sårbarhedstests

Et sårbarhedstest, ofte omtalt som sårbarhedsvurdering eller penetrationstest, er en systematisk gennemgang af et informationssystems sikkerhedstilstand med det formål at identificere sårbarheder, der kan udnyttes af uvedkommende. Dette hjælper organisationer med at afklare risikoer og prioritere afhjælpende tiltag.

Der skelnes typisk mellem to hovedformer: sårbarhedsvurdering, hvor man identificerer og kortlægger sårbarheder ved hjælp af automatiske scannere og manuel gennemgang; og sårbarhedstest (penetrationstest), hvor man forsøger at validere sårbarheder gennem kontrolleret udnyttelse for at vurdere den faktiske risiko og konsekvenser. Tests kan omfatte netværk, applikationer, infrastruktur og konfigurationsniveauer.

Processen følger ofte en planlægning og scope, indsamling af oplysninger, udførelse inden for regler for engagement, og senere produktion af en rapport, der rangerer risici (ofte ved brug af CVSS) og giver konkrete anbefalinger til afhjælpning og prioritering. Efterfølgende kan der foretages retest for at bekræfte, at sårbarheder er lukkede.

Anbefalede standarder og rammer inkluderer ISO/IEC 27001 og 27034, NIST SP 800-115, OWASP Testing Guide og relevante branchestandarder som PCI DSS for betalingstransaktioner.

Etiske og juridiske forhold er centrale: tests må kun udføres med entydig skriftlig autorisation, og håndteringen af fund og data skal ske sikkert og i overensstemmelse med privatlivslovgivning og kontraktlige aftaler.

Begrænsninger: sårbarhedstest giver ikke en garanti for fuld sikkerhed og kan give falske positiver eller negativer; resultater afhænger af omfang, tidsramme og testtype.