Penetrationsforsøg

Penetrationsforsøg, eller penetration testing, er en kontrolleret sikkerhedsvurdering, hvor kvalificerede sikkerhedseksperter forsøger at få adgang til et informationssystem ved at efterligne metoder, som angribere kunne bruge. Formålet er at identificere sårbarheder, vurdere risikoen for misbrug og give konkrete anbefalinger til afhjælpning og styrkelse af forsvarslinjerne. Tests udføres altid med skriftlig autorisation og inden for en aftalt scope for at minimere forstyrrelser i driften og beskytte data.

Omfang og tilgang

Indledningsvis defineres hvilket system eller hvilke komponenter der testes, inklusiv netværk, applikationer, fysiske områder og tidspunkter. Generelt følger penetrationsforsøget en risikovurdering og et engagement, der beskriver regler for hvad der må tilgås, og hvordan resultater håndteres.

Metode

Et typisk forløb består af planlægning og scoping, informationsindsamling og trusselsmodellering, sårbarhedsvurdering, udnyttelse af identificerede svagheder, post-exploitation analyse og slutrapportering. Formålet er at bevise, hvilke sårbarheder der kan udnyttes, og hvilken effekt en angriber kunne opnå, uden at skade driften.

Typer af tests

Penetrationsforsøg kan være netværksbaserede, webapplikationstest, mobilapplikationstest, trådløst netværk, samt fysiske sikkerhedsvurderinger eller sociale ingeniørtest. Tests kan være black-box (uden intern viden), white-box (med fuld adgang) eller gray-box (begrænset viden).

Leverancer og standarder

Resultatet er en rapport med identificerede sårbarheder, risk-vurdering, evidens, en prioriteret handlingsplan og ofte anbefalet retest. Mange udføres efter rammer som PTES, OSSTMM, NIST SP 800-115 eller ISO 27001/27034 for at sikre metodisk grundighed og konsistens.