En sammenligning af Windows-servere med en baseline giver hurtigt hundredvis af afvigelser. Den bliver brugbar, når afvigelserne opgøres pr. serverrolle, så domænecontrollere, filservere, applikationsservere og terminalservere hver får deres egen liste. Så kan I se, hvilke afvigelser der går igen på alle servere af en type, og hvilke der kun findes på én.
Artiklen handler om at lave og læse den liste. Den giver ikke råd om de enkelte indstillinger.
Målestokken
Microsoft beskriver en sikkerhedsbaseline som en samling indstillinger, Microsoft anbefaler, hvor hver indstilling har en begrundelse set fra sikkerheden. Microsoft anbefaler at bruge en bredt kendt og afprøvet baseline frem for at lave sin egen. Baselinerne kan bruges til at kontrollere, om indstillingerne svarer til baselinen. De hentes i Security Compliance Toolkit, som også har et værktøj til at sammenligne politikker.
Microsoft skriver også, hvilket princip baselinen bygger på. Baselinen tager en indstilling med som håndhævet, når den modvirker en aktuel trussel, og når de driftsproblemer, den giver, er mindre end risikoen. Det betyder, at baselinen er et udgangspunkt, som de fleste kan leve med. Det er Microsofts egen anbefaling for egen platform.
CIS udgiver benchmarks med profilerne Level 1 og Level 2. CIS skriver i sin FAQ, at de udvikles ved konsensus, og at de kan hentes som PDF uden licensbetaling efter registrering. Vi har ikke læst CIS-benchmarkets anbefalinger for Windows Server og gengiver dem ikke.
I bilaget til forordning (EU) 2024/2690 står der i punkt 6.3.2, at sikre konfigurationer fastlægges, og at der er processer og værktøjer til at håndhæve dem for både nye og eksisterende systemer. Punkt 6.3.3 kræver, at de gennemgås med planlagte mellemrum. Kravet rammer de digitale tjenesteudbydere, forordningen er skrevet til. For andre virksomheder er det en målestok efter vores tolkning.
Sammenligningen
NIST SP 800-115 fra 2008 beskriver konfigurationsgennemgang som en sammenligning af indstillinger med en tjekliste (afsnit 3.4). NIST foretrækker automatiske kontroller, hvor det kan lade sig gøre, og noterer, at både manuel og automatisk gennemgang kræver administratorrettigheder for at se visse indstillinger.
I praksis består sammenligningen af tre trin:
- Vælg baseline og version, og skriv datoen.
- Træk den effektive opsætning fra serverne, enten som politikker eller direkte fra maskinerne.
- Sammenlign med et værktøj, så hver indstilling får en status: som baseline, afviger eller ikke sat.
Resultatet er en lang tabel. Den er råmaterialet, ikke rapporten.
Fra tabel til liste pr. rolle
At opdele afvigelserne pr. rolle er praksis og ikke beskrevet i kilderne. Det fungerer, fordi servere af samme rolle burde have samme opsætning. En gennemgang kan derfor sortere afvigelserne sådan:
- Afvigelser, der findes på alle servere i rollen. De skyldes typisk en central politik og rettes ét sted.
- Afvigelser, der kun findes på nogle servere i rollen. De tyder på, at politikken ikke rammer alle, eller at nogen har ændret lokalt.
- Afvigelser, der er besluttet, fordi en indstilling ikke passer til et program. De hører til i undtagelseslisten med begrundelse.
Den midterste gruppe er ofte den mest interessante. Den viser servere, der står uden for styringen.
Hvilke afvigelser der rettes først
Prioritering er også praksis. Et brugbart greb er at se på tre forhold for hver afvigelse: hvilken rolle serveren har, hvor eksponeret den er, og hvad indstillingen beskytter.
Domænecontrollere og servere, der kan nås fra internettet, kommer typisk først. Indstillinger, der har med rettigheder, autentificering og logning at gøre, vejer tungere end indstillinger om brugerfladen. Hvordan alvorligheden vurderes, når der ikke er en score, står i alvorlighed af konfigurationsfund.
En del af afvigelserne kan rettes med én ændring i en central politik. De er værd at tage tidligt, fordi de fjerner mange linjer i listen på én gang. Rettelser skal stadig afprøves, før de rulles ud på alle servere.
Opdateringer
En baseline handler om indstillinger, ikke om opdateringer. Men for statslige myndigheder siger minimumskrav 29, at software på blandt andet domænecontrollere, mail-, fil-, print-, DHCP-, navne- og backupservere skal sikkerhedsopdateres inden for 90 dage. For en privat virksomhed er det en målestok. Gennemgangen kan nævne opdateringsniveauet pr. rolle ved siden af baselinens afvigelser.
Udtrækket
Grundlaget er den valgte baseline med version, de politikker, der er knyttet til serverne, og den effektive opsætning fra et udvalg pr. rolle. Hertil kommer en liste over servere med rolle, så afvigelserne kan grupperes. Hvordan servere udvælges, står i stikprøve af servere og klienter.
Hvad det kræver, og hvad det koster at lade være
Det kræver en serverliste med roller, en valgt baseline og administratoradgang til at trække den effektive opsætning. Driften kan selv køre sammenligningen. Det tunge arbejde er at gå afvigelserne igennem og beslutte, hvad der er bevidst.
Uden opdelingen pr. rolle bliver afvigelseslisten for lang til at handle på. Den ender som et bilag, ingen læser, og de servere, der er sat op anderledes end resten, forbliver anderledes.
Det skal I lade være med
- At lave jeres egen baseline fra bunden · Microsoft anbefaler at starte fra en kendt og afprøvet.
- At rulle hele baselinen ud på én gang · afprøv på en server pr. rolle først.
- At lade bevidste afvigelser stå i samme liste som fejl · flyt dem til undtagelseslisten med begrundelse.
Det skal gennemgangen kunne vise
- ☐ Navnet på den valgte baseline, dens version og datoen for valget.
- ☐ En liste over servere med rolle.
- ☐ Afvigelser opgjort pr. rolle, delt i fælles og enkeltstående.
- ☐ Bevidste afvigelser med begrundelse.
- ☐ En prioriteret rækkefølge for rettelserne.
Kilder
- Microsoft Learn, Security baselines guide, læst 13. november 2026.
- CIS, CIS Benchmarks FAQ, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment (2008), afsnit 3.4, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.3, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 29, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg én serverrolle, træk den effektive opsætning fra tre servere, og sammenlign dem med baselinen.
Læs også: Undtagelseslisten · Domænecontrollere som særligt kontrolpunkt
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
