Testy penetracyjne infrastruktury

Testy penetracyjne infrastruktury IT to symulowane ataki hakerskie na elementy sieci, serwerów, urządzeń i usług organizacji, mające na celu wykrycie luk bezpieczeństwa zanim zrobią to cyberprzestępcy. Celem testu jest sprawdzenie odporności systemów na rzeczywiste wektory ataku i wskazanie skutecznych środków obrony. Test prowadzimy według standardu PTES, ręcznie i z użyciem narzędzi, a wynikiem jest raport z dowodami, oceną ryzyka CVSS i zaleceniami naprawczymi.

Zakres testów może obejmować: sieć zewnętrzną i wewnętrzną (LAN/WAN), serwery fizyczne i wirtualne, firewalle, routery, VPN-y, Active Directory, DNS, e-mail, VoIP, urządzenia IoT i systemy przemysłowe (ICS/SCADA), chmurę i zasoby hybrydowe (AWS, Azure, GCP). Na każdym hoście w zakresie wykonujemy skanowanie portów TCP i UDP, enumerację usług, fingerprinting systemu, próby brute-force, analizę konfiguracji protokołów oraz kontrolowaną eksploatację wykrytych podatności.

Proces realizowany przez VIPentest obejmuje: rozmowę o zakresie i formalności (umowa, NDA, okno czasowe, ścieżka eskalacji), zbieranie informacji (rekonesans i mapowanie sieci), analizę podatności i konfiguracji, kontrolowaną eksploatację wykrytych luk, eskalację uprawnień i pivoting w sieci wewnętrznej, a na końcu raport z pełną dokumentacją i rekomendacjami oraz retest do 30 dni. Każdą podatność widzisz w platformie vulnerability management w dniu wykrycia.

Test infrastruktury zewnętrznej do 25 adresów trwa zwykle 3–5 dni roboczych. Test sieci wewnętrznej z Active Directory do 250 hostów i jednej domeny to 7–12 dni, a środowiska powyżej 250 hostów lub z wieloma domenami i lokalizacjami od 12 dni. Do tego dochodzą 2–3 dni na raport i spotkanie omawiające. Czas zależy od zakresu, złożoności sieci i dostępnych środowisk testowych; dokładny harmonogram podajemy w wycenie po rozmowie o zakresie.

Test infrastruktury zewnętrznej do 25 adresów kosztuje od 6 000 zł netto. Test sieci wewnętrznej z Active Directory do 250 hostów i jednej domeny to 15 000–30 000 zł netto, a większe środowiska (powyżej 250 hostów, wiele domen lub lokalizacji) od 30 000 zł netto. Ostateczny koszt zależy od liczby hostów, zasięgu testów i typu środowiska (on-prem / cloud). W cenie jest raport, retest do 30 dni, dostęp do platformy vulnerability management i konsultacja po teście. Dokładną wycenę dostajesz po bezpłatnej rozmowie o zakresie.

Testy infrastruktury realizowane przez VIPentest oparte są na: OWASP Testing Guide, PTES (Penetration Testing Execution Standard), NIST SP 800-115, MITRE ATT&CK, oraz wytycznych ENISA i CIS Benchmarks. Dzięki temu raport spełnia wymogi audytów zgodności (ISO 27001, DORA, NIS2, SOC 2, PCI DSS).

Test zewnętrzny prowadzimy z internetu, w modelu black box, na publicznych adresach IP: serwery WWW i pocztowe, VPN, zdalne pulpity, panele administracyjne. Odpowiada na pytanie, co widzi i może wykorzystać atakujący bez żadnego dostępu. Test wewnętrzny prowadzimy z perspektywy osoby w sieci LAN lub pracownika z podstawowym kontem domenowym: sprawdzamy widoczne hosty i usługi, błędy konfiguracyjne oraz ścieżki eskalacji uprawnień do administratora domeny. Oba warianty można połączyć w jednym projekcie.

Tak, w wariancie wewnętrznym. Sprawdzamy konfigurację domeny Windows, uprawnienia kont i grup, protokoły uwierzytelniania (NTLM, Kerberos), usługi na kontrolerach domeny oraz ścieżki eskalacji od konta zwykłego pracownika do administratora domeny. Na życzenie test rozszerzamy o perspektywę grey box, czyli konto pracownika domeny, od którego zaczyna się większość realnych włamań. Cennik uwzględnia liczbę domen: jedna domena do 250 hostów to 15 000–30 000 zł netto.

Tak. Najczęściej pracujemy zdalnie: przez VPN do sieci wewnętrznej albo przez urządzenie testowe podłączone do sieci LAN po Twojej stronie. Prace na miejscu u klienta są możliwe, ale wyceniane osobno. Sposób dostępu, okno czasowe, konto pracownika domeny dla wariantu grey box oraz lista hostów wyłączonych z eksploatacji są ustalane na etapie formalności i potwierdzane pisemnie przed startem testu.

Skanowanie i eksploatacja mogą wywołać alerty w systemach monitorowania i tak powinno być; ustalamy wcześniej, czy Twój SOC ma być poinformowany, czy test ma również sprawdzić jego reakcję. Przerwaniu usług zapobiegają zasady testu: ustalamy okno czasowe i listę hostów wyłączonych z eksploatacji, nie wykonujemy ataków odmowy usługi bez wyraźnej zgody, a operacje ryzykowne uzgadniamy na bieżąco z osobą kontaktową. O podatnościach krytycznych informujemy dodatkowo telefonicznie.

Dla testu zewnętrznego liczymy publiczne adresy IP w zakresie; pierwszy próg cennika to 25 adresów. Dla testu wewnętrznego liczymy aktywne hosty w sieci oraz liczbę domen Active Directory i lokalizacji; progi to do 250 hostów z jedną domeną oraz powyżej 250 hostów lub wiele domen. Zakres ustalamy na bezpłatnej rozmowie wstępnej. Jeśli nie znasz dokładnej liczby hostów, ustalimy ją podczas rekonesansu i potwierdzimy zakres przed rozpoczęciem eksploatacji.

Test penetracyjny szuka ścieżki ataku i potwierdza ją dowodem: wynikiem jest lista realnie wykorzystanych podatności z oceną CVSS i rekomendacjami. Audyt konfiguracji CIS Benchmark sprawdza punkt po punkcie wszystkie zalecane ustawienia systemów, baz danych i urządzeń, niezależnie od tego, czy da się je dziś wykorzystać, a wynikiem jest wskaźnik zgodności i plan hardeningu. Najlepszy efekt daje połączenie obu: audyt zamyka luki hurtowo, pentest weryfikuje, czy coś zostało.