Testy penetracyjne a skan podatności — jaka jest różnica?

Skaner wskazuje potencjalne podatności. Pentester sprawdza, czy można je realnie wykorzystać, połączyć w ścieżkę ataku i osiągnąć istotny cel.

Skan podatności i test penetracyjny odpowiadają na inne pytania. Automatyczny skaner próbuje zidentyfikować znane problemy na podstawie wersji oprogramowania, konfiguracji i charakterystycznych odpowiedzi usług. Pentest wykorzystuje te informacje jako jeden z elementów pracy, ale idzie dalej.

Co daje skan podatności?

Jest szybki, powtarzalny i przydatny do regularnej kontroli dużej liczby urządzeń. Dobrze sprawdza się jako element ciągłego zarządzania podatnościami. Jego wynik wymaga jednak weryfikacji, ponieważ może zawierać zarówno fałszywe alarmy, jak i problemy, których automat nie potrafi znaleźć.

Co robi pentester?

Pentester analizuje środowisko jak potencjalny napastnik, ale działa w ustalonym zakresie i według uzgodnionych zasad. Sprawdza nie tylko pojedynczą lukę, lecz również to, czy kilka drobniejszych błędów można połączyć w skuteczną ścieżkę ataku.

• błędy uwierzytelniania i autoryzacji,
• niewłaściwe uprawnienia,
• podatności aplikacji internetowych i API,
• konfigurację usług wystawionych do Internetu,
• możliwość eskalacji uprawnień i ruchu lateralnego,
• wpływ skutecznego ataku na dane i procesy biznesowe.

Dlaczego zakres i zasady testu są kluczowe?

Pentest powinien mieć określone systemy docelowe, dozwolone techniki, godziny wykonywania bardziej ryzykownych działań, kontakty awaryjne i procedurę zatrzymania testu. Celem nie jest „udowodnienie, że da się coś zepsuć”, tylko bezpieczne uzyskanie dowodu na realne ryzyko.

Kiedy wykonywać pentest?

Warto rozważyć go przed uruchomieniem ważnej aplikacji, po istotnej przebudowie infrastruktury, po zmianach w mechanizmach logowania lub uprawnień, a także cyklicznie dla systemów wystawionych do Internetu i istotnych z punktu widzenia działalności firmy.