Introduktion
Vad är ett penetrationstest
Ett pentest avslöjar ditt systems sårbarheter så att du kan åtgärda dessa och minimera risken för framtida dataintrång. Med penetrationstestets hjälp kan ni identifiera vad som är mest kritiskt och vidta prioriterade åtgärder mot dem.
Ett penetrationstest (pentest) är en simulerad cyberattack där vi testar säkerheten i era system på samma sätt som en verklig angripare skulle göra. Syftet är att identifiera sårbarheter och brister i er IT-miljö innan de kan utnyttjas av obehöriga. Resultatet ger er en tydlig bild av nuläget och vad som behöver åtgärdas för att skydda er data.
Ett pentest avslöjar ert systems sårbarheter så att du kan åtgärda dessa och minimera risken för framtida dataintrång. Med testets hjälp kan ni identifiera vad som är mest kritiskt och vidta prioriterade åtgärder mot dem.
Det bästa stödet inom pentester
När du köper ett pentest från Secify får du mer än bara ett test. Du får en komplett, no-nonsense genomlysning av din IT-miljö – utförd av erfarna etiska hackare som fokuserar på verklig risk, inte tekniskt fluff. Vårt mål är enkelt: att hjälpa dig identifiera och åtgärda de svagheter som en angripare faktiskt skulle utnyttja först.
Oavsett om behovet av ett penetrationstest kommer internt eller från externa kravställare som investerare, kunder, leverantörer eller certifieringar, har vi erfarenheten som krävs för att stötta dig. Vi är vana vid att arbeta med allt från enklare miljöer till komplexa systemlandskap.
Vi ser pentest som ett hantverk. Våra pentestare tar ett personligt ansvar för varje leverans och arbetar metodiskt för att ge dig ett resultat som är både relevant och användbart i praktiken.
Skarpa tester – på riktigt
Vi genomför fullskaliga penetrationstest där vi aktivt försöker ta oss in i dina system. Genom att kombinera avancerade verktyg med manuell expertis återskapar vi hur en verklig angripare arbetar. Resultatet blir tydligt: vilka sårbarheter som faktiskt går att exploatera – och vilken påverkan de kan ha på din verksamhet.
Tydlig och prioriterad rapport
Du får en strukturerad, lättförståelig och handlingsbar rapport. Vi presenterar tydliga risknivåer, konkreta åtgärdsförslag och klara prioriteringar, tillsammans med visualiseringar av hur en attackkedja kan se ut. Rapporten är anpassad för både tekniker och beslutsfattare.
Personlig genomgång och rådgivning
Vi lämnar dig inte med en pdf. Våra experter går igenom resultatet tillsammans med dig, förklarar vad som är kritiskt och hur ni åtgärdar det på ett kostnadseffektivt sätt. Inga onödiga system eller dyra licenser – bara konkret värde.
Kostnadsfritt återtest
När sårbarheterna är åtgärdade genomför vi ett återtest för att verifiera att allt verkligen är löst. Du får ett tydligt kvitto på att åtgärderna har haft effekt – värdefullt både internt och gentemot kunder och partners.
Modern säkerhetskompetens
Vi är ett modernt säkerhetsbolag med djup kompetens inom pentest, cyber och informationssäkerhet. Vi kombinerar teknisk expertis med affärsförståelse för att leverera tester som är relevanta, realistiska och anpassade efter din miljö.
Det här kan vi testa
Våra penetrationstester
Inget företags IT-miljö är det andra likt. Det är därför viktigt att vi går igenom förutsättningar och metoder tillsammans med dig för att komma fram till en bra lösning. Gemensamt för alla våra penetrationstest är att vi följer industristandarder och metoder från OSSTMM, OWISAM, OWASP, OASAM, ISSAF, NIST, ISACA, SANS, Mitre Attack. Vi utför pentest på webbapplikationer, mobilapplikationer, infrastruktur och API:er men har även möjlighet att skräddarsy ett test utifrån dina behov.
Upplägg för våra pentester
Olika sätt att testa
När du bestämt vilket mål som ska penetrationstestas är nästa steg att bestämma på vilket sätt testet ska utföras. I vår tjänst utgår vi ifrån black-, grey-, och white box pentest.
White Box
Vi får full tillgång till mjukvarans källkod och dokumentation och har även åtkomst till miljön.
I och med det kan pentestaren lägga kraft på att analysera systemets uppbyggnad, kodstruktur och design. Man skulle kunna säga att ett whitebox penetrationstest testar från insidan och ut till skillnad från blackbox som testar från utsidan och in.
White Box penetrationstest identifierar potentiella svagheter i mjukvaran och används framförallt som ett sista steg i utveckling av appar och system för att hitta och förhindra potentiella sårbarheter som kan leda till dataläckor och intrång.
Exempel: Pentestaren har full åtkomst till all information och identifierar hot och risker genom att analysera källkod och dokumentation.
Grey Box
Detta är ett mellanting mellan Black Box och White Box där vi har viss information om hur systemet fungerar.
Grey Box simulerar en angripare som redan har penetrerat det yttre skyddet och har någon form av intern åtkomst till nätverket. Detta penetrationstest är mer tidseffektiv då man hoppar över det initiala intrångsförsöket för att i stället fokusera på att upptäcka fel i en enskild applikation eller i hitta sårbarheter i interna informationskänsliga system som man ges en möjlig åtkomst till.
Exempel: Angriparen har kommit över ett användarkonto och försöker med detta eskalera sina behörigheter i systemet.
Black Box
Vi känner inte till något om systemet eller den miljö som ska angripas och saknar helt behörighet.
Förutsättningarna är samma som för en utomstående angripare. Fokus läggs främst på att angripa det yttre skyddet, men även vidare in i systemen som ligger bakom. Black box är tidskrävande men ger också en tydlig övergripande bild över hur väl systemet är skyddat vid ett eventuellt intrångsförsök.
Exempel: Angriparen attackerar en webb, eller IP-adress för att tillskansa sig information eller orsaka skada.
Så här går det till
Genomförande och process av pentester
Metodiken som används för att genomföra pentest ser lite olika ut beroende på omfattning och yttre förutsättningar. Ofta handlar det om fyra till sex steg som kan repeteras likt ett kretslopp. Nedan beskrivs ett exempelscenario för ett Black Box pentest.
- Insamling av information kring målet
Utöver huvudmålet, finns det sekundära mål med lägre säkerhet? Vilka bakomliggande system kan målet förväntas ha. Finns det öppen information om målet, vilka IP-adresser kan vara aktuella för en attack och vilka går att få tag på? - Skanning av mål
Vilka öppna portar har målet och hur ser sårbarheterna ut vid en sårbarhetsskanning? - Attack:
Utnyttja sårbarheterna och försök få åtkomst till system genom till exempel öppna portar, inloggningsfält, sårbarheter i system och så vidare. - Avslut:
Avsluta attacken, sammanställa bevis, upprätta rapport över sårbarheter samt rekommendationer
Som vi beskrivit ovan använder pentestare ofta ett sårbarhetsskanningsverktyg för att skanna igenom målet efter potentiella sårbarheter i systemet. Varje sårbarhet som upptäcks testas därefter för att undersöka om den kan användas för att penetrera systemet. Att validera att det går att utnyttja den möjliga sårbarheten i praktiken är den stora skillnaden mellan en sårbarhetsskanning och ett penetrationstest.
