Säkerhetstest & lasttest

Nivå 1 — icke-destruktivt

Kontroller som kan köras när som helst utan att störa driften:

• Rekognosering — TCP- och UDP-portscan från både insida och utsida; verifierar att management-gränssnittet aldrig syns från internet (WAN).
• Autentisering — att brute-force-spärren låser efter för många försök (dubbla räknare per IP och per användarnamn) och att spärren inte går att kringgå genom att rotera käll-IP.
• Behörighet (RBAC) — att skyddade endpoints kräver token och att en läsroll inte kommer åt admin-funktioner.
• Indatavalidering — regressionstest mot tidigare hittade fel: flagg-injektion, sökvägsflykt, m.m.
• TLS & DNS — säkerhetsheaders, att gamla TLS-protokoll avvisas, och att resolvern inte är en öppen resolver mot internet.
• DHCP — upptäcker rogue-DHCP-servrar på nätet.
• Anti-spoofing — att förfalskade käll-IP:n från utsidan droppas.
• Regelrevision — genomlyser brandväggsreglerna och flaggar för brett tillåtande (any→any) eller ologgade regler.

Nivå 2 — destruktivt (belastning)

Skarpa attacker som mäter hur brandväggen beter sig under press:

• Överbelastning — SYN-flod, långsamma anslutningar (slowloris), DNS-flod samt mättnad av tillståndstabellen (conntrack).
• DHCP-svältning — fullständiga DORA-handskakningar med slumpade MAC för att se om lease-poolen kan tömmas.
• Intrång under last — försöker ta sig in medan brandväggen överbelastas, för att fånga fel som bara uppstår vid resursbrist (att WAN-spärr, auth, indatavalidering och utlåsning håller även då).
• IDS-effektivitet & evasion — skickar känd skadlig trafik (Shellshock, Log4Shell, sökvägsflykt, SQL-injektion) genom brandväggen och verifierar att inbrottsdetekteringen (Suricata) larmar — även när attacken fragmenteras för att smita förbi.
• VPN-auto-block — verifierar att regeln som blockerar käll-IP:n som forcerar VPN från WAN faktiskt droppar dem.
• Kapacitet (RFC 3511) — anslutningar per sekund och hur stor andel legitim trafik som kommer fram medan en attack pågår (goodput under DoS).
• Grannpåverkan — resurskonkurrens från virtualiseringsvärden, för att se om andra laster kan svälta ut brandväggens tjänster.

Scan & rekon

• nmap / nping — port- och tjänstescan, anslutningstakt.
• testssl.sh — TLS-konfiguration och cipher-svagheter.
• dig / dnsblast — DNS-uppslag och -flod.

Last & överbelastning

• hping3 — SYN-/UDP-flod och conntrack-mättnad.
• slowhttptest — slowloris/långsamma anslutningar.
• iperf3 — bandbreddslast, stress-ng — resurskonkurrens på värden.
• wrk / curl — HTTP-last och mätning.

Paketnivå & attacker

• scapy — spoofing, DHCP-DORA och paketkonstruktion.
• nmap -f — fragmenterad trafik för IDS-evasion.
• Kända exploit-mönster — Shellshock, Log4Shell, sökvägsflykt, SQLi.