Den amerikanske NSA og CISA offentliggjorde i oktober 2023 en liste over de ti fejlopsætninger, deres egne hold oftest finder. Listen er en brugbar egenkontrol for driften, fordi den består af tekniske fund i opsætningen og ikke af mangler i politikker eller ledelse.
Driften kan gå listen igennem selv, før en gennemgang begynder. Mange af punkterne kan kontrolleres med de udtræk, driften allerede har adgang til, og det, der rettes før gennemgangen, behøver ikke at stå som fund i rapporten.
Hvor listen kommer fra
Rådgivningen hedder på engelsk “NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations” og er dateret 5. oktober 2023. Fundene stammer ifølge rådgivningen fra deres red team-, blue team-, hunt- og hændelsesarbejde hos forsvaret, civile føderale myndigheder, delstater, lokale myndigheder og private virksomheder. Mange af vurderingerne var af Windows- og Active Directory-miljøer.
NSA og CISA kalder fejlene systemiske svagheder, som de finder i mange store organisationer, også i organisationer med en moden sikkerhed. Listen er ikke prioriteret. Oversættelsen nedenfor er sitets.
De ti punkter
- Standardkonfigurationer af software og applikationer.
- Utilstrækkelig adskillelse af bruger- og administratorrettigheder.
- Utilstrækkelig intern netværksovervågning.
- Manglende netværkssegmentering.
- Dårlig patchhåndtering.
- Omgåelse af systemadgangskontroller.
- Svage eller fejlkonfigurerede MFA-metoder.
- Utilstrækkelige adgangslister på netværksdrev og tjenester.
- Dårlig hygiejne med legitimationsoplysninger.
- Ubegrænset kodekørsel.
Rådgivningen indeholder tekniske detaljer om, hvordan svaghederne bliver udnyttet. De gengives ikke her. Til en egenkontrol er det nok at vide, hvad der skal ses efter i jeres egen opsætning.
Fra punkt til udtræk
Hvert punkt kan omsættes til et spørgsmål og et udtræk, driften kan trække. Eksemplerne nedenfor er sitets og er tænkt som en begyndelse.
Standardkonfigurationer: Er der udstyr eller programmer, der stadig kører med producentens standardkonti eller standardindstillinger? Udtrækket er en liste over administrationsflader og de konti, der kan logge på dem.
Adskillelse af rettigheder: Bruger administratorerne særskilte konti til administration, og er antallet af administratorer begrænset? Udtrækket er medlemmerne af de privilegerede grupper i kataloget og i skyen.
Intern overvågning: Kan I se, hvad der sker mellem maskinerne inde i nettet, eller kun ved grænsen? Udtrækket er dækningskortet over logkilder.
Segmentering: Kan en klient nå servere og administrationsflader direkte? Udtrækket er firewallreglerne mellem zonerne.
Patchhåndtering: Hvor gamle er de ældste manglende opdateringer, og er der systemer uden support? Udtrækket er en måling fra maskinerne selv.
Omgåelse af adgangskontroller: Findes der veje ind, der ikke går gennem den normale kontrol, fx gamle protokoller eller konti med undtagelser? Udtrækket er listen over undtagelser i politikkerne for adgang.
MFA: Hvem er reelt omfattet af MFA, og med hvilke metoder? Udtrækket er en opgørelse af registrerede metoder pr. bruger og af undtagelser.
Adgangslister: Hvem kan læse og skrive på de vigtigste delte drev? Udtrækket er rettighederne på de øverste mapper.
Legitimationsoplysninger: Er der adgangskoder i scripts, delte filer eller servicekonti, der aldrig skiftes? Udtrækket er listen over servicekonti med dato for seneste skift.
Kodekørsel: Kan brugere køre vilkårlige programmer og scripts? Udtrækket er opsætningen af programkontrol og makroer på klienterne.
Hvorfor egenkontrollen betaler sig
Fejlene på listen er sjældent svære at rette, når de først er fundet. Mange skyldes, at en indstilling blev sat, da systemet blev installeret, og aldrig set på igen, eller at en midlertidig undtagelse blev permanent. Netop den slags fejl ser driften ikke i hverdagen, fordi alt virker. En egenkontrol tvinger blikket hen på dem. Den giver også gennemgangen et bedre udgangspunkt, fordi tiden kan bruges på det, driften ikke selv kan se, i stedet for på at finde de kendte fejl en gang til.
Sådan bruges listen
Gå punkterne igennem ét ad gangen, og skriv for hvert: hvad I kontrollerede, hvilket udtræk I brugte, og hvad I fandt. Punkter, I ikke kan kontrollere selv, er også en oplysning. De peger på det, en gennemgang udefra skal se nærmere på.
Listen er ikke en målestok i sig selv. Den siger ikke, hvordan opsætningen skal være, kun hvor fejlene oftest sidder. Til målestokken bruges en baseline, fx de statslige tekniske minimumskrav eller producentens sikkerhedsbaseline. Listen hjælper med at vælge, hvor I begynder.
Hvordan egenkontrollen indgår i en samlet audit med ledelse og proces, er beskrevet på sitet om sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Egenkontrollen kræver de udtræk, driften normalt har adgang til, og tid til at læse dem. Det, der findes, kan ofte rettes med opsætning. Det, der kræver større ændringer, bliver et punkt i planen.
Uden egenkontrollen kommer fundene først frem, når en gennemgang eller en hændelse viser dem. Listen er offentlig, og de fejl, den beskriver, er netop dem, som både myndigheder og angribere ser efter.
Det skal I lade være med
- At læse listen som en rangordning · NSA og CISA skriver, at den ikke er prioriteret.
- At bruge rådgivningens tekniske detaljer som testopskrift · til egenkontrol er udtrækkene nok.
- At regne listen for en målestok · den viser, hvor I skal kigge, ikke hvordan opsætningen skal være.
Det skal gennemgangen kunne vise
- ☐ En egenkontrol af de ti punkter med det udtræk, der blev brugt for hvert.
- ☐ Fund fra egenkontrollen med status for rettelse.
- ☐ De punkter, driften ikke kunne kontrollere selv, med begrundelse.
- ☐ Den baseline, opsætningen blev holdt op mod.
Kilder
- NSA og CISA, AA23-278A: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag punkt 2 og punkt 7 først: træk medlemmerne af de privilegerede grupper og opgørelsen over MFA-metoder.
Læs også: MFA-dækning · Særskilte administratorkonti og administrationsmaskiner
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
