Sieć zewnętrzna
Usługi widoczne z internetu: VPN, poczta, panele logowania, serwery, firewall.
Cyberbezpieczeństwo · Pentesty
Testy penetracyjne. Włamujemy się za zgodą.
Pentest to kontrolowane włamanie do Twoich systemów. Ręcznie sprawdzamy, czy podatności da się wykorzystać i co atakujący zyskałby po wejściu. Dostajesz raport, który rozumie i administrator, i zarząd.
Ręcznie
nie tylko skaner, tylko człowiek, który próbuje wejść
OWASP
metodyka dla aplikacji WWW i API
CVSS
każda luka z oceną ważności
Retest
sprawdzamy, czy poprawki zadziałały
Skaner powie, że drzwi są. Pentester sprawdzi, czy są zamknięte.
Co testujemy
Wszystko, co ma adres IP albo hasło.
Sieć wewnętrzna
Co zrobi ktoś, kto już jest w środku: zainfekowany komputer albo nieuczciwy pracownik. Active Directory, uprawnienia, segmentacja.
Aplikacje WWW i API
Logowanie, sesje, uprawnienia, wstrzykiwanie kodu. Według OWASP Top 10 i OWASP ASVS.
Microsoft 365 i chmura
Konfiguracja kont, MFA, dostęp warunkowy, udostępnianie plików, uprawnienia w Azure.
Wi-Fi
Szyfrowanie, sieć dla gości, oddzielenie od sieci firmowej, fałszywe punkty dostępu.
Stacje robocze
Czy zwykły użytkownik może zostać administratorem i wyłączyć ochronę.
Rodzaje testu
Ile wiemy przed startem.
| Rodzaj | Co dostajemy | Kiedy wybrać |
|---|---|---|
| Black box | Tylko nazwę firmy lub adres | Gdy chcesz zobaczyć, co widzi obcy atakujący |
| Grey box | Zwykłe konto użytkownika | Najczęstszy wybór: dużo wyników w rozsądnym czasie |
| White box | Dokumentację, konfiguracje, czasem kod | Gdy liczy się dokładność, np. przed wdrożeniem aplikacji |
Rodzaj testu ustalamy razem z Tobą przed wyceną.
Przebieg
Od umowy do retestu.
Metodyka oparta na PTES i OWASP. Wszystkie działania są spisane w zakresie testu.
- 01
Zakres i zgoda
Lista systemów, terminy, okna serwisowe, osoby kontaktowe. Podpisana zgoda na test.
- 02
Testy
Rozpoznanie, wyszukiwanie podatności i próby ich wykorzystania. Krytyczne luki zgłaszamy od razu, nie czekamy na raport.
- 03
Raport
Część dla zarządu (ryzyko w prostych słowach) i część techniczna: opis, dowód, ocena CVSS, zalecenie.
- 04
Retest
Po poprawkach sprawdzamy, czy luki są zamknięte, i aktualizujemy raport.
Kto testuje i jak
Ludzie z imienia, zasady na piśmie.
Zespół bezpieczeństwa PlayZOOM
Testy prowadzą nasi specjaliści cyberbezpieczeństwa (Piotr i Dawid). Wnioski dla zarządu omawia Michał Wekwert, dyrektor działu IT. Przy NIS2 i ISO 27001 dołącza Maciej Janowski, audytor wewnętrzny ISO/IEC 27001.
Zgoda i NDA przed startem
Pisemna zgoda właściciela systemów, umowa o poufności i lista osób, które wiedzą o teście. Bez zgody nie dotykamy żadnego systemu.
Dane zostają u nas pod kluczem
Zrzuty, hasła i dowody przechowujemy zaszyfrowane tylko do zakończenia retestu. Potem je usuwamy, a usunięcie potwierdzamy na piśmie.
Raport
Co jest w raporcie z testu.
Przykładowy spis treści. Zanonimizowany raport pokazujemy na spotkaniu, nie publikujemy go w sieci.
- Podsumowanie dla zarządu: najważniejsze ryzyka w prostych słowach, bez żargonu
- Zakres, metodyka (PTES, OWASP), daty i rodzaj testu (black, grey lub white box)
- Lista podatności z oceną CVSS, dowodem (zrzut, żądanie, odpowiedź) i krokami do odtworzenia
- Ścieżki ataku: jak łącząc kilka drobnych luk dochodzi się do przejęcia konta albo danych
- Zalecenia z priorytetem: co naprawić w tydzień, co w miesiąc, co przy najbliższej zmianie
- Wynik retestu: które luki zamknięto, a które zostały
Ile to kosztuje
Przykład wyceny, żeby było wiadomo, o jakich kwotach mówimy.
| Zakres przykładu | Pracochłonność | Cena netto | |
|---|---|---|---|
| Test penetracyjny | klinika: 27 komputerów, 2 serwery (Proxmox, AD), Wi-Fi, VPN | 7 osobodni | 18 500 zł |
| Red teaming | ta sama klinika, z rekonesansem OSINT i testem ludzi | 6 osobodni | 22 000 zł |
To przykład, nie oferta. Cena konkretnego projektu zależy od zakresu, który ustalamy przed startem.
- admin123 przetrwał trzy audyty. Pentestu już nie.
- Raport z pentestu czyta się lepiej przed incydentem.
NIS2 i RODO
Dowód, że bezpieczeństwo jest sprawdzane, a nie tylko opisane.
NIS2 wymaga oceny skuteczności środków bezpieczeństwa. RODO wymaga regularnego testowania zabezpieczeń. Raport z pentestu i retestu to konkretny dowód na audycie.
- Raport do dokumentacji NIS2
- Testowanie zabezpieczeń z art. 32 RODO
- Plan poprawek z priorytetami
- Retest w cenie uzgodnionej z góry
Pytania
Zanim zapytasz.
Jak często robić pentest?
Co najmniej raz w roku i po każdej dużej zmianie: nowa aplikacja, migracja do chmury, przebudowa sieci.
Czy pentest zatrzyma pracę firmy?
Nie powinien. Testy ryzykowne dla działania systemów robimy w uzgodnionych oknach serwisowych albo wcale, jeśli tak zdecydujesz.
Czym różni się pentest od skanowania podatności?
Skaner automatycznie wyszukuje znane luki. Pentester ręcznie sprawdza, czy da się je wykorzystać, łączy je w ścieżkę ataku i odrzuca fałszywe alarmy.
Ile kosztuje test penetracyjny?
Przykład: pentest kliniki z 27 komputerami, 2 serwerami, Wi-Fi i VPN to 7 osobodni za 18 500 zł netto. To nie jest oferta. Cena zależy od liczby systemów, rodzaju testu i retestu.
Kto wykonuje testy?
Specjaliści cyberbezpieczeństwa PlayZOOM. Wnioski dla zarządu omawia dyrektor działu IT, a przy NIS2 i ISO 27001 dołącza nasz audytor wewnętrzny ISO/IEC 27001.
Co dostanę na koniec?
Raport z podsumowaniem dla zarządu i częścią techniczną (dowody, ocena CVSS, zalecenia), omówienie wyników i retest po poprawkach.
Porozmawiajmy o Twoim środowisku.
Zadzwoń albo napisz. Sprawdzimy, co masz dziś, i zaproponujemy konkretny plan. Bez zobowiązań.