Det, der står åbent mod internettet, opgøres fra tre sider: firewallens regler for indgående trafik, de offentlige DNS-poster og en portscanning udefra af jeres egne adresser. De tre lister afstemmes til én, hvor hver åben tjeneste har en ejer og et formål.
Ingen af de tre lister er nok alene. Reglerne viser hensigten, DNS viser navnene, og scanningen viser, hvad der faktisk svarer.
Hvad tæller som internetvendt?
De statslige tekniske minimumskrav har en brugbar definition. En internetvendt tjeneste er alt, der kan tilgås fra internettet, også VPN-gateways og tjenester, der kun er beregnet til egne medarbejdere. Et fagsystem, der kun kan nås gennem VPN, regnes derimod som internt.
Definitionen fanger det, der ofte glemmes: loginsiden til fjernadgang, webmail, et administrationspanel, der blev åbnet for en leverandør, og en testserver, der fik en offentlig adresse.
Målestokken: statens kvartalsvise portscanning
Staten kræver, at myndighederne mindst hvert kvartal portscanner deres internettilgængelige IP-adresser. Det er offentlige adresser, myndigheden har brugsret til, og som kan nås fra internettet. Vejledningen præciserer:
- Alle TCP-porte er tilstrækkeligt. De mest brugte UDP-porte tilrådes, men er ikke omfattet.
- Der kræves ingen sårbarhedsscanning. Formålet er afdækning, så myndigheden kender sin angrebsflade.
- Også de adresser, der står ubrugte hen, men som myndigheden har ret til, er med.
- Adresser hos cloud- og hostingudbydere er som udgangspunkt ikke omfattet, men anbefales scannet. Ved ny kontrakt eller fornyelse anbefales krav om løbende scanning hos leverandøren.
Kravet gælder kun statslige myndigheder. At en privat virksomhed kan bruge samme metode og samme rytme, er vores tolkning, ikke et krav. Metoden er enkel nok til at blive brugt af alle, og den svarer på et spørgsmål, enhver drift bør kunne svare på.
De tre lister
Indefra: firewallens regler. Alle regler, der tillader trafik fra internettet ind, med adresseoversættelse, porte og målservere. Det er listen over det, I har besluttet at åbne. Den er også listen over gamle beslutninger, ingen har fulgt op på.
Navnene: DNS. Alle poster i jeres offentlige zoner, der peger på en adresse. SAMSIK’s domænevejledning anbefaler, at eksterne navneservere ikke indeholder navne og adresser på interne systemer, og at gamle poster, der peger på ubrugte adresser eller tredjeparters subdomæner, fjernes. Listen viser derfor både, hvad der er tilgængeligt under jeres navn, og hvad der er glemt.
Udefra: scanningen. En portscanning af alle jeres offentlige adresser viser, hvad der faktisk svarer. Scanningen er en aktiv teknik. Den bør aftales med den, der ejer adresserne, og med hostingudbyderen, hvis adresserne står hos en sådan. Hvilket værktøj og hvilke indstillinger der bruges, er ikke afgørende for afstemningen; det afgørende er, at alle adresser er med, også de ubrugte.
Afstemningen
Listerne lægges i ét ark med en række pr. adresse og port. Kolonnerne er: adresse, port, DNS-navn, firewallregel, svar ved scanning, tjeneste, ejer og formål. Afvigelserne er fundene:
- En port svarer ved scanningen, men der er ingen regel, der forklarer det. Det kan skyldes en udbyder, en anden firewall eller en regel, der ikke er dokumenteret.
- En regel åbner en port, men intet svarer. Reglen kan sandsynligvis lukkes.
- Et DNS-navn peger på en adresse, I ikke længere bruger.
- En tjeneste svarer, men ingen vil vedkende sig den.
Afstemningen er sitets metode. Den bruger ikke andre kilder end jeres egne udtræk og én scanning.
Det, der står åbent, er også det, der skal opdateres hurtigst. Hvordan det prioriteres, står i kantudstyr først.
Det kan driften selv
Regeludtrækket og zoneudtrækket kan driften lave i dag. Start med at lægge dem i arket, før scanningen bestilles. Allerede den sammenligning viser regler uden DNS-navn og navne uden regel. Spørg dem, der bestiller hosting og cloudtjenester, om de har adresser, der ikke står på listen. Det er ofte her, de glemte servere står.
Når scanningen kommer, er arbejdet så at udfylde en kolonne mere. Gemmes arket, kan næste opgørelse laves som en sammenligning med den forrige, og nye åbninger ses med det samme.
Hvad det kræver, og hvad det koster at lade være
Det kræver et regeludtræk, et zoneudtræk og en scanning, plus et par timer til at afstemme dem. Første gang tager det længst, fordi ejerne skal findes. Siden er det en sammenligning med sidste udgave.
Uden opgørelsen ved I ikke, hvad andre kan se af jeres miljø. Den tjeneste, der står åben uden ejer, bliver ikke opdateret, ikke overvåget og ikke lukket, når den ikke skal bruges mere.
Det skal I lade være med
- At scanne kun de adresser, der er i brug · de ubrugte kan pege på noget, I har glemt.
- At udelade adresser hos hosting og cloud · de står under jeres navn, selv om de er lejet.
- At scanne uden aftale med den, der ejer adressen · aftal tidspunkt og omfang først.
Det skal gennemgangen kunne vise
- ☐ En liste over alle offentlige adresser, I har brugsret til.
- ☐ En dateret scanning af dem alle.
- ☐ Én afstemt liste over åbne tjenester med ejer og formål.
- ☐ En beslutning om hver afvigelse mellem regler, DNS og scanning.
- ☐ En fastlagt rytme for gentagelsen.
Kilder
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 2 og 3.9, læst 13. november 2026.
- SAMSIK, Vejledning: Domænesikkerhed (2022), punkt 2.1.2 og 2.1.14, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav et ark med alle jeres offentlige adresser, og fyld kolonnerne for regel og DNS-navn ud, før scanningen bestilles.
Læs også: VPN-opsætningen · Systemlisten bygget fra systemerne selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
