Bevis og metode: fra udtræk til et fund, der holder

Et fund er kun så godt som det, det bygger på. Kan driften ikke se, hvilket udtræk der viste afvigelsen, eller ikke selv køre den samme kontrol igen, bliver rettelsen et gæt og opfølgningen en diskussion. Artiklerne her handler om metoden bag fundene: hvordan udtræk trækkes, så de kan regnes efter, hvorfor politikken og den faktiske indstilling skal skilles ad, hvordan historik viser, at en kontrol har virket, og hvordan alvorligheden vurderes, når der ingen score er.

Beviset for et fund

• Bevis for et konfigurationsfund: udtræk, skærmbillede og kommando, der kan gentages Tidspunkt, kilde og den konto, der målte.
• Udtræk med script og API: et format, auditoren kan regne efter Rådata frem for et pænt regneark.
• Den effektive indstilling og den tiltænkte: politik, arv og lokale undtagelser Det, der faktisk gælder på maskinen.
• Er kontrollen der, eller har den virket? Historik som bevis i teknikken Et år i systemernes egne spor.
• Ændringsloggen som bevis: hvem ændrede hvad i firewall, katalog og lejer Ændringer holdt op mod ændringsstyringen.
• Systemlisten bygget fra systemerne selv: DHCP, DNS, katalog, hypervisor og cloud-API som kilder Forskellene viser det, ingen ejer.

Vurdering og undtagelser

• Samtalerne med driftsfolkene: det, opsætningen ikke selv fortæller Spørgsmålene, kun driften kan svare på.
• Alvorlighed af konfigurationsfund: eksponering, rettigheder og konsekvens, når der ikke er en score En rangordning uden CVE-nummer.
• Undtagelseslisten: afvigelser fra baseline og sårbarheder, der ikke rettes, med begrundelse og udløb Bevidste valg skilt fra huller.

Forløbet og den, der gennemgår

• Forløbet fra første møde til rapport: driftens arbejde uge for uge Rækkefølgen, så travle uger kan undgås.
• Valg af auditor til teknikken: kan vedkommende læse en opsætning? Erfaring med drift frem for værktøjer.

Sådan kommer I i gang

Tag ét kontrolpunkt, I mener at have styr på, fx at den indbyggede gæstekonto er slået fra, eller at MFA kræves for administratorer. Skriv den kommando eller det API-kald op, der viser status, kør det, og gem resultatet med dato, kilde og den konto, der kørte det. Kør det samme en uge senere og sammenlign. Hvis de to resultater kan lægges ved siden af hinanden uden forklaring, har I et bevis, der kan genbruges. Hvis de ikke kan, er det formatet, der skal rettes, før en gennemgang begynder.

Begynd samtidig en undtagelsesliste med de afvigelser, I allerede kender og har valgt at leve med. Den sparer tid i samtalerne, fordi spørgsmålet om hvorfor allerede er besvaret.

Hvad det kræver, og hvad det koster at lade være

Udtræk i et format, der kan gentages, kræver, at en tekniker skriver eller tilpasser nogle få scripts pr. platform og gemmer dem et fast sted. Det er arbejde, der betaler sig tilbage ved hver senere kontrol. Uden det bliver hver gennemgang en ny jagt på skærmbilleder, fund kan ikke efterprøves, og en opfølgning kan ikke sige, om noget faktisk er rettet. Uden en undtagelsesliste ser bevidste valg ud som fejl, og fejl kan gemme sig blandt valgene.

Det skal I lade være med

• At sende bearbejdede regneark i stedet for rådata · den, der læser, skal kunne regne efter.
• At tage politikken for den faktiske indstilling · mål på maskinen.
• At lade alvorlighed afhænge af, hvem der fandt fejlen · brug faste kriterier.
• At godkende undtagelser uden udløbsdato · de skal ses på igen.

Det skal gennemgangen kunne vise

• ☐ For hvert fund: udtrækket, kommandoen, tidspunktet og kontoen.
• ☐ Forskellen mellem politikkens værdi og den værdi, maskinen kører med.
• ☐ Historik, der viser, at kontrollen har virket over tid.
• ☐ En undtagelsesliste med begrundelse, godkender og dato.

Senest gennemgået: november 2026.

Næste skridt

• Bevis for et konfigurationsfund
• Udtræk med script og API

Læs også: Målestokke · Fund og opfølgning

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT