En sårbarhedsscanning med login bruger en konto på de scannede maskiner og kan derfor læse installerede versioner og indstillinger direkte. Den giver et langt mere detaljeret billede end en scanning, der kun ser maskinerne over nettet, og i en teknisk gennemgang bruges den som et øjebliksbillede, der belægger opdateringsniveau og opsætning på tværs af mange maskiner.
“Med login” er sitets eget udtryk. Målestokken, NIST SP 800-115 fra 2008, taler om scannere, der har legitimationsoplysninger på administratorniveau. Vejledningen er gammel, men ikke trukket tilbage, og beskrivelsen af forskellen mellem de to slags scanning holder stadig.
Forskellen på de to
NIST beskriver to måder at arbejde på. Nogle netværksbaserede scannere har administratorniveau-legitimationsoplysninger på de enkelte værter og kan hente sårbarhedsoplysninger med dem. Andre har ikke og må nøjes med at finde værter og åbne porte over nettet og slutte sig til resten.
Lokal scanning, hvor scanneren har en root- eller administratorkonto, finder ifølge NIST fejlopsætninger og sårbarheder med et højere detaljeniveau end netværksbaseret scanning. Den kan se installerede programmer, også dem, der ikke lytter på en port, og læse indstillinger, der ikke kan ses udefra.
En scanning uden login ser maskinen, som en angriber på nettet ville se den. Det er nyttigt, men det svarer på et andet spørgsmål. Til en gennemgang af opsætning og opdateringsniveau er scanningen med login den, der giver beviset.
Hvad den kræver af driften
Scanningen kræver en konto på de maskiner, der skal scannes. Kontoen bør oprettes til formålet, have de rettigheder, scanningen har brug for, og lukkes, når gennemgangen er slut. Den skal behandles som enhver anden privilegeret konto, med en ejer, en udløbsdato og logning af brugen.
NIST nævner, at scanning kan belaste net og værter. Det taler for at aftale tidspunkt og omfang med driften og at begynde med en mindre gruppe maskiner. Det er også almindelig praksis at undtage systemer, hvor producenten fraråder scanning, og at notere undtagelsen.
Scanningen ændrer ikke noget på maskinerne. Den læser. Men den kan udløse alarmer i overvågningen, og det er en god idé at give dem, der modtager alarmerne, besked på forhånd.
Resultatet er et råmateriale
NIST advarer om tre ting ved scanningens resultat. Scannere kan give mange falske positive. Resultaterne bør tolkes af en, der kender netværk og styresystemer. Og scannerens risikoniveau afspejler ikke nødvendigvis den faktiske risiko i jeres miljø, så den, der gennemgår, bør selv fastsætte niveauet.
Det betyder, at scanningsrapporten ikke er gennemgangens rapport. Den er et råmateriale, som skal læses, sorteres og efterprøves. Et fund i scanningen bliver først et fund i gennemgangen, når det er bekræftet, fx ved at se versionen på maskinen eller indstillingen i konfigurationen.
Sådan bruges den som bevis
Som bevis i en gennemgang skal scanningen kunne gentages og forstås. Det kræver, at følgende er dokumenteret:
- Hvilke net og maskiner der var omfattet, og hvilke der var undtaget med begrundelse.
- Hvilken konto der blev brugt, og at login faktisk lykkedes på hver maskine.
- Tidspunkt for scanningen.
- Hvilke fund der blev bekræftet, og hvordan.
Punktet om login er vigtigt. En scanning, hvor login fejlede på en del af maskinerne, ser ud som en scanning med login, men giver for de maskiner kun det, en scanning udefra giver. De fleste scannere kan vise, hvor login lykkedes. Den liste skal med som bilag.
Afgrænsningen mod en penetrationstest
En scanning med login prøver ikke at udnytte de sårbarheder, den finder. Den konstaterer, at en version eller indstilling er sårbar, og stopper dér. En penetrationstest går videre og forsøger at vise, hvad en sårbarhed kan føre til. Det er en anden ydelse med andre aftaler og en anden risiko for driften, og den ligger uden for en teknisk gennemgang. Hvis resultatet af scanningen rejser spørgsmål, der kun kan besvares ved forsøg, er det en beslutning for sig.
Engangsbillede eller fast scanning
I en gennemgang er scanningen et øjebliksbillede. Det er anderledes end den faste scanning, driften måske allerede kører. Forordning 2024/2690 beder i bilagets punkt 6.10.2, litra b, de omfattede enheder om at scanne for sårbarheder efter en plan og gemme resultatet, hvor det er relevant. Kører driften allerede en fast scanning med login, kan gennemgangen bruge dens seneste resultat og i stedet kontrollere dækningen og opsætningen.
Hvad det kræver, og hvad det koster at lade være
Scanningen kræver en konto, et aftalt tidsrum og nogen til at tolke resultatet. Det tunge arbejde er sorteringen af fund bagefter, ikke selve scanningen.
Uden scanning med login bygger gennemgangen på stikprøver og på det, der kan ses udefra. Programmer, der ikke lytter på en port, og indstillinger inde på maskinen forbliver ukendte.
Det skal I lade være med
- At bruge en scanning uden login som bevis for opdateringsniveauet · den ser kun det, der kan ses over nettet.
- At overtage scannerens risikoniveau uden vurdering · det afspejler ikke jeres miljø.
- At lade scanningskontoen leve videre efter gennemgangen · luk den, når arbejdet er slut.
Det skal gennemgangen kunne vise
- ☐ Omfang, undtagelser og tidspunkt for scanningen.
- ☐ En liste over maskiner, hvor login lykkedes.
- ☐ Bekræftede fund med den metode, der bekræftede dem.
- ☐ Bevis for, at scanningskontoen er lukket bagefter.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 4.4, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 6.10.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Se i jeres seneste scanning, på hvor mange maskiner login faktisk lykkedes.
Læs også: Gennemgang, scanning eller penetrationstest · Påvirker gennemgangen driften?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
