Ordene, forklart

En penetrasjonstest er et avtalt forsøk på å bryte seg inn i et system, utført av noen som skriver ned hvordan det gikk. Omfanget avtales skriftlig på forhånd, og testen holder seg innenfor det.

Forskjellen fra en skanning er at et menneske følger en tanke videre. Et verktøy rapporterer funn ett og ett; en test følger kjeden fra første inngang til der den stopper.

Sårbarhetsskanning er en automatisk gjennomgang som sammenligner det den finner mot en liste over kjente svakheter. Den er rask, billig og kan kjøres ofte.

Den finner det som står på listen, og bare det. Feil i forretningslogikk og tilgangskontroll står ikke på noen liste, fordi de er unike for hver applikasjon.

Et red team-oppdrag tester om en virksomhet oppdager og håndterer et angrep, i stedet for å lete etter flest mulig svakheter. Bare noen få vet at det pågår.

Svaret er ofte at ingen så noe. Det er et funn om deteksjon og beredskap, ikke om en enkelt feil, og det gjelder alle framtidige hendelser.

Blue team er de som forsvarer: de som drifter, overvåker og rydder opp. Begrepet brukes mest når det står ved siden av red team.

Angrepsflaten er alt en utenforstående kan nå og forsøke seg på: domener, tjenester, innlogginger, API-er og filer som ligger åpent.

Den vokser av seg selv. Et testmiljø satt opp for tre år siden og aldri slått av er angrepsflate ingen lenger tenker på, og det er ofte der veien inn går.

OWASP Top 10 er en liste over de ti vanligste kategoriene av svakheter i webapplikasjoner, utgitt av Open Worldwide Application Security Project.

Den er et utgangspunkt, ikke en fasit. En test som bare krysser av på ti punkter er en sjekkliste, og sjekklisten finner ikke det som er spesielt for akkurat deres system.

En CVE er et offentlig identifikasjonsnummer for én bestemt kjent sårbarhet i en bestemt programvare, på formen CVE-2024-12345.

Nummeret sier hva svakheten er, ikke om den gjelder dere. Programvaren kan være sårbar i teorien og utilgjengelig i praksis, og motsatt.

CVSS er en poengskala fra 0 til 10 som brukes til å angi hvor alvorlig en sårbarhet er teknisk sett.

Poengsummen kjenner ikke virksomheten deres. En 9.8 i et system uten data betyr mindre enn en 6.1 i lønnssystemet, og derfor settes alvorlighetsgrad her etter hva som faktisk kan skje hos dere.

IDOR er når en applikasjon lar en bruker nå data som tilhører en annen, fordi den bruker en identifikator fra forespørselen uten å kontrollere hvem som spør.

Dette er den vanligste alvorlige feilen i norske webapplikasjoner, og ingen automatisk skanner finner den, fordi den bare synes når man er logget inn som to forskjellige brukere.

XSS er når en applikasjon viser innhold fra en bruker uten å behandle det som tekst, slik at det i stedet kjøres i nettleseren til den som ser på siden.

Konsekvensen er at handlinger utføres i en annen brukers navn, i den brukerens innlogging. En Content-Security-Policy begrenser skaden når det først skjer.

SQL-injeksjon er når data fra en bruker havner i en databasespørring på en måte som endrer hva spørringen gjør.

Den er velkjent og godt løst av moderne rammeverk, og den dukker fortsatt opp der noen har satt sammen en spørring for hånd fordi det var raskere.

CSRF er når et annet nettsted får nettleseren din til å utføre en handling i en tjeneste du allerede er logget inn på, uten at du ville det.

SSRF er når en applikasjon kan lures til å hente en adresse på vegne av den som spør, og dermed nå noe som ellers bare er tilgjengelig fra innsiden.

Det er særlig alvorlig i sky, der interne adresser kan gi ut nøkler og tilganger til den som klarer å få serveren til å spørre.

Rettighetseskalering er å gå fra de tilgangene man har til flere, for eksempel fra vanlig bruker til administrator.

Sidelengs bevegelse er å komme seg fra én maskin eller konto til den neste inne i et nettverk, etter at man først har kommet inn ett sted.

Det er her spørsmålet «hva skjer hvis noen kommer inn» faktisk får et svar, og det er derfor internnettesting ser på nettopp dette.

SPF er en DNS-post som lister opp hvilke servere som har lov til å sende e-post for et domene.

SPF alene stopper ingenting. Den forteller mottakeren hva som er riktig, og uten DMARC er det opp til mottakeren om den bryr seg.

DKIM er en signatur som legges på hver utgående e-post, slik at mottakeren kan kontrollere at innholdet ikke er endret underveis.

DMARC er en DNS-post som sier hva mottakeren skal gjøre med e-post som ikke består SPF eller DKIM, og hvor rapporter skal sendes.

Dette er den eneste av de tre som faktisk stopper noe, og bare når policyen er satt til quarantine eller reject. På p=none blokkeres ingenting.

E-postforfalskning er å sende e-post som ser ut til å komme fra en annen avsender enn den faktiske.

Det er den vanligste måten en faktura blir betalt til feil kontonummer på, og det stoppes av SPF, DKIM og DMARC satt opp sammen.

Phishing er e-post eller meldinger som skal få mottakeren til å oppgi opplysninger eller gjøre noe, ved å utgi seg for å være noen de stoler på.

Spear phishing er den målrettede varianten, skrevet til én person med opplysninger om dem. Den er langt mer effektiv, og den er den som brukes mot virksomheter.

Subdomeneovertakelse er når et subdomene peker på en tjeneste som ikke lenger finnes, slik at en utenforstående kan registrere den tjenesten og overta adressen.

Adressen tilhører fortsatt dere. Alt som ligger der ser ut som deres, inkludert til en phishing-side.

TLS er krypteringen mellom nettleseren og serveren, det som gjør at adressen begynner med https. SSL er det gamle navnet på det samme, og protokollene som faktisk het SSL er utdaterte.

Det som går galt er nesten aldri oppsettet. Det er fornyingen av sertifikatet, som svikter stille og tar ned alt den dagen det utløper.

HSTS er et svarhode som forteller nettleseren at dette nettstedet alltid skal nås over https, også neste gang.

Uten det er første besøk over http, og det er der en angriper på samme nett kan legge seg imellom. Med preload gjelder det fra aller første besøk, men det er vanskelig å reversere.

CSP er et svarhode som sier hvilke kilder nettleseren har lov til å laste skript, stiler og bilder fra.

Det er det mest effektive tiltaket mot XSS, og det er også det letteste å sette opp slik at det ser ut til å virke uten å gjøre det. En CSP med unsafe-inline består en overfladisk test og stopper ikke det den er laget for.

Certificate Transparency er offentlige logger over alle sertifikater som utstedes, slik at hvem som helst kan se hva som er utstedt for et domene.

For dere er det to ting: dere finner subdomener og testmiljøer ingen husker, og dere ser om noen har fått utstedt et sertifikat for domenet deres som de ikke skulle hatt.

Tofaktor er å kreve mer enn et passord for å logge inn, typisk en kode eller en godkjenning i en app i tillegg.

Det er det enkleste tiltaket med størst effekt, fordi et stjålet passord alene da ikke lenger holder. Det virker bare hvis de gamle innloggingsmåtene stenges samtidig.

Legacy auth er eldre innloggingsprotokoller som ikke kan bruke tofaktor, og som slipper inn den som har riktig passord.

Står de åpne, er tofaktor uten virkning. Dette er det steget som oftest blir hoppet over når tofaktor rulles ut.

Conditional Access er regelverket i Microsoft Entra som bestemmer hvem som slipper inn hvor, under hvilke betingelser.

Reglene er kraftige nok til å låse hele virksomheten ute av sin egen leietaker, og derfor lages nødkontoer før den første regelen slås på.

En passkey er en innlogging basert på en nøkkel lagret på enheten din i stedet for et passord, låst opp med fingeravtrykk, ansikt eller PIN.

Den kan ikke phishes på samme måte som en kode, fordi nøkkelen bare virker mot nettstedet den ble laget for.

Minste privilegium er prinsippet om at en konto skal ha akkurat de tilgangene den trenger for oppgaven sin, og ikke flere.

Scope er den skriftlige avtalen om hva som skal testes, hvordan og når. Alt utenfor scope testes ikke.

Det er både en avgrensning av jobben og den juridiske forutsetningen for at testingen er lovlig. Ingenting kjøres før det er signert.

En falsk positiv er et funn et verktøy har meldt, som ved kontroll viser seg ikke å være et reelt problem.

En rapport full av dem er verre enn ingen rapport, fordi den bruker opp tiden til dem som skal rette noe. Derfor kontrolleres funn før de skrives ned.

En retest er en ny kontroll av funnene etter at de er rettet, for å bekrefte at rettingen faktisk virker.

Det er verdt å gjøre. En retting som ser riktig ut i koden treffer ikke alltid det som var problemet.

Ansvarlig offentliggjøring er praksisen der den som finner en svakhet melder den til eieren først og gir dem tid til å rette den før noe blir offentlig.

Et bug bounty-program betaler utenforstående for å melde inn svakheter de finner, som regel etter alvorlighetsgrad.

Det er et supplement til testing, ikke en erstatning. Programmet dekker det noen velger å se på, mens en test dekker det som er avtalt.

Digitalsikkerhetsloven er den norske loven om digital sikkerhet for tilbydere av samfunnsviktige tjenester, i kraft fra 1. oktober 2025. Den gjennomfører NIS1-direktivet, ikke NIS2.

Den krever sikkerhetstiltak som står i forhold til risikoen, og varsling av alvorlige hendelser. Den sier ikke at dere skal ha penetrasjonstest. Se siden om digitalsikkerhetsloven for hva som faktisk er bekreftet.

NIS2 er EUs direktiv (EU) 2022/2555 om digital sikkerhet, med gjennomføringsfrist i EU i oktober 2024. Det er ikke gjennomført i norsk rett, og vi har ikke funnet noen bekreftet norsk ikrafttredelsesdato.

Datoene som sirkulerer i norsk markedsføring om NIS2 i 2026 klarte vi ikke å spore til noen myndighetskilde. Siden om NIS2 lister dem opp én for én og sier hvor vi lette.

DORA er EU-forordningen om digital operasjonell motstandsdyktighet i finanssektoren, som gjelder i Norge fra 1. juli 2025 gjennom DORA-loven. Finanstilsynet fører tilsyn.

For de virksomhetene som omfattes av kravet, skal trusselbasert penetrasjonstesting gjennomføres minst hvert tredje år. Nøyaktig hvem som omfattes leses ulikt av ulike kilder, og det står i uavklart-delen på siden om ISO 27001.

Sikkerhetsloven fra 2018, i kraft 1. januar 2019, gjelder statlige, fylkeskommunale og kommunale organer, og virksomheter et departement har bestemt at loven gjelder for.

Den handler om grunnleggende nasjonale funksjoner. Er dere omfattet, vet dere som regel om det, fordi et departement har sagt det.

ISO 27001 er standarden for styringssystemer for informasjonssikkerhet. Den krever systematisk risikostyring og et sett sikkerhetstiltak.

Den pålegger ikke penetrasjonstest. En test er én måte å vise at tiltak er kontrollert, og den er ikke den eneste. Se siden om ISO 27001.

En avviksmelding er varselet til Datatilsynet om et brudd på personopplysningssikkerheten, som skal sendes innen 72 timer.

Fristen løper fra dere ble klar over bruddet, ikke fra undersøkelsen er ferdig. En foreløpig melding er tillatt og forventet når bildet er ufullstendig.