Testy Penetracyjne
Okiem Hakera
Nie opieramy się wyłącznie na automatycznych skanerach. Nasi eksperci z wieloletnim doświadczeniem w ofensywnym bezpieczeństwie przeprowadzają manualne, kontrolowane ataki na Twoją infrastrukturę, aplikacje i systemy, znajdując to, czego maszyny nie potrafią wykryć.
- Zgodność z metodykami OWASP, PTES, OSSTMM
- Brak fałszywych alarmów (False Positives)
- Jasne instrukcje naprawcze dla programistów
Co dokładnie testujemy?
Nasz zakres działań pokrywa całą powierzchnię ataku. Dostosowujemy scenariusze indywidualnie do używanej przez Ciebie technologii.
Aplikacje Webowe i API
Wykrywamy podatności z listy OWASP Top 10 (m.in. SQL Injection, XSS, SSRF, BOLA). Testujemy panele klienta, systemy e-commerce, CRM oraz złożone środowiska oparte o mikroserwisy i API (REST, GraphQL).
Zobacz szczegółyAplikacje Mobilne
Reverse engineering aplikacji iOS i Android (w tym Flutter i React Native). Sprawdzamy bezpieczne przechowywanie danych na urządzeniu, poprawność komunikacji z serwerem i luki w logice autoryzacji.
Zobacz szczegółyInfrastruktura Wewnętrzna
Symulujemy atak np. z perspektywy złośliwego pracownika lub przejętej stacji roboczej. Badamy segmentację sieci (VLAN), Active Directory, serwery plików i polityki haseł.
Zobacz szczegółyInfrastruktura Zewnętrzna
Atakujemy wystawione do internetu systemy i usługi. Weryfikujemy konfigurację firewalli, podatności serwerów VPN, nieaktualne wersje oprogramowania czy błędne konfiguracje DNS.
Zobacz szczegółyŚrodowiska Chmurowe
Weryfikujemy bezpieczeństwo zasobów w AWS, Azure i Google Cloud Platform. Skupiamy się na błędach uprawnień IAM, wyciekach z koszyków storage (S3) i podatnościach w Serverless.
Zobacz szczegółySieci Bezprzewodowe
Analizujemy zabezpieczenia firmowych sieci Wi-Fi, izolację sieci dla gości, podatności na przechwytywanie haseł, ataki Evil Twin oraz Rogue Access Point.
Zobacz szczegółyTest prowadzi pentester z certyfikatem, nie osoba, która uruchamia skaner. OSCP i OSWE zdaje się praktycznie: trzeba włamać się do środowiska w wyznaczonym czasie i opisać jak.
Rodzaje testów penetracyjnych: black box, grey box i white box
Testy penetracyjne dzieli się zwykle na trzy rodzaje: black box, grey box i white box. Różnią się tym, ile wiemy o systemie, zanim zaczniemy. Możemy dostać samą nazwę firmy, konta testowe albo także kod i konfigurację. Od tego zależy, ile potrwa pentest i co da się w nim sprawdzić.
Black box: bez wiedzy o systemie
Wiemy tyle, co atakujący z zewnątrz. Taki test pokazuje, co da się zrobić bez żadnego dostępu. W teście infrastruktury zewnętrznej wystarczą nam nazwa firmy i jej domeny, resztę ustalamy sami. Aplikacje mobilne domyślnie testujemy tak samo, na gotowym pakiecie APK i IPA.
Grey box: z kontem użytkownika
Dostajemy konta testowe i opis ról, więc widzimy system tak jak Twój klient albo pracownik. Tak testujemy aplikacje webowe: bez dwóch kont na każdą rolę nie sprawdzimy, czy użytkownik A widzi dane użytkownika B. Test sieci wewnętrznej też zwykle zaczynamy od konta zwykłego pracownika.
White box: z dostępem do kodu i konfiguracji
Oprócz kont dostajemy kod źródłowy, dokumentację API albo konto z prawem odczytu konfiguracji. Dzięki temu test trwa krócej albo sięga głębiej, a przyczynę błędu łatwiej potwierdzić.
Rodzaje testów można łączyć. W chmurze konfigurację przeglądamy z konta tylko do odczytu, a ścieżki eskalacji uprawnień sprawdzamy z konta o typowych uprawnieniach użytkownika. Metodyka nie zależy od wariantu: aplikacje sprawdzamy według OWASP (WSTG, ASVS, MASTG), a sieci i infrastrukturę według PTES i OSSTMM.
Nasz proces testowy
Działamy metodycznie. Nie używamy jednego skanera by wygenerować 1000-stronicowy raport z błędami. Tworzymy realistyczne łańcuchy ataku, by udowodnić faktyczne ryzyko.
Rozpoznanie i Rekonesans (OSINT)
Pasywne zbieranie informacji z publicznych źródeł, szukanie wycieków i mapowanie infrastruktury.
Skanowanie i Identyfikacja
Aktywne skanowanie portów, wykrywanie usług, użytych technologii i wersji oprogramowania.
Wykorzystanie Błędów
Rdzeń testów. Próba wykorzystania znalezionych luk w sposób bezpieczny dla ciągłości działania biznesu. Obejście zabezpieczeń, przejęcie kont, wyciągnięcie danych.
Raportowanie i Retesty
Szczegółowy opis podatności z instrukcjami naprawczymi. Po wdrożeniu poprawek przez Twój zespół za darmo weryfikujemy ich poprawność (retesty).
Co otrzymasz po teście?
Raport Biznesowy (Management Summary)
Zrozumiałe podsumowanie poziomu bezpieczeństwa dla zarządu (C-level). Prezentuje ryzyka w kontekście finansowym, reputacyjnym oraz operacyjnym.
Raport Techniczny
Szczegółowa dokumentacja z Proof of Concept (PoC) krok po kroku. Do każdej luki załączamy gotowe instrukcje rekomendujące konkretne zmiany w kodzie (np. przykłady w Javie, PHP, C#).
Certyfikat Bezpieczeństwa
Po pomyślnym załataniu luk i przejściu retestów otrzymasz zaświadczenie potwierdzające przeprowadzenie rzetelnego testu penetracyjnego. Przydatne dla kontrahentów i audytorów (ISO 27001).
Pytania o testy penetracyjne
Ile kosztuje test penetracyjny?
Cena zależy od zakresu: ile aplikacji, ról użytkowników, adresów IP albo kont w chmurze mamy sprawdzić. Po bezpłatnej konsultacji wysyłamy Ci mailem zakres prac i widełki cenowe, w ciągu dwóch dni roboczych.
Ile trwa test penetracyjny?
Zwykle od 3 do 15 dni roboczych, zależnie od zakresu. Sieć Wi-Fi sprawdzamy w 3-7 dni, infrastrukturę zewnętrzną w 4-10, wewnętrzną i środowisko chmurowe w 5-12, aplikację webową z API w 5-15, a aplikację mobilną w 7-15 dni.
Czym test penetracyjny różni się od skanu podatności?
Skaner tylko porównuje Twoje systemy z listą znanych błędów i zostawia raport pełen alertów do sprawdzenia, a pentester sam próbuje wykorzystać luki. Łączy je w łańcuch ataku, na przykład od słabego hasła do przejęcia konta administratora. Tak widać, które podatności naprawdę grożą Twojej firmie, a w raporcie nie ma fałszywych alarmów.
Czy test penetracyjny może zakłócić pracę firmy?
Planujemy go tak, żeby nie przerywał działania systemów. Nie prowadzimy ataków odmowy usługi ani testów wydajnościowych. Działania, które mogłyby coś zatrzymać, uzgadniamy z Tobą przed wykonaniem, a systemy krytyczne możemy wyłączyć z zakresu. Przez cały test jesteśmy pod telefonem.
Co dostaję po teście penetracyjnym?
Dwa raporty. Podsumowanie dla zarządu opisuje ryzyko w kategoriach finansowych, wizerunkowych i operacyjnych. Raport techniczny ma dla każdej podatności dowód (PoC) krok po kroku i instrukcję naprawy. Po Twoich poprawkach bezpłatnie robimy retest, a gdy luki są zamknięte, wystawiamy zaświadczenie o przeprowadzonym teście dla kontrahentów i audytora ISO 27001.
Jak często robić test penetracyjny?
Zwykle raz w roku i po każdej większej zmianie, na przykład po wdrożeniu nowej aplikacji albo postawieniu nowego serwera. Jeśli często wdrażasz zmiany na produkcję, zapytaj o DA1MON: testy w abonamencie, w których rój agentów AI szuka luk, a każde znalezisko potwierdza pentester PWNONE.
Kiedy wybrać symulację ataku zamiast testu penetracyjnego?
Symulację ataku wybierz, gdy masz już SOC albo zespół bezpieczeństwa i chcesz sprawdzić, czy wykryje prawdziwy atak. Test penetracyjny szuka podatności w ustalonym zakresie i Twój zespół zwykle o nim wie. Symulacja ataku (red teaming) odtwarza cały atak bez uprzedzania obrony.