Penetrationstestning är en auktoriserad simulerad attack. En klient anlitar en testare för att bryta sig in i deras system, nätverk eller applikationer. Testaren använder samma tekniker som en riktig angripare: rekognoscering, utnyttjande, privilegieupptrappning och lateral förflyttning. Skillnaden är tillstånd och dokumentation. Allt sker inom ett definierat område, med regler för engagemang och ett undertecknat kontrakt. I slutet får klienten en rapport som beskriver vad som hittades och hur man åtgärdar det.

Tester finns i olika varianter. Black box-testning ger testaren ingen förkunskap och imiterar en extern angripare. White box-testning ger fullständig åtkomst till källkod och arkitektur, vilket hittar djupare brister. Grey box-testning sitter mittemellan. Webbapplikationstester fokuserar på SQL-injektion, cross-site scripting och autentiseringsbrister. Nätverkstester undersöker brandväggar, segmentering och exponerade tjänster. Social engineering-tester riktar sig mot personer som använder nätfiske och förevändningar. Ett penetrationstest är en ögonblicksbild. Det hittar vad som kan utnyttjas vid en viss tidpunkt. Det ersätter inte kontinuerlig övervakning eller säker utveckling. Det validerar att försvaren fungerar, eller visar var de inte gör det.

Typer av penetrationstestning

• Black-box — inga förkunskaper, externt perspektiv
• White-box – fullständig åtkomst, djupare täckning
• Grålåda — partiell kunskap, realistisk balans
• Webbapplikation — fokuserar på webbanpassad programvara
• Social ingenjörskonst – riktar sig mot människor, inte system

Ett penetrationstest utan åtgärd är slöseri med pengar. Rapporten spelar bara roll om någon agerar utifrån den.