Penetrációs tesztelés Magyarországon
Penteszt magyar szolgáltatótól. Kézzelfogható eredmények.
Bizalmas, időben körülhatárolt penetrációs tesztelés a Hackrate magyar kiberbiztonsági vállalat belső szakértőivel. Tárja fel alkalmazásai és infrastruktúrája sérülékenységeit, értse meg azok hatását, és adjon használható javítási irányt a csapatának.
Kijelölt belső tesztelők · Jóváhagyott hozzáférés · Végső PDF jelentés
A vállalat által jóváhagyott vizsgálat.
Penteszt, pentest és pen test
Mit jelent a penteszt, és mit vizsgál?
A penteszt, az angol pentest vagy pen test a penetrációs tesztelés elnevezései. Engedélyezett biztonsági vizsgálatot jelentenek: a szakértők az egyeztetett hatókörben keresnek és ellenőriznek sérülékenységeket, majd megvizsgálják azok lehetséges technikai és üzleti hatását.
Kontextusba helyezett kockázatok
Egy technikai gyengeség jelentősége függ az érintett adatoktól, a hozzáférési feltételektől és az üzleti folyamattól. Ezeket a megállapítás értékelésekor együtt vizsgáljuk.
Manuális szakértői vizsgálat
A strukturált ellenőrzést a tesztelők üzleti logikára, jogosultsági határokra és egymással kombinálható gyengeségekre irányuló vizsgálatai egészítik ki.
Javítást támogató eredmények
A csapat érthető leírást, bizonyítékot és a javításhoz használható információt kap. Ez segít a teendők súlyosság és üzleti kockázat szerinti sorba rendezésében.
Vizsgálati területek
A hatókört a rendszereihez igazítjuk.
A vizsgálat tervezésekor a rendszer architektúrája, a felhasználói szerepkörök és az elérhető hozzáférések is számítanak. A pontos vizsgálati területeket a munka megkezdése előtt rögzítjük.
Éles és tesztkörnyezet esetén is tisztázni kell a korlátokat, az adatok kezelését és a vizsgálat leállításának módját. A környezet kiválasztása az üzleti és működési szempontok közös mérlegelésével történik.
Felhasználói felületek és üzleti folyamatok
Hitelesítés, munkamenet-kezelés, hozzáférés-szabályozás, bemenetkezelés és az alkalmazás üzleti logikája. A teszt különböző szerepkörökből elérhető funkciókra is kiterjedhet.
Adatok és jogosultsági határok
Az API-hozzáférések, a felhasználói és objektumszintű jogosultságok, az adatkezelés és a szolgáltatások közötti bizalmi kapcsolatok vizsgálata az egyeztetett hatókörben.
Korlátozott hozzáférésű rendszerek
Belső portálok, adminisztrációs funkciók és érzékeny munkafolyamatok vizsgálata kijelölt tesztfiókokkal és a szükséges kapcsolódási feltételekkel.
Egyeztetett hálózati célpontok
A kijelölt rendszerek és szolgáltatások vizsgálata a hozzáférési modell, az engedélyezett módszerek és a működési korlátok figyelembevételével.
Módszertan és szakértői munka
Strukturált lefedettség, a rendszerre szabott vizsgálat.
A webalkalmazások és webes szolgáltatások vizsgálata az OWASP Web Security Testing Guide szemléletéhez igazodik. A tényleges teszttervet az architektúra, az elérhető hozzáférés, a kockázatok és a megállapodás alakítja.
Az automatizált eszközök támogatják a feltárást, a szakértők pedig ellenőrzik a megállapításokat, az üzleti logikát és az összefüggő támadási lehetőségeket. A tesztelés korlátai és feltételezései a jelentésben is megjelennek.
Milyen hozzáférésből vizsgálunk?
- Black box: korlátozott előzetes információval, a külső elérhetőségre és a felfedezhető működésre építve.
- Gray box: egyeztetett tesztfiókokkal és rendszerinformációval, a jogosultsági határokat is vizsgálva.
- White box: részletesebb technikai háttérrel, amelynek pontos tartalmát külön rögzítjük.
A hozzáférési modell a tesztelés célját szolgálja; az adott vizsgálat kereteihez választjuk ki.
A penetrációs teszt menete
Hat lépés az egyeztetéstől a lezárásig.
A technikai munka mellett a felkészülés és a kommunikáció is a vizsgálat része. Így a tesztelés eredménye a javítási folyamatban is használható.
Célok és hatókör
Rögzítjük a célrendszereket, a kritikus üzleti folyamatokat, a kizárásokat, az időablakot és az elvárt jelentési formát.
Előkészítés
Egyeztetjük a tesztfiókokat, tesztadatokat, kapcsolattartókat, tiltott tevékenységeket és a sürgős esetek jelzési rendjét.
Szakértői tesztelés
A kijelölt belső pentesterek manuális és eszközökkel támogatott vizsgálatot végeznek a jóváhagyott szabályok szerint.
Validálás és értékelés
Ellenőrizzük a reprodukálhatóságot, az érintett feltételeket, a lehetséges hatást és a megállapítás súlyosságát.
Eredmények átadása
A választott modell szerint platformon vagy a végső PDF-ben adjuk át a megállapításokat. Sürgős ügyekhez külön jelzési csatornát egyeztetünk.
Áttekintés és újratesztelés
Összefoglaljuk a fontos kockázatokat és a javasolt lépéseket. A javítások újratesztelése a megállapodásban meghatározott körben történik.
A pentest jelentés tartalma
Bizonyíték és kontextus a döntésekhez.
A vezetői összefoglaló és a technikai részletek más célközönségnek készülnek, de ugyanazt a kockázatot írják le. Az átadandó anyagokat a megrendelésben rögzítjük.
- Vezetői összefoglaló: fő kockázatok és javítási prioritások.
- Hatókör és lefedettség: vizsgált célpontok, módszerek, feltételezések és korlátok.
- Részletes megállapítások: érintett komponensek, bizonyíték és reprodukció.
- Hatás és javítás: súlyosság, kockázati magyarázat és javasolt lépések.
- Újratesztelési eredmények: ha az adott megbízás részei.
A megállapítás története
Választható átadási modell
A jelentés illeszkedjen a csapata működéséhez.
Végső PDF jelentés
A vizsgálat lezárásakor összesített dokumentumot kap. Ez jól illeszkedhet a vállalat meglévő dokumentumkezelési és auditfolyamataihoz.
A kritikus megállapításokat az előre egyeztetett biztonságos csatornán a lezárás előtt is lehet jelezni.
Hackrate platform és PDF
A validált megállapítások a vizsgálat közben is elérhetővé válhatnak a platformon. Így a csapat korábban áttekintheti az információkat és kezelheti a kapcsolódó kommunikációt.
A vizsgálat végén ebben a modellben is összesített PDF jelentés készül.
Opcionális HackGATE
További rálátás a tesztelési tevékenységre.
A HackGATE az ügyfél kérésére, egyeztetett konfigurációval támogathatja az engedélyezett pentester-tevékenység megfigyelését és naplózását. Ez további információt és bizonyítékot adhat a vizsgálat körülményeiről.
Használata opcionális. A módszertant, a szakértői munkát és a végső értékelést a pentest szolgáltatás keretei határozzák meg. A HackGATE részletei (angol) →
A megfelelő modell kiválasztása
Penetrációs teszt, bug bounty vagy VDP?
A három megoldás más kérdésre ad választ. Egy vállalatnál egymás mellett is működhetnek: a tervezett vizsgálat, a kutatók bevonása és a felelős bejelentések fogadása kiegészíti egymást.
| Szempont | Hagyományos pentest | Bug bounty program | Menedzselt VDP |
|---|---|---|---|
| Elsődleges cél | Meghatározott rendszerek célzott, időben körülhatárolt vizsgálata. | Etikus hackerek bevonása az engedélyezett rendszerek vizsgálatába. | Világos és biztonságos folyamat a felfedezett hibák bejelentésére. |
| Résztvevők | A Hackrate kijelölt belső szakértői. | Meghívott kutatók vagy a program szabályai szerinti közösség. | A hibát észlelő bejelentők és a jelentéseket kezelő csapat. |
| Működés | Előre egyeztetett tesztelési időablak és átadandó anyagok. | A programhoz igazított időtartam, hatókör és jutalmazási szabályok. | Közzétett szabályzat és folyamatosan elérhető bejelentési csatorna. |
| Mikor érdemes választani? | Új rendszer, jelentős változtatás vagy konkrét biztonsági kérdés vizsgálatakor. | Ha több kutatói nézőpontot és a termék fejlődését követő visszajelzést szeretne. | Ha rendezett módon szeretné fogadni és kezelni a külső bejelentéseket. |
| Részletek | Penetrációs tesztelés → | Bug bounty → | Sérülékenység-bejelentés → |
Magyar penteszt szolgáltató választása
A szakmai tartalmat és az együttműködés kereteit is nézze meg.
A szolgáltatást a Magyarországon bejegyzett HACKRATE Kft. nyújtja. Az ajánlatkérésben magyarul is leírhatja a célrendszereket, a határidőt és a fontos üzleti folyamatokat; a technikai hozzáférést és az átadandó anyagokat a tervezés során egyeztetjük.
Ajánlatok összehasonlításakor érdemes tisztázni, kik végzik a vizsgálatot, mekkora a tesztelési hatókör, milyen bizonyíték kerül a jelentésbe, és hogyan kezelik a kritikus megállapításokat. A jelentés nyelvét és a javítások újratesztelésének feltételeit is előre rögzítse.
A Hackrate hagyományos pentestjét kijelölt belső szakértők végzik. A vállalati adatok az impresszumban, a részletes ajánlatkérés a demókérő űrlapon érhető el.
Időzítés és pentest árak
Mitől függ a vizsgálat ráfordítása?
Az ajánlatot a konkrét rendszer és a kért vizsgálat alapján készítjük. A pontos hatókör segít reális időablakot és átadandó eredményeket meghatározni.
A rendszer mérete és összetettsége
Az alkalmazások száma, a funkciók, az API-végpontok, a szerepkörök és az egymáshoz kapcsolódó rendszerek mind alakítják a szükséges munkát.
Hozzáférés és vizsgálati mélység
A rendelkezésre álló információ, a tesztfiókok, a hozzáférési modell és a részletesen vizsgálandó folyamatok befolyásolják az előkészítést és a tesztelést.
Jelentés és utánkövetés
A jelentési forma, a technikai áttekintés és az újratesztelés kívánt terjedelmét szintén az egyeztetés során rögzítjük.
Árak, szolgáltatási csomagok és ajánlatkérés →Gyakori kérdések
A penetrációs tesztelésről részletesen.
A penteszt, a pentest és a pen test ugyanazt jelenti?
Igen, ezek a penetrációs tesztelés elterjedt elnevezései. A szolgáltatás tényleges tartalmát a célrendszerek, a hozzáférés, a vizsgálati módszer és az átadandó eredmények határozzák meg, ezért az ajánlatban ezek részleteit érdemes összehasonlítani.
Kik végzik a hagyományos pentestet?
Kizárólag a Hackrate kijelölt belső kiberbiztonsági szakértői. Ebben a modellben a célrendszerek, a hozzáférések és a megállapítások nem kerülnek az etikus hacker közösséghez.
Miben különbözik a pentest egy sérülékenységszkenneléstől?
A szkennelés automatizált ellenőrzéseket végez. A pentestben a szakértők a megállapításokat ellenőrzik, összefüggéseket keresnek, és a rendszer működését, üzleti logikáját, valamint a jogosultsági határokat is vizsgálhatják.
Mennyi ideig tart egy penetrációs teszt?
A célpontok száma, az összetettség, a hozzáférési modell és az elvárt mélység határozza meg. A vizsgálati időablakot és a jelentés átadását a hatókör tisztázása után egyeztetjük.
Milyen gyakran érdemes tesztelni?
A gyakoriságot a kockázatokhoz és a változásokhoz célszerű igazítani. Új funkciók, fontos integrációk, jelentős architektúraváltás vagy időszakos felülvizsgálati igény is indokolhat új vizsgálatot.
Az újratesztelés része a szolgáltatásnak?
A javítások ellenőrzésének pontos körét és időzítését a megállapodás tartalmazza. Ezt az első egyeztetésen érdemes jelezni, hogy a szükséges kapacitás tervezhető legyen.
Használható a jelentés audit során?
A jelentés támogathat kockázatértékelést, kontrollvizsgálatot, belső auditot vagy külső felülvizsgálatot. Önmagában nem jelent tanúsítást vagy teljes jogszabályi megfelelőséget.
Kötelező a Hackrate platform használata?
A hagyományos átadási modellben végső PDF jelentés kérhető. A platformos modellben a validált megállapítások a teszt közben is követhetők, és a végén szintén készül PDF.
Hogyan tervezhető több rendszer rendszeres vizsgálata?
Az éves folyamatos pentest program (angol) havi prioritásegyeztetéssel, belső kapacitással és célrendszerenként kiválasztott tesztelési modellel támogathatja a rendszeres vizsgálatokat.
Készen áll a következő lépésre?
Emelje új szintre vállalata biztonsági tesztelését.
Beszéljük át a vizsgálandó rendszereket, az üzleti kockázatokat és a csapata működését. Közösen megtervezzük az együttműködés megfelelő formáját és kereteit.
Beszéljünk a céljairól A demókérő űrlap jelenleg angol nyelvű. Kérdését magyarul is megírhatja.