester med opsætning, der skal kunne genskabes.
- ☐ Dato for seneste kopi og seneste ændring for hver.
- ☐ Placering af kopierne, herunder en kopi offline.
- ☐ Protokol for en afprøvet indlæsning af de vigtigste konfigurationer.
- ☐ Log over ændringer i kritiske konfigurationsfiler.
Kilder
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, område 6, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave april 2023, s. 5, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1, bilagets punkt 3.2.3 og 4.2.2, læst 13. november 2026.
- CISA, MS-ISAC, NSA og FBI, #StopRansomware Guide, september 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen for den seneste kopi af firewallens opsætning, og sammenlign den med datoen for seneste ændring.
Læs også: Infrastruktur som kode · Er alt med i backuppen?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
