Hvad finder en sårbarhedsscanning?
Scanneren sammenligner det, den ser, med databaser over kendte sårbarheder (CVE’er) og kendte fejlkonfigurationer. Typiske fund: manglende sikkerhedsopdateringer, udløbne eller svage TLS-opsætninger, åbne porte og unødvendige tjenester, standardkodeord, forældede CMS-komponenter og plugins, samt manglende sikkerhedsheadere på websites.
Hvert fund får typisk en CVSS-score (0–10), der angiver teknisk alvorlighed. Vigtigt: Scoren siger ikke i sig selv, hvad fundet betyder for jer — en “kritisk” sårbarhed på et isoleret testsystem kan være mindre vigtig end en “middel” på jeres mailserver. Prioritering kræver kontekst.
Hvilke typer scanning findes der?
- Ekstern (uautentificeret): Ser jeres systemer udefra, som en angriber på internettet ville. Afdækker jeres eksponerede angrebsflade.
- Intern: Kører inde i netværket og viser, hvad en angriber kunne udnytte efter at have fået fodfæste — typisk langt flere fund.
- Autentificeret: Scanneren logger ind på systemerne og kan se installerede versioner og konfigurationer direkte. Giver markant færre falske positiver og mere præcise resultater.
- Webapplikationsscanning: Specialiseret mod websites og webapps — relevant for alt fra WordPress til kundeportaler.
Hvad er forskellen på scanning og penetrationstest?
Scanningen finder mulige sårbarheder automatisk; pentesten verificerer og udnytter dem manuelt og viser den reelle konsekvens. Scanningen kører månedligt eller oftere som hygiejne; pentesten er det periodiske realitetstjek. De erstatter ikke hinanden — og en “pentest-rapport”, der reelt kun er scanneroutput, er et advarselstegn, når I sammenligner leverandører.
Hvor ofte — og hvad gør I med resultaterne?
Internetvendte systemer bør scannes mindst månedligt og efter væsentlige ændringer; mange vælger ugentligt eller løbende. Men scanningen er kun værdifuld, hvis der er en proces bag: ejerskab for udbedring, frister efter alvorlighed (fx kritiske fund inden for få dage) og opfølgende scanning, der bekræfter at hullet er lukket. En rapport på 400 fund uden handling er ikke sikkerhed — det er dokumentation af problemet.
For NIS2-omfattede virksomheder og deres leverandører er regelmæssig sårbarhedshåndtering en naturlig del af kravet om at afprøve og vurdere sikkerhedsforanstaltninger.