Hvad scanneren finder
Scanneren sammenligner det, den ser, med databaser over kendte sårbarheder og kendte fejlkonfigurationer. Typiske fund er manglende sikkerhedsopdateringer, udløbne eller svage TLS-opsætninger, åbne porte og unødvendige tjenester, standardkodeord, forældede CMS-komponenter og plugins, og manglende sikkerhedsheadere på websites.
Hvert fund får en CVSS-score fra 0 til 10, der angiver teknisk alvorlighed.
Scoren siger ikke i sig selv, hvad fundet betyder for jer. En kritisk sårbarhed på et isoleret testsystem kan sagtens være mindre vigtig end en middel på jeres mailserver. Prioritering kræver kontekst, og den har scanneren ikke.
Fire typer scanning
- Ekstern. Ser jeres systemer udefra, som en angriber på internettet ville. Afdækker jeres eksponerede angrebsflade.
- Intern. Kører inde i netværket og viser, hvad en angriber kunne udnytte efter at have fået fodfæste. Giver langt flere fund.
- Autentificeret. Scanneren logger ind på systemerne og kan se installerede versioner og konfigurationer direkte. Markant færre falske positiver og mere præcise resultater.
- Webapplikationsscanning. Specialiseret mod websites og webapps, relevant for alt fra WordPress til kundeportaler.
Forskellen på scanning og penetrationstest
Scanningen finder mulige sårbarheder automatisk. Pentesten verificerer og udnytter dem manuelt og viser den reelle konsekvens.
Scanningen kører månedligt eller oftere som hygiejne. Pentesten er det periodiske realitetstjek. De erstatter ikke hinanden, og en pentest-rapport, der reelt kun er scanneroutput, er et advarselstegn, når I sammenligner leverandører.
Kadencen og processen bagved
Internetvendte systemer bør scannes mindst en gang om måneden og efter væsentlige ændringer. Mange vælger ugentligt eller løbende.
Men scanningen er kun værd noget, hvis der er en proces bag. Ejerskab for udbedring, frister efter alvorlighed, og en opfølgende scanning der bekræfter, at hullet er lukket.
En rapport på 400 fund uden handling er ikke sikkerhed. Det er dokumentation af et problem, ingen har taget sig af.
For NIS2-omfattede virksomheder og deres leverandører er regelmæssig sårbarhedshåndtering en naturlig del af kravet om at afprøve og vurdere sikkerhedsforanstaltninger. Vi kører det løbende som en del af systemovervågning.