Secify.com
Penetrationstest2024-09-11T10:55:18+02:00

Penetrationstest

Introduktion

Krav på pentest?
Vi löser det!

Ett pentest avslöjar ditt systems sårbarheter så att du kan åtgärda dessa och minimera risken för framtida dataintrång. Med penetrationstestets hjälp kan ni identifiera vad som är mest kritiskt och vidta prioriterade åtgärder mot dem.

Kontakta oss

Vill du veta mer om vår tjänst och våra lösningar? Kontakta oss så hjälper vi dig.

Det här får du

Det bästa stödet inom pentester

Oavsett om behovet av ett penetrationstest kommer internt ifrån eller från yttre kravställare som investerare, kunder, leverantörer eller som ett krav vid exempelvis certifieringar, så förstår vi och kan leverera det bästa stödet för dig.

Vi har en gedigen erfarenhet av olika typer av tester till företag och organisationer där uppdragen spänner från tester i enklare miljöer till väldigt komplexa. Vi genomför våra uppdrag med mycket erfarna specialister enligt en väl beprövad metodik och olika branschpraxis. Att genomföra pentester är ett hantverk och våra pentestare tar ett stort personligt ansvar att alltid leverera med högsta kvalitet.

I vårt standardpaket ingår återtester som en del av vårt erbjudande. Det gör vi för att se till så att de identifierade sårbarheterna verkligen åtgärdas. Efter att testet är klart överlämnar vi en rapport med resultat och rekommendationer som vi går igenom tillsammans med dig.

Det här kan vi testa

Våra penetrationstester

Inget företags IT-miljö är det andra likt. Det är därför viktigt att vi går igenom förutsättningar och metoder tillsammans med dig för att komma fram till en bra lösning. Gemensamt för alla våra penetrationstest är att vi följer industristandarder och metoder från OSSTMM, OWISAM, OWASP, OASAM, ISSAF, NIST, ISACA, SANS, Mitre Attack. Vi utför pentest på webbapplikationer, mobilapplikationer, infrastruktur och API:er men har även möjlighet att skräddarsy ett test utifrån dina behov.

Pentest webbapplikation

En webbapplikation som exempelvis en e-handelsplats, ett bokningssystem eller en kund- och leverantörsportal lagrar och hanterar ofta känslig information.

Genom att penetrationstesta applikationen kan vi hitta sårbarheter som i många fall kan utnyttjas för att antingen komma åt känslig information eller för att få administratörsåtkomst till bakomliggande system.

Fördelar med att pentesta webbapplikationer

  • Identifierar sätt att manipulera systemet
  • Hittar säkerhetsproblem kopplade till cookies
  • Hittar felkonfigurerade säkerhetsinställningar
  • Testar skydd mot injektionsattacker

Mobilapplikation

Sårbarheter i mobilappar kan potentiellt skada både företag och mobilanvändare.

Cyberkriminella använder mobilapplikationens sårbarheter för att antingen få åtkomst till företagets informationstillgångar eller som ett verktyg för att sprida skadlig kod till användaren. Vårt mobilapplikationstest ger värdefulla insikter i applikationers sårbarheter och problem. Dessa insikter används främst för att täppa igen säkerhetshål och på så sätt skydda klientens och företagets information.

Fördelar med att penetrationstesta mobilapplikationer

  • Hittar felaktig lagring av känslig information
  • Hittar felkonfigurerade säkerhetsinställningar
  • Identifierar felaktig eller ej krypterad kommunikation
  • Identifierar problem med autentisering
  • Testar skydd mot injektionsattacker

Infrastruktur (nätverk)

Ett pentest som görs på infrastrukturen kan avslöja vilka delar av nätverket som är sårbara och som kan användas som passage för att komma åt ett bakomliggande system.

Här kan vi testa bland annat SQL servrar, VPN servrar och anslutningar, mejl-servrar, brandväggar, FTP och fil-servrar, sammankopplade tredjepartsystem och andra ingångar in till organisationens interna nätverk och system. Utöver det kan vi också testa IT-systemets operativsystem och undersöka samt ge råd för att konfigurera det på ett säkert sätt (härdning).

Fördelar med att penetrationstesta infrastruktur

  • Hittar och testar CVE sårbarheter
  • Identifierar brister i brandväggskonfigurationer
  • Identifierar vad en angripare kan göra om den befinner sig på det interna nätverket eller kommer in i nätverket via en VPN-koppling

API

Ett API (application programming interface) används för att låta applikationer kommunicera med varandra.

Exempel på sådana kopplingar är mellan företagets webbsida och CRM system, analysverktyg, betalningssystem eller externt formulär. Vårt API-pentest testar om API:et är har sårbarheter som kan utnyttjas av en angripare. Genom att stärka API:ets ändpunkter kan man till exempel förhindra att kundinformation exponeras till angriparen.

Fördelar med att penetrationstesta API kopplingar

  • Identifierar om API kopplingen exponerar känsliga data
  • Identifierar felaktiga säkerhetsinställningar och behörighetsstrukturer
  • Testar skydd mot injektionsattacker

Några av våra kunder

Upplägg för våra pentester

Olika sätt att testa

När du bestämt vilket mål som ska penetrationstestas är nästa steg att bestämma på vilket sätt testet ska utföras. I vår tjänst utgår vi ifrån black-, grey-, och white box pentest.

White Box

Vi får full tillgång till mjukvarans källkod och dokumentation och har även åtkomst till miljön.

I och med det kan pentestaren lägga kraft på att analysera systemets uppbyggnad, kodstruktur och design. Man skulle kunna säga att ett whitebox penetrationstest testar från insidan och ut till skillnad från blackbox som testar från utsidan och in.

White Box penetrationstest identifierar potentiella svagheter i mjukvaran och används framförallt som ett sista steg i utveckling av appar och system för att hitta och förhindra potentiella sårbarheter som kan leda till dataläckor och intrång.

Exempel: Pentestaren har full åtkomst till all information och identifierar hot och risker genom att analysera källkod och dokumentation.

Grey Box

Detta är ett mellanting mellan Black Box och White Box där vi har viss information om hur systemet fungerar.

Grey Box simulerar en angripare som redan har penetrerat det yttre skyddet och har någon form av intern åtkomst till nätverket. Detta penetrationstest är mer tidseffektiv då man hoppar över det initiala intrångsförsöket för att i stället fokusera på att upptäcka fel i en enskild applikation eller i hitta sårbarheter i interna informationskänsliga system som man ges en möjlig åtkomst till.

Exempel: Angriparen har kommit över ett användarkonto och försöker med detta eskalera sina behörigheter i systemet.

Black Box

Vi känner inte till något om systemet eller den miljö som ska angripas och saknar helt behörighet.

Förutsättningarna är samma som för en utomstående angripare. Fokus läggs främst på att angripa det yttre skyddet, men även vidare in i systemen som ligger bakom. Black box är tidskrävande men ger också en tydlig övergripande bild över hur väl systemet är skyddat vid ett eventuellt intrångsförsök.

Exempel: Angriparen attackerar en webb, eller IP-adress för att tillskansa sig information eller orsaka skada.

Så här går det till

Genomförande och process av pentester

Metodiken som används för att genomföra pentest ser lite olika ut beroende på omfattning och yttre förutsättningar. Ofta handlar det om fyra till sex steg som kan repeteras likt ett kretslopp. Nedan beskrivs ett exempelscenario för ett Black Box pentest.

  1. Insamling av information kring målet
    Utöver huvudmålet, finns det sekundära mål med lägre säkerhet? Vilka bakomliggande system kan målet förväntas ha. Finns det öppen information om målet, vilka IP-adresser kan vara aktuella för en attack och vilka går att få tag på?
  2. Skanning av mål
    Vilka öppna portar har målet och hur ser sårbarheterna ut vid en sårbarhetsskanning?
  3. Attack:
    Utnyttja sårbarheterna och försök få åtkomst till system genom till exempel öppna portar, inloggningsfält, sårbarheter i system och så vidare.
  4. Avslut:
    Avsluta attacken, sammanställa bevis, upprätta rapport över sårbarheter samt rekommendationer

Som vi beskrivit ovan använder pentestare ofta ett sårbarhetsskanningsverktyg för att skanna igenom målet efter potentiella sårbarheter i systemet. Varje sårbarhet som upptäcks testas därefter för att undersöka om den kan användas för att penetrera systemet. Att validera att det går att utnyttja den möjliga sårbarheten i praktiken är den stora skillnaden mellan en sårbarhetsskanning och ett penetrationstest.

Frågor och svar

Här finns svar på de vanligaste frågorna om penetrationstest. Har du en fråga som inte finns med? Använd kontaktformuläret lite längre ner på sidan.

Vad får man efter penetrationstestet?2024-08-29T10:14:17+02:00

Efter ett avslutat test så får du en rapport som vi går igenom tillsammans med dig. Du får också ett bevis i form av ett certifikat efter att det är genomfört.

Är man skyddad efteråt?2024-08-29T10:17:30+02:00

Under 2021 identifierades 55 nya sårbarheter varje dag. Det innebär att ett system aldrig kan vara helt fritt ifrån sårbarheter. Med det sagt blir man mer skyddad om man genomför de rekommenderade åtgärderna. Har man ett bra grundskydd och gör regelbundna penetrationstester och åtgärder så kommer angripare vanligtvis inte att försöka ta sig in när det finns enklare mål.

Vad kan man penetrationstesta?2024-08-29T10:12:45+02:00

Det vanligaste är att man testar ett system som är kritiskt för verksamheten, men det kan göras på i princip allt ifrån nya produkter till anslutningar mellan företag. Pentestets syfte är att hitta och testa säkerhetshål i syfte att öka säkerheten, och säkerheten kan höjas på många olika typer av mål.

Vad är en red team och blue teamövning och varför genomför man detta?2024-08-29T10:14:13+02:00

En red team- och blue team-övning genomförs för att simulera en cyberattack. Det blå teamet jobbar med försvar- och skyddsåtgärder medan det röda teamet är det team som genomför attacken. Read team och blue teamövningar genomförs för att testa förmågan att försvara och förbereda sig mot yttre angrepp.

Vad är det för skillnad på ett Blackboxtest och ett Greyboxtest?2022-09-22T09:56:28+02:00

I ett Blackboxtest känner man inte till något om systemet eller den miljö som ska angripas och saknar helt behörighet. Vid ett Greyboxtest har man tillgång till ett användarkonto och viss information om hur systemet fungerar.

Vilken är den vanligaste typen av pentest?2024-08-29T10:16:37+02:00

Blackboxstestet är den vanligaste formen. Utgångspunkten för penetrationstestaren är densamma som för angriparen. Man saknar helt information om bakomliggande nätverksstruktur och system.

Vad ska man tänka på när man ska köpa denna tjänst?2024-08-29T10:18:37+02:00

Innan man köper ett pentest är det bra att kartlägga sina system. Det gör man för att identifiera vilka kritiska informationstillgångar och system som man har och var någonstans i nätverket de finns. När man har den bilden framför sig vet man vad som är mest skyddsvärt och vilket system eller del i nätverket som ska testas. När man sedan väljer en leverantör ska man alltid säkerställa att penetrationstestarna är certifierade testare som följer de metoder och ramverk som gäller för marknaden som tex OWASP och OSSTMM. Resultatet av penetrationstestet blir aldrig bättre än testaren själv.

Hur ofta ska man pentesta?2024-08-29T10:19:29+02:00

Det beror på hur ofta system och miljöer uppdateras. En tumregel är att testa minst en gång per år i de fall man inte gör större releaser eller förändringar på det som ska testas.

Vad bör man göra efter pentestet?2024-08-29T10:20:32+02:00

Rapporten som man får visar vilka sårbarheterna är och hur man bäst åtgärdar dem. Efter att säkerhetsteknikern eller systemteknikern har analyserat
rapporten prioriterar man därefter och åtgärdar de som är relevanta för att täppa igen säkerhetshålen.

Vem är det som utför tjänsten?2024-08-29T10:26:47+02:00

Det beror på hur ofta system och miljöer uppdateras. En tumregel är att testa minst en gång per år i de fall man inte gör större releaser eller förändringar på det som ska testas.

Kan man göra ett pentest själv?2024-08-29T10:23:01+02:00

Det går absolut att utföra ett penetrationstest själv, på sin egen miljö. Men för att det ska vara relevant bör det utföras av en person som har lång erfarenhet och/eller stor kunskap om metodik, sårbarheter och dataintrång. Annars är risken stor att åtgärderna efter görs på fel saker. Ska man utvärdera sina system själv så rekommenderar vi att du köper en sårbarhetsskanning istället.

Finns det några risker?2024-08-29T10:26:30+02:00

Ja, det finns risker. Äldre system som saknar uppdateringar eller som ofta kraschar vid belastning löper ofta större risk att också krascha vid ett penetrationstest. Vad man bör komma ihåg är att den kraschen alltid är ett tecken på en sårbarhet i systemet, som du i efterhand kan åtgärda.

Varför ska man göra ett pentest?2024-08-29T10:28:31+02:00

Förutom det faktum att alla system har sårbarheter som man vill identifiera och bygga bort, kan bakgrunden till behovet av ett test komma ifrån yttre krav från investerare, kunder, leverantörer eller som ett krav vid exempelvis certifieringar.

Hör av dig!

Till toppen