Foran de fleste webapplikationer står en webserver, en omvendt proxy eller en load balancer. Applikationen er måske købt, men opsætningen foran den er driftens egen. Gennemgangen ser på tre ting: hvilke TLS-versioner der accepteres, hvem der kan nå administrationen, og om loggen viser klientens rigtige adresse.
Den sidste er let at overse. Bag en proxy logger webserveren ofte proxyens adresse i stedet for den besøgendes. Så kan loggen ikke bruges, når der skal findes ud af, hvem der gjorde hvad.
TLS
SAMSIK’s vejledning om sikker brug af TLS fra november 2026 deler opsætninger i tre niveauer: “God”, “Tilstrækkelig” og “Utilstrækkelig”. Det tidligere niveau “Bør udfases” er lagt sammen med “Utilstrækkelig”. TLS 1.3 er “God”, TLS 1.2 er “Tilstrækkelig”, og TLS 1.1, TLS 1.0 og alle SSL-versioner er “Utilstrækkelig”. Det er SAMSIK’s anbefaling.
For statslige myndigheder siger minimumskrav 27, at HTTP omdirigeres til HTTPS, at kun TLS 1.2 eller højere accepteres, og at TLS sættes op efter konfigurationsparametrene i kravoversigtens bilag 1 med status “God” eller “Tilstrækkelig”. Bilaget i kravoversigten bruger stadig det ældre niveau “Bør udfases”, så kravoversigten henviser til en ældre tabel end SAMSIK’s nyeste. Kravet binder staten og er en målestok for andre.
Kontrollen er at læse, hvilke protokoller og krypteringsparametre webserveren eller proxyen accepterer, og at sammenligne dem med de tre niveauer. Det kan læses i opsætningen eller måles udefra. Certifikaternes udløb og den bredere TLS-gennemgang står i certifikater og TLS.
Omdirigering til HTTPS
Et lille, men konkret kontrolpunkt er, om al trafik på HTTP sendes videre til HTTPS. Det gælder også undersider og gamle adresser, som stadig peger på serveren. Et udtræk af opsætningen viser reglen. En enkelt forespørgsel udefra viser, at den virker.
Administrationsadgang
Webservere og proxyer har ofte en administrationsflade eller en statusside. Der er ingen læst kilde, der beskriver administration af webservere specifikt. Bilaget til gennemførelsesforordning (EU) 2024/2690 kan bruges som målestok. Punkt 11.4 kræver, at administrationssystemer kun bruges til administration og adskilles. Punkt 6.7.2, litra f, kræver, at unødvendige forbindelser og tjenester forbydes eller slås fra. Bilaget binder kun bestemte digitale tjenesteudbydere, og brugen som målestok her er vores tolkning.
Kontrolspørgsmålene er:
- Kan administrationsfladen eller statussiden nås fra internettet?
- Hvilke konti har adgang til at ændre opsætningen?
- Er der testsider, eksempelfiler eller mappeoversigter, der er slået til fra installationen?
Det sidste spørgsmål er praksis. Det er ofte den slags rester, der står tilbage efter en hurtig opsætning.
Log med den rigtige adresse
SAMSIK’s vejledning om logning fra januar 2023 skriver: “Hvis webservere står bag ved en proxy/load-balancer er det vigtigt at logge den oprindelige klient IP-adresse”. Vejledningen har et kontrolpunkt: “Kontrollér, at klienters rigtige IP-adresser logges, og at de ikke er erstattet af IP-adressen på eksempelvis en proxy eller load-balancer”.
SAMSIK anbefaler, at webserverens log indeholder tid i UTC, afsenderens eksterne IP, metode, URI, returkode, referer, user-agent og antal bytes.
Minimumskrav 16 for staten og kravoversigtens bilag 1 nævner næsten de samme felter for internetvendte webservere: tid, afsenderens eksterne IP, metode, URI, returkode, user-agent og antal bytes. Kravet siger, at loggen opbevares i mindst 12 måneder. SAMSIK’s logvejledning anbefaler 13 måneder. Begge tal er værd at kende, og det er jeres eget valg, hvilket I følger.
Kontrollen er enkel at gennemføre. Læs et par linjer i webserverens log, og se, om afsenderens adresse er en ekstern adresse eller proxyens interne. Hvis det er proxyens, skal den rigtige adresse sendes videre i en header og skrives i loggen.
Flere lag, flere steder at kontrollere
I mange miljøer står der flere lag foran applikationen: en load balancer i kanten, en omvendt proxy og til sidst webserveren. TLS kan være afsluttet i det første lag, så trafikken mellem lagene går ukrypteret. Det kan være et bevidst valg på et lukket net, men det skal være et valg. Gennemgangen tegner derfor vejen fra internettet til applikationen og skriver ved hvert led, om forbindelsen er krypteret, og hvem der logger.
Tegningen gør også de andre kontrolpunkter lettere. Den viser, hvor den rigtige klientadresse skal sendes videre, og hvor administrationsfladerne ligger. Ofte er det første gang, nogen har tegnet den.
Udtrækket
Grundlaget er opsætningsfilerne for webserver og proxy, en liste over de virtuelle værter eller sider, de betjener, og et lille udsnit af adgangsloggen. Hertil kommer en måling af TLS udefra, hvis opsætningen er kompleks. Opsætningsfilerne kan indeholde hemmeligheder, så de skal behandles efter samme regler som andre udtræk.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til opsætningen og loggen. Kontrollerne er hurtige. Rettelser af TLS kan kræve, at gamle klienter, der ikke kan bruge nyere versioner, får en løsning, og det skal undersøges før ændringen.
En log uden den rigtige adresse er ubrugelig i det øjeblik, der er brug for den. Og en webserver, der accepterer gamle protokoller, er ofte det første, en scanning udefra peger på.
Det skal I lade være med
- At logge proxyens adresse i stedet for klientens · send den rigtige adresse videre, og skriv den i loggen.
- At lade gamle TLS-versioner stå for en enkelt gammel klient · find en anden løsning til den.
- At lade testsider og eksempelfiler blive liggende · fjern dem ved opsætningen.
Det skal gennemgangen kunne vise
- ☐ TLS-versioner og parametre pr. webserver og proxy holdt op mod SAMSIK’s niveauer.
- ☐ Omdirigering fra HTTP til HTTPS.
- ☐ Hvor administrationsflader kan nås fra, og hvem der har adgang.
- ☐ Et udsnit af loggen, der viser klientens rigtige adresse og de anbefalede felter.
- ☐ Den fastsatte opbevaringstid for webserverens log.
Kilder
- SAMSIK, Sikker brug af Transport Layer Security (TLS) med bilag (november 2026), punkt 1, læst 13. november 2026.
- SAMSIK (Center for Cybersikkerhed), Logning, en del af et godt cyberforsvar (januar 2023), side 5 og 11, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 16 og 27 og bilag 1, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2 og 11.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Åbn adgangsloggen på jeres vigtigste webserver, og kontrollér, at afsenderens adresse er den eksterne og ikke proxyens.
Læs også: Central logopsamling · Administrationsflader, der kan nås fra brugernettet eller internettet
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
