Czym jest test penetracyjny? Kiedy najlepiej go przeprowadzić?

Jak działają testy penetracyjne?

Pentesty czy też testy penetracyjne, etyczny haking, white hacking lub pentesting to tak naprawdę symulowane ataki hakerskie na systemy IT. Pentester (czyli osoba, która weryfikuje zabezpieczenia) ocenia stan bezpieczeństwa konkretnych zasobów. Sprawdza aplikacje, strony WWW, sieci i całą infrastrukturę IT. 

W trakcie testu penetracyjnego analizuje się, czy dane obszary zawierają błędy bezpieczeństwa spowodowane np. lukami, niewłaściwą konfiguracją, słabymi kompetencjami pracowników itp. 

"ABC bezpieczeństwa". Pobierz za darmo poradnik od NASKMonika Świetlińska

Każdy pentest symuluje atak hakerski i kończy się raportowaniem. Taki raport oprócz wskazania luk i problemów zawiera rozwiązania do wdrożenia, które pozwolą uchronić się przed cyberatakami. 

Rodzaje testów penetracyjnych

Pentesting dzieli się najczęściej na trzy różne rodzaje. Są one zależne od wiedzy pentestera na temat danej organizacji czy sprawdzanego obszaru. Wyróżnić możemy:

• Test białej skrzynki (white box pentest) – osoba przeprowadzająca test penetracyjny ma dostęp do architektury IT testowanego obszaru. Ten rodzaj pentestu stosuje się w celu symulacji zewnętrznego, jak i wewnętrznego ataku;

• Test czarnej skrzynki (black box pentest) – to przeciwieństwo poprzedniego testu. Pentester nie ma żadnej wiedzy na temat sprawdzanego obszaru i nie posiada żadnych dostępów czy uprawnień. Taki test stosuje się w celu jak najlepszego zasymulowania ataku hakerskiego;

• Test szarej skrzynki (grey box pentest) – pentester otrzymuje częściowe informacje na temat sprawdzanej organizacji, czy obszaru.

Kiedy przeprowadzić test penetracyjny?

Jeśli jest jakaś reguła, to tylko jedna – możliwie jak najczęściej. Cyberbezpieczeństwo nie jest czymś, na czym powinieneś oszczędzać i czymś, co powinno być sporadycznie weryfikowane. Na pewno warto przeprowadzać je cyklicznie, zakładając jakiś okres i ewentualnie uwzględniając zmiany w kontekście cyberbezpieczeństwa. Np. nowe metody cyberprzestępców.

Połowa firm nie potrafi się bronić przed cyberatakami. To nie wróży dobrze klientomMikołaj Frączak

Co ważne – przeprowadzanie okresowych testów penetracyjnych poniekąd wymaga art. 32 ust. 1 lit. d RODO, wskazując o konieczności regularnego testowania, mierzenia i oceniania skuteczności zastosowanych zabezpieczeń. Krótko mówiąc – pentesty przeprowadzać trzeba, a najlepiej często i regularnie.

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Jeśli chcesz być na bieżąco z informacjami za zakresu bezpieczeństwa, zapraszamy do naszego serwisu ponownie!
Jeżeli podobał Ci się artykuł podziel się z innymi udostępniając go w mediach społecznościowych.