Den lokale firewall gennemgås i to trin. Først om den er slået til i alle profiler på alle maskiner. Derefter hvad reglerne tillader, og om hver regel stadig har en grund.
Reglerne fortæller også noget andet. Et program, der har fået lov at lytte på en port, er installeret på maskinen. Regelsættet er på den måde en liste over, hvad der kører.
Målestokkene
For statslige myndigheder er minimumskrav 1 opfyldt, når der er firewall på klienterne, myndigheden aktivt har forholdt sig til den nødvendige ind- og udgående trafik, og politikken kun tillader det nødvendige. Kravet binder staten. For andre er det en målestok, og de tre led er en brugbar opdeling.
SAMSIK anbefaler i vejledningen om ransomware: “Beskyt klienter med antivirus og firewall.”
NIST SP 800-115 fra 2008 regner værtsbaserede firewalls med i gennemgangen af regelsæt (afsnit 3.3). For værtsbaserede regelsæt kontrolleres det, at reglerne ikke afslører bagdøre, spyware eller programmer, der ikke må bruges. For alle regelsæt gælder, at hver regel stadig skal være nødvendig, og at ingen porte står unødigt åbne.
Microsoft anbefaler værtsbaserede firewalls til at styre kommunikation og nævner regler, der kun tillader fjernskrivebord til domænecontrollere fra autoriserede systemer.
Slået til i alle profiler
Microsoft beskriver Windows Firewall som værtsbaseret og slået til som standard i alle udgaver. Som standard blokerer den indgående trafik, der ikke er bedt om eller passer til en regel. Den har tre profiler:
- domæne, som vælges automatisk, når en domænecontroller kan nås,
- privat,
- offentlig, som er standard for ukendte net.
Kommandoen Get-NetConnectionProfile viser, hvilken netværkskategori maskinen bruger lige nu.
Kontrollen er, om firewallen er slået til i alle tre profiler, og om politikken har ændret standarden. Et typisk fund er, at den er slået fra i domæneprofilen, fordi den var i vejen for noget engang. Det betyder, at maskinen er ubeskyttet netop på det interne net.
Et andet fund er en bærbar, der står i den private profil på et offentligt net, fordi brugeren har valgt det. Hvilke regler der gælder der, afhænger af, hvordan profilen er sat op.
Hvad reglerne tillader
Det andet trin er at læse reglerne. En gennemgang kan sortere dem:
- regler, der kommer fra styresystemet,
- regler, der er lagt ud centralt med politik,
- regler, der er tilføjet lokalt, fx når et program blev installeret.
Den tredje gruppe er den mest interessante. Lokale regler viser, hvad brugere eller installationer har åbnet. De kan også vise programmer, der ikke burde være på maskinen. NIST nævner netop det som formålet med at læse værtsbaserede regelsæt.
Et udbredt valg er at lade centrale regler overskrive lokale, så kun det, driften har besluttet, gælder. Om det er valgt, står i politikken.
Servere
På servere er spørgsmålet lidt anderledes. Her skal nogle porte være åbne, men kun for de afsendere, der har brug for dem. Gennemgangen læser, om indgående regler er begrænset til bestemte adresser, eller om de er åbne for alle. Microsofts anbefaling om at begrænse fjernskrivebord til domænecontrollere er et godt eksempel på den slags regel. Den er nærmere beskrevet i domænecontrollere som særligt kontrolpunkt.
Linux-servere har deres egne værtsbaserede filtre. Kontrollen er den samme: Er filteret aktivt, og er åbne porte begrænset til det nødvendige.
Udgående trafik
Statens krav 1 nævner både ind- og udgående trafik. De fleste lokale firewalls står med udgående trafik åben, og det er et bevidst valg i mange miljøer. Kravet siger blot, at myndigheden aktivt skal have forholdt sig til den. Kontrollen er derfor, om der findes en beslutning om udgående trafik, og om den er skrevet ned. Er den udgående trafik åben, kan begrundelsen være, at den filtreres et andet sted. Så skal det andet sted kunne vises.
Udtrækket
Grundlaget er den centrale politik for firewallen og et udtræk fra et lille udvalg af maskiner, der viser profilernes tilstand og de effektive regler. Det er almindelig praksis at tage maskiner fra hver rolle, fx en almindelig klient, en bærbar og en server af hver type. Udtrækket skal have maskinnavn og tidspunkt.
Firewallen i netværkets kant er et andet kontrolpunkt med sit eget udtræk. Det er beskrevet i firewallens regelsæt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften kan trække politikken og output fra et udvalg af maskiner. Det tager kort tid. Rettelser kan derimod tage tid, fordi en firewall, der har været slået fra, skal slås til uden at stoppe noget.
En lokal firewall, der er slået fra på det interne net, betyder, at alt, der kommer ind på en maskine, frit kan tale med de andre. Den lokale firewall er et af de få lag, der virker, også når kanten er passeret.
Det skal I lade være med
- At slå firewallen fra i domæneprofilen for at løse et problem · lav en smal regel i stedet.
- At lade lokale regler leve uden at se på dem · de viser, hvad der er installeret.
- At åbne serverporte for alle afsendere · begræns til de adresser, der har brug for dem.
Det skal gennemgangen kunne vise
- ☐ Firewallens tilstand i alle profiler på et udvalg af maskiner pr. rolle.
- ☐ Den centrale politik, og om den tillader lokale regler.
- ☐ En liste over lokalt tilføjede regler med forklaring.
- ☐ Indgående regler på servere med de afsendere, de gælder for.
Kilder
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 1, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment (2008), afsnit 3.3, læst 13. november 2026.
- Microsoft Learn, Windows Firewall overview, læst 13. november 2026.
- Microsoft Learn, Best practices for securing Active Directory, læst 13. november 2026.
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 8, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk firewallens tilstand i alle tre profiler fra fem maskiner af forskellig type, og sammenlign med politikken.
Læs også: Udgående trafik: hvad må serverne tale med? · Fjernskrivebord og terminalservere
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
