Når en bruger åbner en vedhæftet fil, afgøres resten af forløbet af klientens opsætning. Kan filen køre makroer, kan brugeren starte et vilkårligt program, og har brugeren administratorrettigheder på maskinen?
Gennemgangen læser de politikker, der svarer på de tre spørgsmål, og kontrollerer på et udvalg af maskiner, at de faktisk virker.
Målestokkene for klienten
SAMSIK anbefaler i vejledningen om ransomware fra april 2023, at “Anvendelsen af indlejret kode som eksempelvis makroer og JS-scripts begrænses eller blokeres”. Samme vejledning anbefaler at fjerne eller blokere adgangen til PowerShell og andre administrationsværktøjer for brugere uden administrative opgaver. En af dens elleve tekniske anbefalinger lyder: “Udarbejd en positivliste over applikationer”. Det er anbefalinger, ikke krav.
CISA og NSA har i AA23-278A fra oktober 2023 samlet ti fejlopsætninger, som deres egne hold har mødt i store organisationer. Listen er udtrykkeligt ikke prioriteret. Et af punkterne er ubegrænset kodekørsel. Afbødningen omfatter programkontrol, der som udgangspunkt begrænser, hvad der må køre, og som genkender programmer på deres signatur frem for på filnavnet. Den omfatter også begrænsning af scriptsprog og blokering af kendte sårbare drivere.
CISA’s vejledning mod ransomware fra september 2023 tilføjer, at makroer skal være slået fra i Office-filer, der kommer med mail.
For statslige myndigheder siger minimumskrav 6, at almindelige brugere ikke har administratorrettigheder på klienten. Kravet er bindende for staten. For en privat virksomhed er det en dateret dansk målestok.
Makroer
Microsoft oplyser, at Office som standard blokerer makroer i filer fra internettet. Microsoft anbefaler politikken “Block macros from running in Office files from the Internet” som en del af sin sikkerhedsbaseline for Microsoft 365 Apps.
At en standard findes, betyder ikke, at den gælder i jeres miljø. En politik kan have slået den fra, og nogle afdelinger har ofte fået en undtagelse til et regneark med makroer. Gennemgangen læser derfor den effektive politik frem for producentens standard.
Kontrolspørgsmålene er:
- Hvilken politik styrer makroer, og hvilke brugere og maskiner rammer den?
- Er makroer i filer fra internettet og fra mail blokeret?
- Findes der undtagelser, fx betroede placeringer eller signerede makroer, og hvem har godkendt dem?
Undtagelser er ikke i sig selv et fund. Et fund er en undtagelse, som ingen kan forklare, eller som dækker hele firmaet for at løse ét regneark.
Programkontrol og scriptsprog
Programkontrol betyder, at kun godkendte programmer kan starte. Gennemgangen ser på tre ting. Er der en regel overhovedet? Er den sat til at håndhæve eller kun til at logge? Og bygger reglerne på signatur og udgiver, eller på filnavn og mappe?
En regel, der tillader alt i en mappe, hvor brugeren selv kan skrive, giver kun lidt beskyttelse. Det er en praksisbetragtning og ikke en læst regel, men den følger af CISA’s pointe om signatur frem for filnavn.
Scriptsprog læses for sig. Kontrollen er, om brugere uden administrative opgaver kan starte kommandofortolkere og administrationsværktøjer, og om brugen bliver logget. SAMSIK nævner PowerShell ved navn. Kommandoerne til at liste effektive regler er forskellige fra platform til platform, og driften kender dem bedst. Gennemgangen beder om udtrækket og en prøve fra en almindelig brugers maskine.
Rettighederne på klienten
Kan brugeren installere programmer og ændre indstillinger, hjælper de andre kontroller mindre. En bruger med lokale administratorrettigheder kan ofte slå en politik fra igen. Opgørelsen af, hvem der er lokal administrator, er et kontrolpunkt for sig og står i lokale administratorer på klienter og servere.
Her er spørgsmålet blot, om almindelige brugere arbejder uden administratorrettigheder, og hvordan de få, der har brug for mere, får det.
Browseren
Der er ingen læst kilde med konkrete browserindstillinger, som vi kan holde opsætningen op imod. SAMSIK’s vejledning nævner sikker DNS eller proxy som en del af forsvaret. Gennemgangen kan derfor nøjes med at konstatere, om browseren styres centralt, om der er en fast udgave i drift, og om trafikken går gennem den DNS eller proxy, driften har valgt. Konkrete indstillinger hører til i jeres egen baseline.
Udtrækket
Bevis for klientens opsætning kommer fra to steder. Det første er politikken i styringsværktøjet eller gruppepolitikken med de grupper, den er knyttet til. Det andet er den effektive indstilling på en håndfuld maskiner fra hver type, fx en almindelig kontor-pc, en bærbar til salg og en maskine i produktionen. Hvordan maskinerne udvælges, er beskrevet i stikprøve af servere og klienter.
Afvigelsen viser sig, når de to ikke stemmer. En politik, der aldrig er nået ud til en del af maskinerne, er et typisk fund.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften kan trække politikkerne og vise den effektive indstilling på udvalgte maskiner. Stramninger af makroer og programkontrol rammer brugerne, så rettelserne skal afprøves og varsles. Det tager tid, men kontrollen af, hvor I står, kan driften lave selv.
Uden kontrol bliver undtagelser til standard. Hver af dem var en løsning på et konkret problem. Tilsammen kan de betyde, at en vedhæftet fil kan køre kode på de fleste maskiner, uden at nogen har besluttet det.
Det skal I lade være med
- At regne producentens standard for jeres opsætning · en politik kan have ændret den.
- At give hele firmaet en undtagelse for én afdelings regneark · giv undtagelsen til de maskiner og filer, der har brug for den.
- At lade programkontrollen stå i logtilstand uden plan · sæt en dato for, hvornår den håndhæver.
Det skal gennemgangen kunne vise
- ☐ Politikken for makroer med de grupper, den rammer, og dens undtagelser.
- ☐ Reglerne for programkontrol og deres tilstand, håndhævet eller logget.
- ☐ Effektive indstillinger fra et udvalg af maskiner pr. type.
- ☐ En opgørelse af brugere med administratorrettigheder på egen klient.
- ☐ Begrundelse og godkender for hver undtagelse.
Kilder
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 8 til 10, læst 13. november 2026.
- CISA og NSA, AA23-278A, Top Ten Cybersecurity Misconfigurations (5. oktober 2023), tabel 10, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide (september 2023), læst 13. november 2026.
- Microsoft Learn, Macros from the internet are blocked by default in Office, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk politikken for makroer med dens undtagelser, og sammenlign den med den effektive indstilling på tre maskiner.
Læs også: Den effektive indstilling og den tiltænkte · Mac og Linux blandt klienterne
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
