Endpoint

I sikkerhedssammenhæng er et endpoint en vært, der afslutter netværkskommunikation og kører workloads eller betjener brugere, i modsætning til mellemliggende infrastruktur som routere, switche, firewalls og load balancere. Kategorien er bred: administrerede bærbare og stationære pc'er, servere og virtuelle maskiner, mobile enheder og en lang hale af indlejrede enheder - printere, IP-telefoner, kameraer, kortlæsere, medicoudstyr, bygningsautomatik og PLC'er. Den skelnen, der betyder noget i driften, er ikke enhedstypen, men om enheden kan administreres: om den kan køre en agent (EDR, MDM/UEM-klient, patchagent), om organisationen styrer dens konfiguration, og om dens firmware stadig understøttes. Enheder uden skærm og indlejrede enheder kan ofte slet ikke få en agent og må i stedet beskyttes med netværkssegmentering, NAC og passiv overvågning.

Ordet har også en anden, urelateret betydning i softwareudvikling, hvor et API-endpoint er en URL eller route, der modtager forespørgsler. Endpoint-sikkerhed handler om enheden, API-sikkerhed om grænsefladen; de to bliver af og til blandet sammen i udbudsmateriale.

Endpoint-sikkerhed er en lagdelt stak: hærdet basiskonfiguration (CIS Benchmarks, Microsofts security baselines), fuld diskkryptering (BitLocker, FileVault, LUKS) med nøgler deponeret centralt, værtsbaseret firewall, applikationskontrol, patching af styresystem, applikationer og firmware, lokale administratorrettigheder fjernet eller styret (fx med Windows LAPS), EPP/EDR og enhedsstyring, der kan slette en mistet enhed. Moderne design tilføjer attestering af enhedens tilstand - TPM-baseret measured boot og status for secure boot rapporteret til identitetsudbyderen - så betinget adgang i en Zero Trust-arkitektur kan afvise en anmodning fra en enhed, der er uadministreret, forældet eller manipuleret. BYOD komplicerer billedet: organisationen styrer typisk kun en app-container eller en arbejdsprofil frem for hele enheden, hvilket begrænser både kontrol og indsigt og har databeskyttelsesmæssige konsekvenser, når man overvåger medarbejderes private enheder.

ISO/IEC 27002:2022 kontrol 8.1 (brugerendepunktsudstyr) dækker registrering, beskyttelse og acceptabel brug, og CIS Controls v8 behandler slutbrugerenheder, servere og mobile enheder som virksomhedsaktiver under Control 1 (fortegnelse), Control 4 (sikker konfiguration) og Control 10 (malwareforsvar). Endpoints vejer uforholdsmæssigt tungt, fordi den indledende adgang - vedhæftede filer i phishingmails, drive-by-downloads, ondsindede USB-medier, stjålne sessionstokens i browseren - lander dér, og fordi legitimationsoplysninger gemt på et endpoint er råmaterialet til lateral bevægelse.