Hvad er forskellen på en pentest og en sårbarhedsscanning?
En sårbarhedsscanning er automatiseret. Et værktøj sammenligner jeres systemer med en database over kendte sårbarheder og producerer en liste. Den er billig, hurtig og bør køre løbende.
En pentest går videre. Testeren verificerer manuelt, om sårbarhederne faktisk kan udnyttes, kæder dem sammen og vurderer den reelle forretningskonsekvens. En scanning fortæller, at døren måske er ulåst. Pentesten åbner den og dokumenterer, hvad en angriber kunne nå indenfor.
De supplerer hinanden. Scanning som løbende hygiejne, pentest som periodisk realitetstjek.
Black, grey og white box
Valget afhænger af, hvor meget viden testeren får på forhånd.
- Black box. Testeren ved kun det, en ekstern angriber ville vide. Mest realistisk, men bruger mere tid på rekognoscering.
- Grey box. Testeren får begrænset viden, for eksempel en almindelig brugerkonto. Ofte det bedste forhold mellem pris og dybde for en SMV.
- White box. Testeren får fuld adgang til dokumentation, kildekode og konfiguration. Mest grundig per testtime.
Derudover afgrænses testen efter scope. Ekstern infrastruktur, intern infrastruktur, webapplikationer, netværk og trådløst, eller social engineering.
Det rapporten skal indeholde
Et ledelsesresumé i klart sprog. Metode og scope. Fund klassificeret efter alvorlighed. Dokumentation af, hvordan hvert fund blev verificeret. Og konkrete, prioriterede anbefalinger til udbedring.
Vær skeptisk over for rapporter, der reelt er råt scanneroutput med et logo på. Er der ingen manuel verifikation og ingen udnyttelseskæde bag fundene, har I betalt pentest-pris for en sårbarhedsscanning. Det er den enkleste ting at tjekke, og den bliver næsten aldrig tjekket.
Hvornår det giver mening
Anledningerne er som regel, at I skal dokumentere sikkerhed over for kunder eller i et udbud, at I er omfattet af NIS2 eller DORA og skal afprøve jeres foranstaltninger, at I har lavet større ændringer i infrastruktur eller applikationer, eller at I simpelthen vil vide, om jeres sikkerhedsinvesteringer holder over for en rigtig modstander.
NIS2-lovens krav om afprøvning og vurdering af sikkerhedsforanstaltninger gør periodisk test til en naturlig del af compliance-arbejdet. Leverandører til omfattede virksomheder møder i stigende grad kontraktkrav om dokumenteret test. Skal testen indgå i et større compliance-forløb, hænger den sammen med gap-analysen.