Penetrationsforsøget

Penetrationsforsøget, ofte omtalt som en penetrationstest, er en kontrolleret sikkerhedsvurdering, hvor kvalificerede testere simulerer cyberangreb mod et informationssystem for at identificere og udnytte sårbarheder med det formål at forbedre sikkerheden. Øvelsen udføres kun efter udtrykkeligt samtykke fra ejeren af systemet og inden for en fastlagt omfang og spilleregler for at undgå forstyrrelser eller datatab.

Typiske faser omfatter planlægning og afgrænsning, informationsindsamling og kortlægning af angrebsoverfladen, sårbarhedsvurdering, forsøg på at udnytte svagheder, efterforsknings- og konsekvensanalyse samt rapportering. Udnyttelse/demonstration af sårbarheder bør ske forsigtigt og ofte med brug af ikke-destructive metoder eller kontrolleret eskalation, for at undgå skade på driftsmiljøet.

Typerne af penetrationsforsøg varierer og kan omfatte eksternt test af perimetersystemer, internt test i et troværdigt netværk, test af webapplikationer, trådløse netværk, sociale ingeniørteknikker og fysiske sikkerhedsforhold. Resultaterne bruges til risikovurdering, prioritering af sikkerhedsforanstaltninger og opfyldelse af compliancekrav.

Faglige standarder og rammeværk som PTES, OWASP Testing Guide, NIST SP 800-115 og ISO 27001-integration giver vejledning om processer, dokumentation og rapportering. En penetrationsforsøg er ikke en erstatning for løbende sikkerhedsovervågning, men en del af en bredere sikkerheds- og risikostyringsstrategi, der kræver klart engagement, dokumentation og efterfølgende rettelser og/eller retests.