Testy penetracyjne dla firm

Czym jest test penetracyjny i czym różni się od skanu podatności

Test penetracyjny to kontrolowany atak na infrastrukturę lub aplikację, prowadzony przez specjalistę według uzgodnionego zakresu. Automatyczny skaner znajdzie listę potencjalnych problemów — pentester sprawdza, które z nich da się połączyć w realną ścieżkę ataku i jak daleko można zajść.

Dlatego raport z pentestu to nie setki pozycji do przejrzenia, ale priorytety: co naprawić od razu, co w najbliższym cyklu, a co jest akceptowalnym ryzykiem.

Kiedy warto zlecić pentest

• przed uruchomieniem nowej aplikacji lub sklepu,
• po zmianach w infrastrukturze — migracji do chmury, nowym VPN, zmianie firewalla,
• gdy wymaga tego klient, audytor lub ubezpieczyciel,
• w ramach wymogów dyrektywy NIS2 i regularnej oceny ryzyka,
• po incydencie — by upewnić się, że droga ataku została zamknięta.

Dobrą praktyką jest test co najmniej raz w roku oraz po każdej istotnej zmianie.

Black box, grey box, white box

Różnią się ilością wiedzy przekazanej testerowi. Black box symuluje atak z zewnątrz bez żadnych informacji. Grey box — najczęściej wybierany — zakłada, że tester ma np. konto zwykłego użytkownika. White box to pełny dostęp do dokumentacji i konfiguracji, co pozwala sprawdzić najwięcej w krótszym czasie. Pomagamy wybrać wariant do celu testu i budżetu.

Bezpieczeństwo samego testu

Przed startem podpisujemy zakres i zasady testu: co testujemy, w jakich godzinach, czego nie ruszamy i kogo informujemy przy krytycznym znalezisku. Testy prowadzimy tak, by nie zakłócić pracy firmy — ryzykowne techniki uzgadniamy wcześniej lub wykonujemy poza godzinami pracy.

Usługi testów penetracyjnych — co obejmuje zlecenie

Zlecając usługi testów penetracyjnych, dostajesz więcej niż listę podatności. Każdy test składa się z tych samych etapów: rekonesans (co o firmie widać z internetu), identyfikacja podatności, próby ich wykorzystania, ocena wpływu na biznes i raport z rekomendacjami. Po wdrożeniu poprawek wykonujemy retest, który potwierdza, że luki zostały realnie zamknięte.

Raport ma dwie warstwy: podsumowanie dla zarządu (poziom ryzyka, najważniejsze wnioski, priorytety) oraz część techniczną dla administratorów — każda podatność z oceną CVSS, dowodem wykorzystania i konkretnym sposobem naprawy. Dzięki temu dokument nadaje się zarówno do planowania budżetu, jak i do pracy działu IT, a także jako dowód należytej staranności przy audycie NIS2 czy kontroli RODO.

Testy penetracyjne sieci zewnętrznej i serwerów

Test penetracyjny sieci zewnętrznej sprawdza wszystko, co firma wystawia do internetu: publiczne adresy IP, VPN, pocztę, panele logowania, pulpity zdalne, strony i API. To najczęstsza droga wejścia w atakach ransomware — jedna zapomniana usługa lub niezałatany firewall wystarczy, by atakujący znalazł się w sieci.

Testy penetracyjne serwerów obejmują systemy Windows i Linux, kontrolery domeny Active Directory, serwery plików, bazy danych i wirtualizację. Weryfikujemy konfigurację, poziom aktualizacji, uprawnienia kont serwisowych, hasła i możliwość eskalacji uprawnień. W wariancie wewnętrznym symulujemy sytuację, w której atakujący ma już dostęp do jednego komputera (np. po udanym phishingu) — i sprawdzamy, jak szybko dotrze do danych i kopii zapasowych.

Jak przygotować firmę do pentestu i ile to trwa

Czas testu zależy od zakresu: pentest sieci zewnętrznej małej firmy to zwykle kilka dni roboczych, test aplikacji lub pełnej infrastruktury — odpowiednio dłużej. Przed startem potrzebujemy listy zakresów (adresy, domeny, aplikacje), osoby kontaktowej po stronie firmy i uzgodnionego okna czasowego.

Nie trzeba niczego „sprzątać” przed testem — celem jest obraz rzeczywisty. Warto natomiast uprzedzić dostawców usług (hosting, chmura), jeśli wymagają zgłoszenia. Wycenę przygotowujemy bezpłatnie po krótkiej rozmowie o zakresie — napisz na [email protected].