En medarbejder bruger sin Windows-computer til e-mail, dokumenter, videomøder og forskellige arbejdsprogrammer.

Alt ser normalt ud.

Men hvordan ved IT-afdelingen, om de grundlæggende sikkerhedsfunktioner faktisk fungerer?

Er firewallen aktiveret? Hvad er status på antivirusbeskyttelsen? Er systemdrevet krypteret? Og hvilken Windows-version kører computeren?

Det er spørgsmål, som kan undersøges med PowerShell.

I denne vejledning gennemgår vi fire praktiske kontroller, der kan hjælpe med at skabe et grundlæggende overblik over sikkerheden på en Windows-arbejdscomputer.

Eksemplerne er primært beregnet til Windows 10 og Windows 11 i miljøer, hvor de nødvendige PowerShell-moduler findes.

Vigtigt: Kommandoerne i guiden læser oplysninger. De ændrer ikke firewallregler, antivirusindstillinger eller kryptering. Brug dem kun på enheder, som du har tilladelse til at administrere.

Hvorfor er et sikkerhedstjek nyttigt?

Forestil dig en virksomhed med 20 arbejdscomputere.

Computerne blev ikke nødvendigvis indkøbt på samme tidspunkt. Nogle er nyere, andre har været i brug i flere år.

Medarbejderne bruger måske de samme programmer, men der kan stadig være forskelle i sikkerhedsindstillinger og operativsystemer.

En grundlæggende kontrol kan hjælpe IT-afdelingen med at opdage forhold, der kræver nærmere undersøgelse.

Det er dog vigtigt at skelne mellem et teknisk statuscheck og en komplet sikkerhedsvurdering.

En aktiveret firewall betyder ikke automatisk, at alle firewallregler er korrekte.

Et krypteret systemdrev betyder heller ikke, at computeren er beskyttet mod enhver form for datatab.

PowerShell giver os information.

Det er den efterfølgende vurdering, der afgør, hvad informationen skal bruges til.

1. Kontroller Windows-version og systemoplysninger

Før vi undersøger sikkerhedsindstillingerne, er det nyttigt at vide, hvilket operativsystem computeren bruger.

Åbn Windows PowerShell og kør:

Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber, LastBootUpTime

Kommandoen viser blandt andet operativsystemets navn, version, buildnummer og seneste opstartstidspunkt.

Disse oplysninger kan bruges ved fejlfinding og inventararbejde.

En ældre Windows-version kan eksempelvis kræve nærmere undersøgelse af supportstatus og sikkerhedsopdateringer.

Men kommandoen fortæller ikke alene, om alle nødvendige opdateringer er installeret.

Derfor bør resultatet sammenholdes med virksomhedens godkendte Windows-versioner og dens løsning til opdateringsstyring.

Hvis virksomheden administrerer mange computere, er det også relevant at dokumentere, hvilke enheder der afviger fra den ønskede konfiguration.

2. Undersøg Windows Firewall

Windows Firewall hjælper med at kontrollere netværkstrafik efter konfigurerede regler.

Windows bruger forskellige firewallprofiler, blandt andet Domain, Private og Public.

Du kan se profilernes aktuelle indstillinger med følgende kommando:

Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction

ActiveStore bruges her for at læse de gældende profilindstillinger.

Resultatet viser blandt andet, om de enkelte firewallprofiler er aktiveret.

Hvis en profil viser Enabled som False, bør den IT-ansvarlige undersøge, hvorfor den er deaktiveret.

Det betyder ikke nødvendigvis, at du straks skal ændre indstillingen.

I et administreret virksomhedsmiljø kan firewallkonfigurationen være styret gennem centrale sikkerhedspolitikker.

Derfor bør ændringer planlægges og godkendes efter virksomhedens normale procedurer.

Hvad skal du især kigge efter?

  • Om den relevante firewallprofil er aktiveret.
  • Om standardreglerne passer til virksomhedens sikkerhedspolitik.
  • Om resultatet stemmer overens med den centralt administrerede konfiguration.

Husk, at en aktiveret firewallprofil ikke i sig selv dokumenterer, at alle individuelle regler er sikre.

Det kræver en mere detaljeret gennemgang.

3. Kontroller Microsoft Defender Antivirus

Microsoft Defender Antivirus er en del af Windows' sikkerhedsfunktioner.

PowerShell kan bruges til at undersøge status på Defender, hvis funktionen og det relevante modul er tilgængelige.

Kør:

Get-MpComputerStatus | Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

Resultatet kan give oplysninger om antivirusprogrammets driftstilstand, realtidsbeskyttelse og tidspunktet for den seneste signaturopdatering.

Feltet AMRunningMode er særligt relevant.

Hvis det viser Normal, kører Microsoft Defender Antivirus normalt i aktiv tilstand.

Men ikke alle virksomheder bruger Microsoft Defender som deres primære antivirusløsning.

I nogle miljøer kan Defender være i passiv tilstand, fordi en anden godkendt sikkerhedsløsning er aktiv.

Derfor bør resultatet ikke vurderes uden kendskab til virksomhedens sikkerhedsopsætning.

En status, der ser anderledes ud end forventet, er et signal om at undersøge forholdet nærmere.

Det er ikke automatisk dokumentation for en sikkerhedsfejl.

Hvis kommandoen ikke er tilgængelig, bør IT-afdelingen kontrollere, hvilke sikkerhedsprodukter enheden bruger, og hvordan de administreres.

4. Undersøg BitLocker-kryptering

En bærbar arbejdscomputer kan indeholde dokumenter, lokale filer og andre virksomhedsoplysninger.

Hvis computeren bliver mistet eller stjålet, kan drevkryptering være en vigtig del af beskyttelsen.

Windows understøtter BitLocker-kryptering på relevante enheder og udgaver.

Du kan undersøge status på systemdrevet med:

Get-BitLockerVolume -MountPoint $env:SystemDrive | Select-Object MountPoint, VolumeStatus, ProtectionStatus, EncryptionMethod

Kommandoen viser oplysninger om drevets kryptering og beskyttelsesstatus, når BitLocker-modulet er tilgængeligt.

Det er vigtigt at se på både VolumeStatus og ProtectionStatus.

Et drev kan eksempelvis have krypterede data, mens beskyttelsen midlertidigt er suspenderet.

Hvis beskyttelsen ikke er aktiv som forventet, bør den IT-ansvarlige undersøge årsagen.

Ændr ikke krypteringsindstillinger uden en godkendt plan.

Forkert håndtering kan skabe problemer med adgang til data.

Virksomheden bør også have en sikker proces til administration af nødvendige gendannelsesnøgler.

Disse nøgler må ikke medtages i almindelige statusrapporter eller deles gennem ubeskyttede kanaler.

5. Saml de grundlæggende oplysninger i en rapport

Når de enkelte kommandoer er undersøgt, kan det være nyttigt at samle nogle af resultaterne.

Nedenstående eksempel opretter et simpelt PowerShell-objekt med status på Windows, firewall og Microsoft Defender Antivirus.

$os = Get-CimInstance -ClassName Win32_OperatingSystem $firewall = Get-NetFirewallProfile -PolicyStore ActiveStore $report = [ordered]@{ ComputerName = $env:COMPUTERNAME WindowsVersion = $os.Caption WindowsBuild = $os.BuildNumber FirewallProfilesEnabled = ( ($firewall | Where-Object Enabled).Name -join ", " ) } try { $defender = Get-MpComputerStatus -ErrorAction Stop $report["DefenderMode"] = $defender.AMRunningMode $report["DefenderRealtime"] = $defender.RealTimeProtectionEnabled } catch { $report["DefenderMode"] = "Ikke tilgaengelig" $report["DefenderRealtime"] = "Ikke tilgaengelig" } [PSCustomObject]$report | Format-List

Eksemplet er bevidst enkelt.

Det ændrer ikke computerens sikkerhedsindstillinger og er ikke en fuld sikkerhedstest.

Bemærk også, at feltet med firewallprofiler kun viser, hvilke profiler der er aktiveret. Det vurderer ikke alle firewallregler.

Hvis virksomheden bruger tredjeparts antivirus eller central sikkerhedsstyring, kan yderligere kontroller være nødvendige.

Det er også vigtigt, at fejl fra kommandoer bliver registreret korrekt.

En kontrol, der ikke kan gennemføres, skal ikke behandles som et vellykket sikkerhedstjek.

6. Eksporter rapporten til CSV

Når rapporten er oprettet, kan den eksporteres til en CSV-fil, som kan bruges til en intern gennemgang.

$path = Join-Path $env:USERPROFILE "Documents\security-check.csv" [PSCustomObject]$report | Export-Csv -Path $path -NoTypeInformation -Encoding UTF8

Kommandoen forudsætter, at brugerens dokumentmappe findes og er skrivbar.

CSV-filen kan derefter åbnes i et regneark eller behandles med andre godkendte værktøjer.

Hvis rapporten skal indsamles fra flere computere, bør virksomheden først planlægge, hvilke oplysninger der faktisk er nødvendige.

En inventarliste kan indeholde interne tekniske detaljer.

Derfor skal adgang, opbevaring og eventuel sletning håndteres efter virksomhedens sikkerhedspolitik.

Undgå at offentliggøre rapporter med computernavne, brugernavne eller andre interne oplysninger uden tilladelse.

Hvad fortæller disse fire kontroller ikke?

Et PowerShell-tjek kan give nyttige oplysninger, men det har klare begrænsninger.

Det fortæller eksempelvis ikke automatisk:

  • Om medarbejderne kan genkende phishingforsøg.
  • Om Microsoft 365-adgangsrettighederne er korrekt administreret.
  • Om virksomhedens backup kan gendannes.
  • Om alle programmer modtager sikkerhedsopdateringer.
  • Om enheden er fri for alle former for kompromittering.

Derfor bør et sikkerhedstjek indgå i en bredere proces.

Virksomheden kan have behov for at gennemgå brugeradgange, backup, opdateringsstyring og sine procedurer for sikkerhedshændelser.

Hvis der findes centralt administrerede sikkerhedspolitikker, bør lokale kontroller også sammenholdes med den officielle konfiguration.

Målet er ikke blot at samle flest mulige oplysninger.

Målet er at finde de forhold, som kræver handling.

IT Sikkerhed Kolding: Fra PowerShell-resultater til bedre praksis

For virksomheder, der arbejder med IT Sikkerhed Kolding, er tekniske kontroller kun én del af det samlede sikkerhedsarbejde.

Det er også relevant at kende virksomhedens vigtigste systemer, medarbejdernes adgangsbehov og procedurerne for håndtering af fejl.

HOUSE4IT A/S har base i Kolding og arbejder med IT-support, IT-sikkerhed, Microsoft 365, cloudløsninger og rådgivning til erhverv.

Virksomheder kan læse mere om IT-sikkerhed og digitale løsninger hos HOUSE4IT A/S for at få et overblik over de relevante serviceområder.

Den rigtige sikkerhedsindsats bør altid tage hensyn til virksomhedens eksisterende systemer og faktiske risici.

En mindre arbejdsplads kan have brug for en enkel gennemgang af sine vigtigste computere.

En større organisation kan have behov for central administration, regelmæssige rapporter og mere omfattende sikkerhedskontrol.

Det vigtigste er, at tekniske resultater bliver fulgt op af en ansvarlig vurdering.

Gør sikkerhedstjek til en vedligeholdelsesrutine

En enkelt statusrapport er et øjebliksbillede.

En computer kan være korrekt konfigureret i dag og få ændrede indstillinger senere.

Derfor kan det være relevant at gennemføre kontroller regelmæssigt, afhængigt af virksomhedens behov og sikkerhedspolitik.

Det er også vigtigt at følge op på de problemer, der bliver fundet.

Hvis en firewallprofil er deaktiveret, bør årsagen undersøges.

Hvis BitLocker-beskyttelsen ikke er aktiv som forventet, bør forholdet vurderes af den ansvarlige administrator.

Og hvis antivirusstatus ikke kan aflæses, skal virksomheden finde ud af, hvilken sikkerhedsløsning der faktisk beskytter enheden.

Det er her, dokumentation bliver nyttig.

Ikke som et regneark, der bare skal udfyldes.

Men som et redskab til at forstå og forbedre virksomhedens IT-miljø.

Afsluttende tanke

PowerShell er et effektivt værktøj til at undersøge Windows-systemer.

Men et script kan ikke alene skabe en sikker arbejdsplads.

Det kan vise oplysninger om firewall, antivirus, kryptering og operativsystem.

Det kan også gøre gentagne kontroller mere ensartede.

Men nogen skal stadig forstå resultaterne, vurdere risikoen og beslutte, hvilke ændringer der er nødvendige.

God IT-sikkerhed begynder med overblik og fortsætter gennem klare rutiner, teknisk vedligeholdelse og ansvarlige beslutninger.

Et sikkerhedstjek er ikke målet i sig selv. Det er begyndelsen på at stille de rigtige spørgsmål om virksomhedens digitale beskyttelse.