Hærdning af Windows og Linux reducerer de muligheder, en angriber eller en fejl kan udnytte. Arbejdet omfatter unødvendige tjenester, administrative rettigheder, netværksadgang, sikkerhedsindstillinger og vedligeholdelse. Den rigtige konfiguration afhænger af systemets udgave, rolle og faktiske brug; den kan ikke kopieres ukritisk fra en anden maskine.
En brugbar hærdningsproces starter med en kendt standard, dokumenterer begrundede afvigelser og kontrollerer, at systemet stadig udfører sin nødvendige opgave. Guiden følger en fiktiv virksomhed med Windows-arbejdsstationer og en Linux-server til dokumentbehandling. Den viser konkrete beslutninger og et kontrolforløb, som kan overføres til egne systemer med de relevante produktreferencer.
Vælg en reference til den konkrete udgave
Microsofts sikkerhedsbaselines beskriver anbefalede sikkerhedsindstillinger. De er et udgangspunkt for en kontrolleret konfiguration. En baseline til én Windows-version eller administrationstype er ikke nødvendigvis identisk med en baseline til en anden. Kontroller både systemversion og den metode, organisationen bruger til at anvende indstillingerne.
For Ubuntu beskriver Canonical Ubuntu Security Guide understøttelse af hærdning, kontrol og miljøspecifik tilpasning. Det er en distributionsspecifik reference. Andre Linux-distributioner kan bruge andre profiler, sikkerhedsmekanismer og understøttelsesvilkår, som kræver deres egen dokumentation.
Den danske retlige ramme bygger på passende sikkerhed og konkrete risici. Datatilsynets vejledning om sikkerhedsmæssig styring og vedligehold af software fremhæver blandt andet ansvar, opdatering og vedligehold. Den giver ikke én universel lovbestemt konfiguration eller en fælles frist for at installere enhver opdatering.
Opret et overblik over systemroller
Skeln mellem en almindelig arbejdsstation, en administrators arbejdsstation, en domænetjeneste og en applikationsserver. De har forskellige nødvendige funktioner. En tjeneste, som er overflødig på en server, kan være nødvendig på en arbejdsstation. Fjernelse skal bygge på den faktiske rolle og afhængigheder.
Registrer operativsystemets udgave, supportstatus, ejer og nødvendige programmer i systemkortlægningen. Noter også netværkseksponering, administratoradgang og behandling af personoplysninger. En interneteksponeret komponent kan kræve hurtigere handling end en komponent med begrænset adgang, men intern placering er ikke det samme som fravær af risiko.
Den fiktive virksomhed Kystdata har 40 Windows-arbejdsstationer og én Ubuntu-server til dokumentkonvertering. Serveren modtager filer fra en intern applikation. Medarbejderne skal ikke logge direkte ind på serveren. Den afgrænsning giver et konkret grundlag for at begrænse både brugeradgang og åbne netværksforbindelser.
Windows: adgang, programmer og enhedens beskyttelse
Begynd med adskillelsen mellem daglig brug og administration. Hvis almindelige medarbejdere har lokal administratoradgang, skal systemejeren kunne forklare behovet. Undersøg, om et nødvendigt program kan anvendes med en mere begrænset rolle, før brede rettigheder godkendes som permanent løsning.
Kontroller derefter enhedsbeskyttelse, firewall og programkørsel i den aktuelle produktversion. Funktionen skal ikke blot findes i licensen; den skal være aktiveret, korrekt målrettet og uden utilsigtede undtagelser. Et centralt politikobjekt kan eksempelvis være tildelt den forkerte enhedsgruppe, så indstillingen aldrig når de bærbare computere.
Kryptering af enheder og nøglehåndtering er et særskilt kontrolpunkt. Adgang til gendannelse skal være mulig for de rette roller og beskyttet mod uvedkommende. En rapport, der alene viser, at kryptering er planlagt, dokumenterer ikke den aktuelle tilstand på den enkelte enhed.
Identitetsmiljøet fortjener særlig opmærksomhed, fordi rettigheder dér kan påvirke mange systemer. Begræns privilegeret brug til nødvendige opgaver, følg ændringer i adgange, og kontroller både normale og lokale konti. Adgangskodepolitikken og MFA skal gælde de faktiske adgangsveje, inklusive gendannelse og ekstern administration.
Linux: tjenestens nødvendige funktion bestemmer opsætningen
På dokumentserveren undersøger Kystdata, hvilke tjenester der kører, hvilke porte der er tilgængelige, og hvilken konto der udfører konverteringen. Applikationen får en særskilt konto med adgang til de nødvendige arbejdsmapper. Serveradministration foregår gennem den aftalte administrative forbindelse og personlige administrative identiteter.
Brug distributionens sikkerhedsmekanismer med forståelse for deres funktion. Adgangsbegrænsninger omkring en tjeneste skal passe til dens nødvendige læse- og skriveoperationer. Hvis en kontrol blokerer et legitimt dokumentforløb, er næste trin at undersøge den konkrete tilladelse, ikke automatisk at deaktivere mekanismen globalt.
Kontroller også rettigheder på midlertidige filer. En server kan være godt beskyttet ved login og stadig efterlade konverterede dokumenter tilgængelige for andre lokale tjenester. Arbejdsmappe, oprydning og logindhold skal passe til dataminimering og begrænset adgang.
Undgå at ændre et helt system efter en samling kommandoer fra en anden distribution. Filplaceringer, tjenestenavne og standarder varierer. Registrer det valgte resultat og den officielle reference, og afprøv den konkrete ændring på en repræsentativ installation.
En udfyldt beslutningstabel
Kystdata beskriver de første fire ændringer således:
| Fund | Beslutning | Verifikation |
|---|---|---|
| Almindelige Windows-brugere har lokale administratorrettigheder | Fjern rettigheden for pilotgruppen; afklar ét ældre program særskilt | Program og daglige opgaver gennemføres med almindelig bruger |
| Dokumentserveren tillader bred netværksadgang | Begræns modtagelse til applikationen og administration til godkendt vej | Tilladt forløb fungerer, øvrig aftalt prøveadgang afvises |
| Midlertidige dokumenter kan læses af en anden tjenestekonto | Afgræns mapper og kontorettigheder | Den nødvendige konvertering virker, anden konto kan ikke læse filerne |
| Lokale logfiler mangler central kopi | Send relevante hændelser til beskyttet logmodtager | En syntetisk hændelse kan findes og forbindes centralt |
Tabellen viser de observerede problemer, ikke en udtømmende minimumsstandard. Den kan bruges til at forklare, hvorfor ændringerne prioriteres, og hvornår systemejeren kan anse hver opgave som udført. Et generelt mærke som hærdet ville skjule disse afgørende forskelle.
Opdateringer og hærdning skal arbejde sammen
En opdatering kan rette en sårbarhed, mens hærdning begrænser funktioner og adgang. Begge dele skal vedligeholdes. En opdateret server kan stadig have unødvendig offentlig administration, og en stramt konfigureret server kan stadig køre en sårbar komponent, som kræver en rettelse.
Prioritér en kendt sårbarhed efter eksponering, udnyttelse, berørte oplysninger og mulige foranstaltninger. En score alene beskriver ikke hele driftsrisikoen. Hvis en opdatering ikke kan gennemføres straks, skal en ansvarlig vælge en midlertidig begrænsning og følge den op. Udokumenteret udsættelse er ikke en kompenserende kontrol.
En intern frist for opdatering kan være nyttig og skal være realistisk at følge. Den bør angives som virksomhedens risikobaserede beslutning eller en konkret kontraktuel eller retlig pligt, hvis en sådan findes. Påstå ikke, at GDPR eller NIS2 generelt giver præcis samme antal timer til alle kritiske fejl.
Pilot og mulighed for tilbageførsel
Vælg repræsentative systemer, der omfatter de svære arbejdsopgaver. En pilot på en tom standardcomputer siger lidt om et ældre fagsystem. Kystdata bruger derfor både en almindelig kontorbruger og en medarbejder med det program, der tidligere krævede administratoradgang.
Før ændringen registreres gældende indstillinger, nødvendige afhængigheder og den godkendte vej tilbage. Tilbageførsel skal kunne ske, hvis en nødvendig opgave bliver utilgængelig, men skal efterfølges af en afgrænset rettelse. Ellers bliver piloten blot en undskyldning for at opgive hele sikkerhedsforbedringen.
I eksemplet fungerer de almindelige kontoropgaver efter fjernelse af administratorrettigheder. Det ældre program fejler ved en eksport til en beskyttet mappe. Teamet konstaterer, at programmet kun behøver en anden eksportplacering. Det ændrer arbejdsproceduren og kan dermed bevare den begrænsede konto frem for at give bred administratoradgang tilbage.
Dokumenter afvigelser og kontroller drift over tid
En begrundet afvigelse skal have omfang, ejer, risikovurdering og tidspunkt for genvurdering. Den må ikke blot være en global udelukkelse af alle servere fra sikkerhedspolitikken. Knyt den til en bestemt systemreference og den indstilling, som endnu ikke kan anvendes.
Sikkerhedslogning kan vise ændringer i administration og uventede hændelser. Konfigurationskontrol kan vise, at en vedtaget indstilling er blevet ændret. De to kontroller supplerer hinanden: En log over en politikændring viser ikke alene, hvilke enheder der faktisk fik den nye værdi.
Gennemgå især nye installationer og enheder, der vender tilbage efter reparation. En geninstalleret computer kan have mistet organisationens særlige konfiguration. Standardbilleder og automatisering skal derfor vedligeholdes sammen med den faktiske drift.
Hvad viser et forsvarligt resultat?
Ved afslutning kan Kystdata fremvise den valgte reference, anvendelsesområdet, de gennemførte ændringer, pilotresultater og åbne afvigelser. Systemejerne bekræfter, at de nødvendige funktioner stadig virker. Den sikkerhedsansvarlige kan se, hvilke risici der er reduceret, og hvilke der stadig kræver beslutning.
Resultatet forbindes med informationssikkerhedspolitikken og beredskabsplanen. Hvis en ændring påvirker gendannelse eller nødadgang, skal de tilhørende procedurer opdateres. Kontrol af en baseline er et bidrag til sikkerhedsarbejdet; den er ikke et bevis for, at hele organisationen opfylder samtlige GDPR-krav.
Produkt- og myndighedshenvisningerne er kontrolleret 8. september 2026. Kystdatas fund og beslutninger er et fiktivt forløb, som illustrerer en kontrolleret indførelse af hærdning.