Få maskiner pr. rolle er nok, når maskinerne er bygget fra samme image og styres af samme politik. Er de ikke det, eller kan de alle måles automatisk, er stikprøven det forkerte værktøj, og så skal alle maskiner med.
En teknisk stikprøve er derfor en anden øvelse end en statistisk stikprøve i en revision. Spørgsmålet er ikke, hvor mange der skal trækkes for at opnå en bestemt sikkerhed. Spørgsmålet er, om maskinerne i en gruppe virkelig er ens.
Det, NIST siger om stikprøver
Ifølge NIST kan det være meget mere effektivt og næsten lige så virkningsfuldt at undersøge et lille udsnit af værter, især hvis værterne styres centralt og er opsat ens. Eksemplet i vejledningen er portscanning, men tanken gælder også konfiguration.
Samme vejledning foretrækker automatiske kontroller, hvor de findes, fordi de måler ens og kan gentages. Og den nævner, at nogle indstillinger stadig må kontrolleres manuelt.
Endelig peger NIST på en typisk grundårsag til fund: manglende sikkerhedsbaselines, der viser sig som forskellige sikkerhedsindstillinger på systemer, der burde være ens. Det er præcis den situation, en stikprøve kan overse.
Grupper før stikprøve
Udvælgelsen pr. rolle, image og styringsværktøj er praksis. Start med at dele maskinerne i grupper, hvor alle medlemmer burde være ens:
- (Kontorklienter) · Fælles kendetegn: Samme image, samme politik · Typisk størrelse: Mange
- (Udviklerklienter) · Fælles kendetegn: Eget image med lokale undtagelser · Typisk størrelse: Få
- (Filservere) · Fælles kendetegn: Samme rolle, samme baseline · Typisk størrelse: Få
- (Domænecontrollere) · Fælles kendetegn: Særlig rolle · Typisk størrelse: Meget få
- (Ældre servere) · Fælles kendetegn: Installeret før nuværende image · Typisk størrelse: Ukendt
En maskine hører kun til en gruppe, hvis den både er bygget og styret som resten. En klient, der er installeret fra et gammelt image, eller en server, der ikke modtager politikkerne, er sin egen gruppe.
Hvornår stikprøven er nok
Stikprøven giver mening, når tre ting er opfyldt:
- Alle maskiner i gruppen er bygget fra samme image eller skabelon.
- Alle modtager deres indstillinger fra samme styringsværktøj og samme politikker.
- Driften kan vise, at styringsværktøjet faktisk når alle maskinerne.
Det sidste punkt er det vigtigste. Bed driften om en rapport fra styringsværktøjet, der viser, hvilke maskiner der har modtaget politikkerne, og hvilke der ikke har. Kan den rapport ikke trækkes, ved I ikke, om gruppen er ens.
Hvornår alt skal måles
Nogle maskiner er for få eller for vigtige til en stikprøve. Domænecontrollere, administrationsmaskiner og systemer ved kanten bør læses alle sammen.
Hvor maskinerne kan måles automatisk, er der heller ingen grund til en stikprøve. Kan styringsværktøjet rapportere en indstilling for hele flåden, er det hurtigere og mere sikkert at trække rapporten for alle end at læse ti maskiner i hånden. Stikprøven bruges så til de indstillinger, værktøjet ikke kan måle.
Servere er sjældnere ens end klienter
Klienter bygges ofte i store serier fra samme image. Servere er anderledes. De installeres en ad gangen, over mange år, af forskellige folk og til forskellige formål. To filservere kan have samme rolle og alligevel være bygget med fem års mellemrum.
Derfor er grupperne for servere typisk mindre, og stikprøven udgør en større del af gruppen. Har en servergruppe kun tre medlemmer, er det som regel enklere at læse dem alle. Stikprøven giver mest mening for store, ensartede serverflåder, fx mange ens webservere eller virtuelle maskiner bygget fra samme skabelon.
Udvælg også de skæve
Inden for hver gruppe er det almindelig praksis at trække både typiske og atypiske maskiner:
- den senest installerede, der viser, hvad imaget giver i dag
- den ældste, der viser, hvad der er blevet hængende
- en med lokale undtagelser, fx en administrator med særlige programmer
- en, der sjældent er på nettet, fx en bærbar hos en sælger
Den effektive indstilling på en Windows-maskine kan læses med den indbyggede kommando gpresult, der viser det resulterende sæt af politikker, maskinen og brugeren har fået. Kørt på stikprøven viser kommandoen, om politikkerne faktisk er nået frem.
Når stikprøven viser afvigelser
Finder stikprøven en afvigelse, er gruppen ikke ens. Så er der to veje. Enten udvides stikprøven, til årsagen er fundet, eller hele gruppen måles automatisk på den indstilling, der afveg.
Fundet skrives som et fund i hele gruppen, selv om det blev set på én maskine. Rettelsen skal ramme årsagen, typisk imaget eller politikken, ellers dukker samme afvigelse op på næste maskine.
Stikprøver i den almene audit
Stikprøver bruges også i en audit af processer og kontroller, hvor de har et andet formål og andre regler for størrelse. Det er beskrevet under stikprøver i en sikkerhedsaudit. Den tekniske stikprøve her handler kun om, hvorvidt maskiner, der burde være ens, også er det.
Hvad det kræver, og hvad det koster at lade være
Det kræver en systemliste, der viser image, rolle og styring for hver maskine, og en rapport fra styringsværktøjet, der viser, hvilke maskiner der har modtaget politikkerne.
Vælges stikprøven tilfældigt uden grupper, ender den typisk på de pæne maskiner. Rapporten siger så, at alt er i orden, mens de gamle og atypiske maskiner aldrig bliver set.
Det skal I lade være med
- At bruge stikprøve på grupper, der ikke er ens · resultatet gælder så kun de trukne maskiner.
- At læse ti maskiner i hånden, når værktøjet kan måle alle · brug stikprøven til det, værktøjet ikke ser.
- At rette fundet på den ene maskine · ret imaget eller politikken.
Det skal gennemgangen kunne vise
- ☐ Grupperne med kendetegn og antal maskiner.
- ☐ Hvilke maskiner der er trukket, og hvorfor.
- ☐ Rapport fra styringsværktøjet om, hvilke maskiner der har modtaget politikkerne.
- ☐ Hvordan stikprøven er udvidet, hvor der blev fundet afvigelser.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.4, 6.2 og 7.3, læst 13. november 2026.
- Microsoft Learn, gpresult, opdateret 22. oktober 2025, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Del jeres maskiner i grupper efter image, rolle og styring, og tjek for hver gruppe, om styringsværktøjet når dem alle.
Læs også: Den effektive indstilling og den tiltænkte · Windows-servere holdt op mod en baseline
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
