Testy penetracyjne stanowią metodę oceny bezpieczeństwa środowiska IT. Dzięki nim można określić podatność systemu albo aplikacji, czyli ryzyka, iż osoba atakująca może uzyskać bądź zakłócić dostęp do systemu albo danych znajdujących się w nim. Ich celem jest zlokalizowanie wszelkich luk w zabezpieczeniach.

Luki występujące w zabezpieczeniach to przede wszystkim błędy konfiguracji, błędy projektowe czy też błędy oprogramowania. Do momentów podatności możemy zaliczyć: konfigurowanie składników sieci, wdrążenie nowej infrastruktury, konfigurowania oprogramowania, wdrążenie oprogramowania czy też jego rozwój. Chcąc uniknąć ewentualnych szkód wyrządzonych przez hakerów, należy regularnie przeprowadzać test penetracyjny. Jest on polecany zwłaszcza sektorowi finansowemu, czyli bankom, agencjom świadczeń i ubezpieczycielom, którym zależy na bezpieczeństwie danych. Ponadto, zaleca się ich wykonywanie w przypadku kiedy system został już zhakowany, aczkolwiek chce się zapobiec kolejnej takiej sytuacji. Można zdecydować się również na proaktywne testy penetracyjne, przeprowadzane co jakiś czas, w celu zapewnienia lepszej ochrony przed atakami hakerskimi.

Jakie są rodzaje testów penetracyjnych?

Aby móc przeprowadzić kontrolowany atak hakerski najpierw należy uzyskać informacje na temat weryfikowanego środowiska. Na podstawie dostępnych źródeł ustala się stosowane w organizacji technologie albo uzyskuje nazwiska pracowników, które mogą stanowić loginy do systemów. Wtedy można przeprowadzić test typu „black box”, w którym osoby testujące nie dostają żadnych informacji dodatkowych dotyczących rodzaju zabezpieczenia od poddanej badaniu firmy. Wykorzystuje się również typy testów „gray box” i „white box”. Przed podjęciem się tych testów, osoba odpowiedzialna za wypróbowanie zabezpieczeń otrzymuje informacje dotyczące testowanego podmiotu, w stopniu całkowitym bądź częściowym. W ten sposób atak może być lepiej zaplanowany i dopracowany. Testy penetracyjne trwają od kilku do kilkudziesięciu dniu, w zależności od złożoności i wielkości środowiska. Na sam koniec przygotowywany jest raport, obejmujący działania oraz rezultaty, a także rekomendacje, co do dalszych czynności.