Udgående trafik gennemgås ved at læse, hvad regelsættet tillader serverne at kontakte på internettet, og sammenholde det med, hvad loggen viser, at de faktisk kontakter. Står der én bred regel, der lader alle servere tale med alt, er det et fund, også hvis ingen indgående regel er åben.
Mange regelsæt er stramme ind og åbne ud. Det er den halvdel, der viser, om en kompromitteret maskine kan sende data ud eller hente instrukser.
Hvorfor trafikken ud er et kontrolpunkt
NIST SP 800-115 fra 2008 nævner, at firewall- og routerlogs kan indeholde udgående forbindelser, der viser kompromitterede interne enheder. SAMSIK’s logvejledning siger det samme fra den anden side: Log de steder, hvor trafik går ind og ud, både tilladt og blokeret, og log web-proxyer til udgående trafik, fordi loggen kan hjælpe med at finde ondsindede domænenavne og forespørgsler fra kompromitterede maskiner. Felterne til proxyloggen er tid, klientens adresse, metode, URI, returkode, værtsnavn og bruger.
To regelsæt peger samme vej. I forordning 2024/2690 skal kommunikation, driften ikke har brug for, holdes ude (bilagets punkt 6.7.2, litra c), og relevant trafik ud og ind skal logges (punkt 3.2.3, litra a). Den binder en afgrænset gruppe udbydere. For finanssektoren kræver DORA-standarden i forordning 2024/1774, at trafikken mellem de interne net og internettet sikres (artikel 13, litra g) og forebyggelse og opdagelse af datalæk (artikel 14, stk. 1, litra b).
Hvad gennemgangen læser
Reglerne ud. For hver zone, især servernettet, læses, hvad der er tilladt ud mod internettet. Er det alt? Er det kun web? Er det navngivne mål?
Navneopslag. Rekursive navneservere skal kunne slå op på port 53 mod internettet. SAMSIK’s domænevejledning nævner det (punkt 2.1.7). Det er et eksempel på nødvendig udgående trafik, der skal stå i regelsættet. Hvis alle maskiner også kan slå op direkte, uden om de interne navneservere, er det en vej uden om kontrollen.
Proxyen. Går webtrafikken fra klienter og servere gennem en proxy, og logges den med de felter, SAMSIK nævner? Kan maskinerne gå direkte ud uden om proxyen?
Loggen. En periode af firewall- og proxyloggen viser, hvad serverne faktisk kontakter. Den viser også de forbindelser, ingen kan forklare, fx fra en server, der ikke burde tale med internettet.
Servere, der ikke behøver internettet
Mange servere har kun brug for to slags udgående trafik: opdateringer og den tjeneste, de er til for. En databaseserver, der kan nå hele internettet, har mere adgang, end opgaven kræver. Gennemgangen sætter hver servergruppe op mod dens behov.
Den tænkte tabel kan se sådan ud:
- (Databaser) · Behov ud: (Opdateringsserver) · Tilladt ud i dag: (Alt)
- (Webservere) · Behov ud: (Opdateringer og betalingstjeneste) · Tilladt ud i dag: (Alt)
- (Domænecontrollere) · Behov ud: (Tidskilde og opdateringer) · Tilladt ud i dag: (Alt)
Forskellen mellem de to kolonner er fundet.
En stram regel uden at stoppe driften
Ingen af kilderne siger, hvordan en bred regel ud strammes, uden at noget går i stå. Trinene her er praksis:
- Lad den brede regel stå, men log alt, den tillader.
- Saml loggen over en periode, der dækker månedsafslutning og andre sjældne opgaver.
- Opgør, hvilke mål hver servergruppe faktisk bruger.
- Lav smalle regler for de mål, der er nødvendige, over den brede.
- Sæt den brede regel til at logge og afvise i et aftalt vindue, med en plan for at fortryde.
- Fjern den, når vinduet er gået uden fejl.
Rækkefølgen giver driften et grundlag for hver regel og en vej tilbage, hvis noget glemmes. Rettelser uden nedbrud beskriver den samme tanke for andre stramninger.
Det kan driften selv
Driften kan tage første skridt i dag: slå logning til på den brede regel ud, hvis den ikke allerede logger. Efter nogle uger kan loggen sorteres efter kildeserver og mål. Det giver en liste over, hvad hver server faktisk taler med.
Vælg derefter én servergruppe med få og kendte behov, fx domænecontrollerne, og lav de smalle regler for den. Når den gruppe kører uden fejl, er metoden afprøvet, og de næste grupper kan følge.
Hvad det kræver, og hvad det koster at lade være
Det kræver regelsættet og en periode af firewall- og proxyloggen. Driften kan trække begge. Det tager tid at opgøre behovet pr. servergruppe, især første gang.
En åben vej ud gør det let for en angriber at hente værktøjer ind og sende data ud. Uden loggen kan I bagefter ikke se, hvad der forlod nettet.
Det skal I lade være med
- At stramme den brede regel uden at logge først · så ved I ikke, hvad der går i stykker.
- At lade servere slå navne op uden om de interne navneservere · det er en vej uden om kontrollen.
- At gemme proxyloggen uden brugerfeltet · så kan en forespørgsel ikke kobles til en person.
Det skal gennemgangen kunne vise
- ☐ Reglerne for udgående trafik pr. zone, læst og forklaret.
- ☐ For hver servergruppe behovet ud og det tilladte.
- ☐ Logning af tilladt og blokeret udgående trafik og proxylog med SAMSIK’s felter.
- ☐ En plan for at stramme brede udgående regler.
Kilder
- NIST SP 800-115 (2008), afsnit 3.2, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar (januar 2023), læst 13. november 2026.
- SAMSIK, Vejledning: Domænesikkerhed (2022), punkt 2.1.7, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 3.2.3 og 6.7.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13 og 14, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs, hvad servernettet må kontakte på internettet, og skriv behovet op for de tre vigtigste servergrupper.
Læs også: Central logopsamling · Fjernsupportværktøjer og leverandørers adgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
