Den, der kan administrere virtualiseringsplatformen, kan slukke, kopiere og ændre alle servere på den. Derfor gennemgås laget for sig, med fire spørgsmål: Hvor kan administrationsfladen nås fra? Hvem har konti, og med hvilke rettigheder? Hvordan styres snapshots? Og er værterne opdateret?
Artiklen bygger på målestokke, der gælder på tværs af platforme, og på Microsofts vejledning for Hyper-V. Andre producenters hærdningsvejledninger har vi ikke læst, og de beskrives kun generelt.
Målestokkene
Forordning (EU) 2024/2690 har i sit bilag to punkter om administration. Punkt 11.4.2 kræver, at administrationssystemer kun bruges til administration, adskilles logisk og beskyttes med autentificering og kryptering. Punkt 6.8.2, litra f og g, kræver, at det dedikerede administrationsnet adskilles fra driftsnettet, og at administrationskanaler adskilles fra anden trafik. Bilaget gælder kun de typer digitale tjenesteudbydere, forordningen opregner. For andre er det en målestok, og den brug er vores tolkning.
NIST SP 800-125A Rev. 1 fra juni 2018 har anbefalinger til servervirtualisering:
- Adgangskontrol til administration af virtuelle maskiner bør være finkornet, både på rettigheder og på objekter (HY-SR-18).
- Al administration af hypervisoren bør ske centralt med standardkonfigurationer (HY-SR-19).
- Administrationsfladen bør have sit eget fysiske netkort eller et særskilt virtuelt netsegment med firewall, der kun tillader trafik fra bestemte undernet (HY-SR-20).
Styring af og adgang til snapshots er et af emnerne i NIST’s oversigt.
CISA skriver i vejledningen mod ransomware fra september 2023, at alle hypervisorer og tilhørende net- og lagerkomponenter skal være opdateret og hærdet. CISA begrunder det med, at nyere ransomware går efter hypervisorer, så hele infrastrukturen kan krypteres på én gang.
For statslige myndigheder siger minimumskrav 29, at hypervisorer og virtualiseringsplatforme skal sikkerhedsopdateres inden for 90 dage.
Hyper-V som eksempel på producentens råd
Microsofts side om sikkerhed i Hyper-V er fra 2018, men gælder ifølge siden også Windows Server 2025. Den anbefaler blandt andet:
- den mindste installationsform for værtens styresystem,
- at værten ikke bruges som arbejdsstation,
- fjern administration,
- separat net og netkort til værten og separat net til live-migrering,
- kun de brugere, der skal administrere værten, i gruppen Hyper-V Administrators,
- at administratorer af virtuelle maskiner ikke får rettigheder på værtens styresystem,
- at ukendte virtuelle diske ikke monteres.
Andre platforme har tilsvarende vejledninger fra deres producenter. Brug den, der passer til jeres platform, og skriv version og dato.
Administrationsfladen
Det første kontrolpunkt er, hvor administrationsfladen kan nås fra. Svaret står i netopsætningen og i firewallreglerne. Kan den nås fra brugernettet, er det et fund målt mod både bilaget og NIST. Kontrolpunktet er beskrevet bredere i artiklen om administrationsflader, der står åbne.
Konti og rettigheder
Det andet kontrolpunkt er kontiene. Udtrækket er en liste over konti og grupper med rettigheder i platformens administration, med deres rolle. Spørgsmålene er:
- Er kontiene personlige, eller bruges en fælles administratorkonto?
- Er platformen koblet til det samme katalog som resten, og er det i så fald et bevidst valg?
- Har administratorer af virtuelle maskiner også rettigheder på værterne?
- Er rettighederne finkornede, eller har alle fuld adgang?
Om platformen skal kobles til det fælles katalog, er et designvalg. En gennemgang bør se, at valget er truffet med vilje, fordi en kompromitteret katalogkonto ellers også giver adgang til platformen. Det er en vurdering, ikke en læst regel.
Snapshots
Snapshots er kopier af hele servere, ofte med data og hemmeligheder. Kontrollen er, hvem der kan tage, læse og gendanne dem, hvor de ligger, og hvor gamle de er. Gamle snapshots er både en sikkerhedsrisiko og en driftsrisiko. En liste med navn, server, dato og opretter gør det muligt at se, hvilke der stadig har en grund.
Lageret og backuppen under platformen
CISA nævner også de net- og lagerkomponenter, der hører til hypervisorerne. Lagersystemet har sin egen administrationsflade og sine egne konti. Den, der kan administrere lageret, kan i mange opsætninger slette eller kopiere alle virtuelle diske. Kontrollen er den samme som for platformen: hvor fladen kan nås fra, hvilke konti der findes, og om de er personlige.
Backuppen af de virtuelle maskiner tages ofte direkte fra platformen med en konto, der har brede rettigheder. Hvem kan bruge den konto, og er backuppen beskyttet, hvis platformens konti bliver misbrugt? Det er et selvstændigt kontrolpunkt.
Udtrækket
Grundlaget er en liste over værter med version og opdateringsniveau, netopsætningen for administration, listen over konti og roller i administrationen og listen over snapshots. Alt kan trækkes af driften fra platformens egen administration.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til platformens administration og netopsætningen. Rettelser kan være tunge, især hvis administrationsnettet skal adskilles bagefter. Opgørelsen kan driften lave selv.
Uden kontrollen ligger der et lag under alle de servere, I har gennemgået, som ingen har set på. CISA’s pointe er, at netop det lag giver adgang til alt på én gang.
Det skal I lade være med
- At lade administrationsfladen kunne nås fra brugernettet · læg den på et adskilt net.
- At give administratorer af virtuelle maskiner rettigheder på værterne · Microsoft fraråder det for Hyper-V.
- At lade snapshots stå uden dato og ejer · ryd op med faste mellemrum.
Det skal gennemgangen kunne vise
- ☐ Værter med version og opdateringsniveau.
- ☐ Hvor administrationsfladen kan nås fra, med firewallregler.
- ☐ Konti og roller i administrationen.
- ☐ En liste over snapshots med dato og opretter.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.8.2 og 11.4.2, læst 13. november 2026.
- NIST SP 800-125A Rev. 1, Security Recommendations for Server-based Hypervisor Platforms (juni 2018), HY-SR-18 til HY-SR-20, læst 13. november 2026.
- Microsoft Learn, Plan for Hyper-V security in Windows Server, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide (september 2023), læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 29, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvilke net administrationsfladen kan nås fra, og træk listen over konti med rettigheder i platformen.
Læs også: Backuppens beskyttelse · Domænecontrollere som særligt kontrolpunkt
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
