Hvad er forskellen på en pentest og en sårbarhedsscanning?
En sårbarhedsscanning er automatiseret: Et værktøj sammenligner jeres systemer med en database over kendte sårbarheder og producerer en liste. Den er billig, hurtig og bør køres løbende.
En pentest går videre. Testeren verificerer manuelt, om sårbarhederne faktisk kan udnyttes, kæder dem sammen og vurderer den reelle forretningskonsekvens. En scanning fortæller, at døren måske er ulåst — en pentest åbner den og dokumenterer, hvad en angriber kunne nå indenfor.
I praksis supplerer de hinanden: scanning som løbende hygiejne, pentest som periodisk realitetstjek.
Hvilke typer pentest findes der?
Valget afhænger af, hvor meget viden testeren får på forhånd:
- Black box: Testeren ved kun det, en ekstern angriber ville vide. Mest realistisk, men bruger mere tid på rekognoscering.
- Grey box: Testeren får begrænset viden, fx en almindelig brugerkonto. Ofte det bedste forhold mellem pris og dybde for SMV’er.
- White box: Testeren får fuld adgang til dokumentation, kildekode og konfiguration. Mest grundig pr. testtime.
Derudover skelnes der mellem scope: ekstern infrastruktur, intern infrastruktur, webapplikationer, Wi-Fi/netværk og social engineering.
Hvad skal en pentest-rapport indeholde?
En seriøs rapport indeholder som minimum: et ledelsesresumé i klart sprog, metode og scope, fund klassificeret efter alvorlighed (typisk Critical/High/Medium/Low), dokumentation af hvordan hvert fund blev verificeret, og konkrete, prioriterede anbefalinger til udbedring.
Vær skeptisk over for “rapporter”, der reelt er rå scanneroutput med logo på. Hvis der ikke er manuel verifikation og en udnyttelseskæde bag fundene, har I betalt pentest-pris for en sårbarhedsscanning.
Hvornår har I brug for en pentest?
Typiske anledninger: I skal dokumentere sikkerhed over for kunder eller i udbud, I er omfattet af NIS2 eller DORA og skal afprøve jeres foranstaltninger, I har lavet større ændringer i infrastruktur eller applikationer — eller I vil simpelthen vide, om jeres sikkerhedsinvesteringer holder i mødet med en rigtig modstander.
NIS2-lovens krav om afprøvning og vurdering af sikkerhedsforanstaltninger gør periodisk test til en naturlig del af compliance-arbejdet, og leverandører til NIS2-omfattede virksomheder mødes i stigende grad af kontraktkrav om dokumenteret test.