Hvad er en penetrationstest?
En penetrationstest er en type sikkerhedsvurdering, der udføres på et computersystem, hvor den person, der udfører vurderingen, forsøger at hacke sig ind i systemet. Målet med testen er at bestemme, om en person med ondsindet intention kan komme ind i systemet, eller hvad han eller hun kan få adgang til, når systemet er blevet gennemtrængt. Penetrationstest tilbydes af en række virksomheder, der er specialiserede i sikkerhed af computersystemer, og de anbefales ofte stærkt til systemer og virksomheder i alle størrelser, da skader på et computersystem forårsaget af et fjendtligt angreb kan være dyre og pinlige.
Der er en række forskellige tilgange til penetrationstesten. I en sort boksstilgang gives ingen oplysninger om systemet til den person, der udfører testen. Han eller hun starter fra grunden for at søge mulige udnyttelser og bryde ind i systemet. I en hvid boks-test leveres al informationen, så testeren kan simulere et indvendigt job eller lækage af information. Nogle virksomheder vælger en hybrid tilgang, hvor nogle oplysninger gives, og andre oplysninger skal søges.
I løbet af en penetrationstest kan sikkerhedseksperten simulere sletning eller ændring af data, tyveri af filer, indsættelse af ondsindet kode og en række andre aktiviteter. Penetrationstesten kan bremse systemet, hvilket gør timingen af testen vigtig; virksomheder ønsker at undgå at forstyrre deres egne operationer, når de udfører sikkerhedsvurderinger.
De mennesker, der udfører penetrationstest, har et rigeligt bibliotek med computerfærdigheder, og nogle har en historie som hackere, som har gjort dem bekendt med de mange måder, hvorpå computersystemer kan udnyttes. Ansættelse af dygtige hackere som sikkerhedskonsulenter kan faktisk være et meget dygtigt forretningsbevægelse for et firma, der er specialiseret i computer- og netværkssikkerhed, da hackere ofte har den mest ajourførte viden og information, og de er vant til at nærme sig computersystemer fra rollen som nogen med ondskab i stedet for rollen som en bekymret sikkerhedsekspert.
Til simpel test er det muligt at bruge et automatiseret system til at udføre en penetrationstest. Dette reducerer omkostningerne og giver virksomheder let mulighed for at afholde tilfældig test, når de tror, at der kan være et behov. Manuel test er mere dybtgående og tidskrævende, men det kan give mere komplette resultater. Et kreativt og målbevidst menneske kan registrere potentielle udnyttelser, som et automatiseret program kan gå glip af.
Når en penetrationstest er afsluttet, skrives fundene op og præsenteres for klienten. Sammen med fundene genereres der en liste med anbefalinger, hvor sikkerhedsfirmaet angiver områder, hvor sikkerhed kan forbedres og fremsættes forslag til forbedring.