Czym są testy penetracyjne?
Test penetracyjny (pentest) to kontrolowana, autoryzowana próba włamania do systemów IT organizacji. Nasi eksperci — etyczni hakerzy — myślą i działają jak cyberprzestępcy: szukają słabych punktów w sieciach, serwerach, aplikacjach i konfiguracjach. Kluczowa różnica: zamiast kraść dane, piszemy szczegółowy raport z rekomendacjami.
Rodzaje testów penetracyjnych
- Black box — tester nie ma żadnej wiedzy o systemach. Symuluje atak zewnętrznego hakera, który nie zna infrastruktury
- Grey box — tester ma częściową wiedzę (np. konto zwykłego użytkownika). Symuluje atak pracownika lub partnera
- White box — tester ma pełną wiedzę (dokumentacja, kody źródłowe, konfiguracje). Najbardziej dogłębny test
Co testujemy?
- Sieć zewnętrzna — serwisy dostępne z internetu, serwery, VPN, poczta
- Sieć wewnętrzna — infrastruktura wewnętrzna, Active Directory, eskalacja uprawnień
- Aplikacje webowe — podatności OWASP Top 10 (SQL Injection, XSS, CSRF i inne)
- Sieci Wi-Fi — bezpieczeństwo sieci bezprzewodowych
- Socjotechnika — phishing, vishing, próby fizycznego dostępu
Jak wygląda raport z pentestów?
Raport zawiera: podsumowanie zarządcze, metodykę testów, listę podatności z severity (CVSS score), proof-of-concept dla każdej podatności (dowód, że jest realna), rekomendacje naprawcze i priorytetyzację. Raport jest zrozumiały zarówno dla techników, jak i dla zarządu.
Jak często przeprowadzać pentesty?
Minimum raz w roku. Dodatkowo po każdej istotnej zmianie w infrastrukturze (nowy system, migracja, zmiana dostawcy). NIS2 wymaga regularnych testów bezpieczeństwa. GxP wymaga testowania systemów skomputeryzowanych.