Kontrollen af endpoint-beskyttelse handler sjældent om, hvilket værktøj I har valgt. Den handler om tre spørgsmål: Er beskyttelsen på alle maskiner, der skal have den? Hvilke filer, mapper og processer er undtaget? Og hvem kan slå den fra?
Svarene ligger i styringsværktøjets egen konsol og i de politikker, der er lagt ud derfra. Gennemgangen læser dem og afstemmer dem mod systemlisten.
Målestokken
Punkt 6.9.2 i bilaget til gennemførelsesforordning (EU) 2024/2690 handler om foranstaltninger, der opdager eller forhindrer skadelig eller uautoriseret software. Hvis det er relevant, skal der være software til at opdage og afhjælpe, og den skal ajourføres regelmæssigt. Bilaget gælder for en snæver gruppe af digitale tjenesteudbydere, herunder administrerede tjenester og cloudtjenester. Andre kan holde opsætningen op imod det, men det er en tolkning, at det giver mening.
For statslige myndigheder er minimumskrav 4 endpoint-beskyttelse med automatisk opdatering på klienterne. Vejledningen siger, at antivirus med automatisk opdatering er tilstrækkeligt. Kravet er bindende for staten og en målestok for andre.
SAMSIK anbefaler opdateret antivirus på både klienter og servere.
Microsoft skriver i sin vejledning om at sikre Active Directory, at antivirus skal installeres og opdateres på alle systemer, og at forsøg på at fjerne eller slå det fra skal overvåges. Microsoft nævner huller i udrulningen af antivirus og antimalware som den første af de almindelige indgangsveje i sin oversigt.
Ingen af de læste kilder beskriver, hvordan undtagelser eller retten til at slå beskyttelsen fra kontrolleres. Den del af artiklen er praksis.
Dækningen
Dækning måles ved at sammenligne to lister. Den ene er de maskiner, styringsværktøjet kender, med status for hver: aktiv, opdateret og sidst set. Den anden er systemlisten med alle klienter og servere, I ejer.
Fundene opstår i forskellen. Det kan være:
- maskiner, som systemlisten kender, men værktøjet aldrig har set,
- maskiner, der er tilmeldt, men ikke har meldt sig i lang tid,
- maskiner, hvor beskyttelsen er installeret, men ikke opdateret,
- servere, der er holdt ude, fordi nogen var bange for, at beskyttelsen ville gøre dem langsomme.
Den sidste gruppe er værd at se på for sig. SAMSIK og Microsoft nævner begge servere. Er en server holdt ude, bør der være en begrundelse og en anden beskyttelse i stedet.
Undtagelserne
Næsten alle miljøer har undtagelser. De er ofte nødvendige for databaser, backup og forretningssystemer, som producenten har skrevet en anbefaling for. Undtagelser bliver et fund, når de er bredere end nødvendigt, eller når ingen kan forklare dem.
En gennemgang kan sortere undtagelserne i tre grupper:
- smalle undtagelser med en kendt begrundelse, fx en bestemt databasefil,
- brede undtagelser, fx en hel disk, en mappe, hvor brugere kan skrive, eller alle filer af en type,
- undtagelser uden begrundelse og uden ejer.
Den anden og tredje gruppe er dem, der skal rettes eller forklares. Det er også værd at se, om undtagelserne er lagt i en politik, der gælder alle, eller kun på de maskiner, der har brug for dem.
Hvem kan slå den fra
Beskyttelsen er kun så stærk som den svageste konto, der kan slå den fra. Kontrollen ser på to lag.
Det første er konsollen. Hvem har rettigheder til at ændre politikker, tilføje undtagelser og fjerne maskiner? Gruppen bør være lille og bestå af personlige konti.
Det andet er maskinen. Kan en lokal administrator afinstallere eller sætte beskyttelsen på pause? Mange værktøjer har en beskyttelse mod netop det. Om den er slået til, står i politikken. Opgørelsen af lokale administratorer hører til i lokale administratorer på klienter og servere.
Microsofts råd om at overvåge forsøg på at fjerne eller slå beskyttelsen fra giver et sidste kontrolpunkt: Kommer der en alarm, når det sker, og hvem modtager den?
Udtrækket
Et brugbart grundlag er tre udtræk fra konsollen: maskinlisten med status og sidst set, listen over politikker med undtagelser og listen over konti og roller i konsollen. Hertil kommer systemlisten. Med de fire kan dækningen måles, og undtagelserne kan læses, uden at nogen ændrer noget.
Udtrækkene skal have en dato og vise, hvilken konto der trak dem. Det gør det muligt at gentage målingen om et halvt år og se, om hullerne er lukket. En opfølgende måling med samme udtræk er det enkleste bevis på, at rettelserne holdt.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til konsollen og en systemliste. Afstemningen kan driften lave selv, og den er værd at gentage, hver gang nye maskiner rulles ud.
En maskine uden beskyttelse eller med en undtagelse for en hel disk er usynlig i konsollens grønne oversigt. Det er netop den maskine, der ikke bliver opdaget.
Det skal I lade være med
- At læse dækningen i konsollen alene · konsollen kender kun de maskiner, den har set.
- At lægge undtagelser i den politik, der gælder alle · giv dem til de maskiner, der har brug for dem.
- At give mange konti ret til at ændre politikker · hold gruppen lille og personlig.
Det skal gennemgangen kunne vise
- ☐ En afstemning af konsollens maskinliste mod systemlisten.
- ☐ Maskiner, der ikke har meldt sig i en periode, med forklaring.
- ☐ Alle undtagelser i politikkerne, hver med begrundelse og ejer.
- ☐ Konti og roller med ret til at ændre politikker.
- ☐ Om forsøg på at slå beskyttelsen fra giver en alarm.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.9.2, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 4, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.1, læst 13. november 2026.
- Microsoft Learn, Best practices for securing Active Directory, læst 13. november 2026.
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 10, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk maskinlisten fra konsollen med sidst set, og find de maskiner, der står i systemlisten, men ikke i konsollen.
- Klienter og mobile enheder
- Undtagelseslisten: afvigelser fra baseline og sårbarheder, der ikke rettes
Læs også: Klienternes opsætning · Alarmer: findes reglerne, og reagerer nogen?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
