läpäisytestejä

Läpäisytesti, englanniksi penetration testing, on tietoturvatestausmenetelmä, jossa organisaation järjestelmiä, sovelluksia ja verkko-ympäristöjä arvioidaan turvallisuuspuutteiden löytämiseksi. Testin tarkoituksena on löytää haavoittuvuuksia ennen potentiaalisia hyökkääjiä, ymmärtää riskit ja tukea korjaavien toimenpiteiden suunnittelua. Testit suoritetaan laajuuden ja lupien puitteissa, ja niihin noudatetaan eettisiä periaatteita sekä asianmukaisia sopimuksia.

Läpäisytestejä voidaan toteuttaa usealla tavalla: musta laatikko -testauksena, jossa testerilla ei ole ennakkotietoja järjestelmästä; harmaa laatikko -testauksena; sekä valkoinen laatikko -testauksena, jossa testerilla on kattavat tiedot.

Menetelmät yhdistävät automatisoitujen skannauksien ja manuaalisen testaamisen. Keskeisiä vaiheita ovat laajuuden ja tavoitteen määrittäminen, tiedonkeruu, haavoittuvuuksien kartoitus, pääsyyn (exploitation) ja mahdollisen kontrollin laajeneminen sekä post-exploitation, raportointi ja korjaustoimenpiteiden suositukset. Tulokset esitetään riskiperustaisena raporttina, jossa kuvataan löytyneet haavoittuvuudet, niiden vakavuus, vaikutukset sekä ehdotetut korjaus- ja retestitoimenpiteet.

Läpäisytestejä ohjaavat standardit ja mallit kuten PTES, OWASP Testing Guide sekä NIST SP 800-115. Organisaatiot käyttävät niitä usein PCI DSS -vaatimusten noudattamisen, yleisen turvallisuusparantamisen sekä säädösten täyttämisen tueksi.

Erotuksena haavoittuvuusselvitykseen läpäisytestit sisältävät usein aktivoidun hyödyntämisen ja pääsyn simuloinnin, jotta riskit voidaan todentaa käytännössä.