En gennemgang læser opsætningen, en scanning spørger systemerne udefra eller indefra, og en penetrationstest forsøger at udnytte det, der findes. De tre stiller forskellige krav til driften og giver forskellige slags fund, så valget afgør, hvad I får bevis for.
NIST’s vejledning fra 2008, SP 800-115, deler de tekniske teknikker i netop tre grupper: gennemgang, identifikation og analyse af mål samt validering af sårbarheder. Vejledningen understreger, at ingen af dem alene giver det fulde billede. Denne artikel ser på dem fra driftens side.
Gennemgang: læsning med rettigheder
Gennemgangsteknikkerne omfatter læsning af dokumenter, logs, regelsæt og konfiguration. NIST beskriver dem som passive og skriver, at de typisk udføres manuelt.
For driften betyder det adgang frem for åbninger. Den, der gennemgår, skal kunne se politikker, kontolister, regelsæt og indstillinger. NIST bemærker, at visse sikkerhedsindstillinger kun kan ses med administrator- eller root-rettigheder, og at konfigurationsfiler fra netudstyr bør hentes af driftens egne administratorer, så intet ændres ved et uheld.
Fundene er afvigelser fra en målestok. Det kan være en politik, der ikke er sat, en konto med flere rettigheder end opgaven kræver eller en firewallregel uden forklaring. NIST skriver, at test sjældnere end undersøgelser finder svagheder i politik og konfiguration. Her er gennemgangen stærkest.
Scanning: automatiske spørgsmål til nettet
Den anden gruppe er identifikation og analyse af mål: netværksopdagelse, identifikation af porte og tjenester, sårbarhedsscanning og scanning af trådløse net. NIST skriver, at den typisk udføres med automatiske værktøjer.
Driften skal her åbne for trafik i stedet for at give læserettigheder. Scanneren skal kunne nå de adresser, der er aftalt, og en scanning med login kræver en konto på målene. Det skal aftales, hvilke adresser der er med, og hvilke der står på en udelukkelsesliste.
NIST peger på tre forhold, driften bør kende. En netværksbaseret scanning finder kun sårbarheder på systemer, der er tændt og svarer. Den giver en høj andel af falske positive, så resultatet skal fortolkes af en, der kender net og styresystemer. Og den skaber trafik, der kan belaste net og værter. Scannerens egne risikoniveauer skal heller ikke tages for gode varer; NIST siger, at den, der vurderer, selv bør fastsætte risikoen for hver sårbarhed.
Fundene er typisk forældede versioner, manglende opdateringer og tjenester, der ikke burde svare.
Scanningen har også en grænse, der handler om summen af fund. NIST skriver, at summen af flere svagheder, hver med lav risiko, kan blive til en høj risiko, og den sammenhæng ser scanneren ikke. Det er en af grundene til, at resultatet skal læses af et menneske, før det bliver til en liste over rettelser. En rå scannerrapport er råmateriale til en vurdering.
Validering: en anden ydelse
Den tredje gruppe er validering af sårbarheder. Her hører penetrationstest hjemme. Den afprøver, om en sårbarhed kan udnyttes, og hvad en angriber kan nå bagefter.
På dette site er validering afgrænset fra. Den kræver sin egen aftale og sin egen leverandør og ligger uden for en teknisk gennemgang. Det, der er relevant her, er forholdet til de to andre teknikker. NIST skriver, at enhver test, der rører systemer direkte, kan give uventede stop og nedbrud, og at organisationen bør fastlægge, hvor meget indgriben den accepterer.
Tre teknikker side om side
- Gennemgang · Driftens bidrag: Læserettigheder og udtræk · Risiko for driften: Minimal efter NIST · Typisk fund: Afvigelse fra målestok
- Scanning · Driftens bidrag: Åbning for trafik, evt. konto til login · Risiko for driften: Belastning af net og værter · Typisk fund: Forældet version, manglende opdatering, åben tjeneste
- Validering · Driftens bidrag: Særskilt aftale · Risiko for driften: Mulige stop og nedbrud · Typisk fund: Udnyttelig svaghed
Tid og forberedelse pr. teknik har ingen fast regel. Det er almindelig praksis, at en gennemgang kræver mest af driften i starten, når udtrækkene skal trækkes, mens en scanning kræver mest i planlægningen af adresser og tidspunkter.
Hvad hver kan bevise
En gennemgang kan bevise, at en indstilling er sat eller ikke sat, at en regel findes, og at en konto har bestemte rettigheder. Den kan ikke bevise, at afvigelsen kan udnyttes.
En scanning kan bevise, at en tjeneste svarede på en bestemt adresse på et bestemt tidspunkt, og hvilken version den meldte. Den kan ikke se indstillinger, der ikke er synlige over nettet, og den overser maskiner, der var slukket.
Validering kan vise, at en vej ind faktisk virker. Den siger sjældent noget om de mange indstillinger, der aldrig blev prøvet.
Derfor kombineres teknikkerne ofte. En gennemgang af opsætningen kan suppleres med en scanning af det, der står mod internettet, og driften kan selv køre mange af scanningerne mellem to gennemgange.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I vælger teknik efter det spørgsmål, I vil have besvaret. Vil I vide, om opsætningen følger en målestok, er gennemgangen svaret. Vil I vide, hvad der svarer på nettet, er det scanningen.
Vælges teknikken efter vane, får I bevis for noget andet end det, I havde brug for. En rapport fra en scanning kan se omfattende ud og stadig ikke sige noget om adgangsstyringen i kataloget.
Det skal I lade være med
- At kalde en scanning for en gennemgang · scanneren ser ikke politikker og rettigheder.
- At acceptere scannerens risikoniveau uden vurdering · NIST anbefaler at fastsætte risikoen selv.
- At scanne uden aftalt udelukkelsesliste · de skrøbelige systemer skal stå på den.
Det skal gennemgangen kunne vise
- ☐ Hvilke af de tre teknikker der er brugt, og hvilke der ikke er.
- ☐ For scanninger: adresser, tidspunkt og om der var login.
- ☐ For konfigurationsfund: målestok og udtræk.
- ☐ At falske positive er frasorteret, og hvordan.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.2, 2.3, 3.4 og 4.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv det spørgsmål ned, I vil have svar på, og vælg teknikken ud fra det.
Læs også: Teknisk sikkerhedsgennemgang · Sårbarhedsscanning med login som del af gennemgangen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
