...
Artikler om penetrationstest
Grundbegreber
- Hvad er en penetrationstest?
- Derfor får virksomheder lavet en penetrationstest
- Hackere og deres hatte
- Typer af penetrationstest: hvilken test svarer på jeres spørgsmål?
- Start her: find det rigtige sted at begynde med penetrationstest
- Ordbog for penetrationstest: begreberne fra A til Å
Begreber og grundviden
- Hvad laver en penetrationstester? Opgaver, ansvar og grænser
- Etisk hacker: hvad betyder det, og hvornår er hacking tilladt?
- Sårbarhed, fund og risiko: tre ord, der ofte blandes sammen
- CVE forklaret: hvad nummeret siger, og hvad det ikke siger
- CVSS-score: brug alvorligheden uden at lade den bestemme alt
- Exploit: hvad det betyder, at en svaghed kan udnyttes
- Zero-day: hvad en ukendt sårbarhed betyder for jeres test
- Angrebsflade: det, I viser frem, bestemmer testen
- OWASP Top 10 for købere: hvad listen kan bruges til
- Falsk positiv og falsk negativ: når resultatet tager fejl
- Restrisiko: det, der står tilbage efter testen
- Sårbarhedsstyring og penetrationstest: to forskellige opgaver
- Opdateringer og penetrationstest: hvorfor patching ikke gør testen overflødig
- Penetrationstest eller IT-sikkerhedsaudit: hvilket spørgsmål skal besvares?
- Penetrationstest eller teknisk gennemgang af opsætningen?
- Bug bounty eller penetrationstest: hvad passer til jer?
- Red teaming eller penetrationstest: hvor går grænsen?
- Rules of engagement: spillereglerne for testen forklaret
- Test med og uden login: hvad en udleveret konto ændrer
- Assume breach: test, der starter bag forsvaret
- Trusselsbaseret test: når realistiske trusler styrer opgaven
- Bevis for fundet: hvor meget dokumentation skal rapporten have?
- Penetrationstesten er et øjebliksbillede: hvad tidspunktet betyder
- Sikkerhedstest af egne systemer: hvad må IT-afdelingen selv?
- AI i penetrationstesten: hvad AI-baserede testydelser kan dokumentere, og hvad I skal spørge om
- CIS Controls og NIST CSF: hvor penetrationstesten står i de frivillige rammer
Hvornår skal I teste?
- Penetrationstest før lancering af en ny webshop
- Ny kundeportal: hvornår skal penetrationstesten ligge?
- Kunden beder om en pentestrapport: de første skridt
- Cyberforsikringen spørger til sikkerhedstest: hvad skal I svare?
- Revisor nævner sikkerhedstest: sådan afklarer I forventningen
- Bestyrelsen spørger, om sikkerheden holder
- Skift af hosting- eller driftsleverandør: hvad skal testes før og efter?
- Flytning til cloud: hvad skal testes før og efter?
- Efter en større opdatering: hvornår skal systemet testes igen?
- Efter en sikkerhedshændelse: hvornår giver en penetrationstest mening?
- Ny fjernadgang eller VPN-løsning: skal den testes?
- Nyt trådløst net på kontoret: hvornår skal det testes?
- Den første penetrationstest: hvor starter I?
- Den årlige test: hvordan undgår I, at den bliver rutine uden værdi?
- Nyt ERP-system: hvad skal testes før og efter idriftsættelse?
- Et API åbnes for partnere: hvornår skal det testes?
- Hjemmearbejde og egne enheder: hvad betyder det for penetrationstesten?
- Leverandøren siger, at alt er sikkert: sådan kontrollerer I det
- Kontrakten med en kunde kræver sikkerhedstest: hvad skal I afklare?
- NIS2 i leverandørkæden: når kunden sender kravet videre
- ISO 27001-certificering: hvor passer penetrationstesten ind?
- Et nyt kontor eller en ny afdeling kobles på netværket: hvad skal testes?
- Ny hjemmeside på WordPress: skal den testes?
- Budgettet rækker til én test: hvad skal den dække?
- En mail om en sårbarhed, I ikke har bedt om: sådan vurderer og besvarer I den
Før testen
- Penetrationstest fra start til slut: beslutninger, leverancer og opfølgning
- Scope i en penetrationstest: hvad skal testes, og hvad skal holdes ude?
- Black box, grey box og white box: hvor meget skal testeren vide?
- Uafhængig penetrationstest: hvorfor testeren ikke bør være jeres egen leverandør
- Ekstern eller intern penetrationstest: hvilket spørgsmål skal testen besvare?
- Penetrationstest af webapplikationer: hvad skal med, når løsningen har brugere og integrationer?
- Penetrationstest i produktion eller testmiljø: hvad kan resultatet bruges til?
- Sammenlign tilbud på penetrationstest: omfang, dokumentation og ansvar
- Automatisk eller manuel penetrationstest: hvad kan hver især dokumentere?
- Krav til penetrationstesteren: erfaring, metode og certificeringer
- Penetrationstest og standarder: hvad ISO 27001, PCI DSS og NIS2 siger
- Er en penetrationstest lovlig: hvem kan give tilladelsen?
- Før penetrationstesten: få aftaler, tilladelser og ansvar på plads
- Sikkerhedstjek eller penetrationstest: bestil den undersøgelse, I har brug for
Bestilling og planlægning
- Hvor lang tid tager en penetrationstest?
- Hvad påvirker omfanget og prisen på en penetrationstest?
- Opgavebeskrivelsen: dokumentet, der sendes til testeren
- Hvornår på året skal penetrationstesten ligge?
- Test i arbejdstiden eller uden for?
- Hvem skal involveres internt før testen?
- Skal medarbejderne vide, at der testes?
- Driftsleverandøren og testen: roller og forventninger
- Skal overvågningen eller SOC’en have besked?
- Skal testeren undtages i firewall og overvågning?
- Testkonti og testdata: hvad testeren skal have udleveret
- Fortrolighedsaftale før penetrationstesten
- Kontrakten om penetrationstesten: hvilke punkter skal I have med?
- Ansvar og forsikring: hvilke spørgsmål skal I stille testeren før start?
- Opstartsmødet før penetrationstesten: dagsorden og beslutninger
- Kritisk fund midt i testen: hvad sker der, og hvem beslutter?
- Hvis noget går ned under penetrationstesten: forebyg, stop og følg op
- Ændringer i opgaven undervejs: hvem godkender, og hvad betyder det for rapporten?
- Leverandørens godkendelse mangler: udskyd, afgræns eller vent?
- Afslutningsmødet efter penetrationstesten: sådan får I mest ud af gennemgangen
- Intern eller ekstern tester: hvad taler for egen medarbejder, og hvad for en ekstern?
- Samme tester hvert år, eller skift? Kontinuitet over for nye øjne
- Rammeaftale om penetrationstest: hvornår giver det mening?
- Flere systemer skal testes: hvilken rækkefølge giver mening?
- Metoden i tilbuddet: PTES, OSSTMM, OWASP-testguiden og NIST SP 800-115 forklaret for købere
- Penetrationstest som abonnement: løbende test eller den enkelte opgave?
Testområder
- IP-adresser og domæner i opgaven: hvad skal med fra internetsiden?
- Fjernadgang og VPN i penetrationstesten: hvad kan testen vise?
- Mailtjenester: hvad kan en penetrationstest sige om dem?
- Login og adgangskoder: hvad kan testen vise?
- Tofaktorlogin i testen: hvad skal med?
- Kunders oplysninger skal holdes adskilt: sådan bestiller I testen
- Betaling i webshoppen: hvad er jeres ansvar, og hvad er betalingsudbyderens?
- API-test forklaret for købere: hvad skal I oplyse om jeres API’er?
- Plugins og tredjepartskode: hvorfor de skal med i overvejelsen
- Intranet og interne webløsninger: et område for sig i testen
- Netværkssegmentering: holder skillevæggene?
- Active Directory i penetrationstesten: det, køberen skal vide
- Microsoft 365 og testen: hvad kan og må testes?
- Delt ansvar i cloud: hvad skal I selv teste?
- Trådløse net og gæstenet: adskillelsen i praksis
- Printere, kameraer og IoT på netværket: skal de med i testen?
- Produktionsanlæg og OT: særlige hensyn ved test
- Backup og gendannelse: hvad en penetrationstest kan og ikke kan sige
- Bærbare og arbejdsstationer: hvad skal med i en test af klienten?
- Telefoni og videomøder: hvad hører med i testen?
- Fildeling og samarbejdsværktøjer: hvad skal testen svare på?
- Fysisk adgang som tillæg til testen: hvornår, og med hvilket samtykke?
- Phishing-test: hvad det er, og hvordan det adskiller sig fra en pentest
- Social engineering i en sikkerhedstest: grænser og samtykke
- Fælles login (single sign-on) i testen: hvad skal med?
- Integrationer mellem systemer: hvad skal med i testen?
- Leverandørers fjernadgang til jeres systemer: hvad skal testen svare på?
- Adgangskontrol og bygningsautomatik på netværket: hvad betyder det for testen?
- Chatbots og AI på hjemmesiden: hvad skal med i testen?
- Glemte testmiljøer på internettet
Efter testen
- Sådan læser I en pentestrapport
- Retest efter penetrationstest: hvad skal dokumenteres, før et fund kan afsluttes?
- Hvor ofte skal I have en penetrationstest?
- Resuméet i pentestrapporten: det, ledelsen skal have ud af det
- Kritiske fund i rapporten: de første skridt
- Prioritering af rettelser efter testen
- Hvem retter? Ansvar mellem virksomhed og leverandør
- Frister for rettelser: sådan sætter I dem
- Risikoaccept: når et fund ikke rettes
- Uenighed om et funds alvorlighed
- Fund, der går igen fra test til test
- Fra rapport til handlingsplan: sådan bliver fundene til opgaver
- En penetrationstest uden fund: hvad betyder det?
- Rapportens alder: hvor længe kan pentestrapporten bruges?
- Testerklæring til kunder: når hele rapporten ikke skal deles
- Deling af pentestrapporten: hvem må se den?
- Opbevaring og sletning af rapport og testdata
- Pentestrapporten i bestyrelsen: hvad skal fremlægges?
- Fremskridt fra test til test: hvad kan sammenlignes?
- Når leverandøren afviser et fund
- Fund i tredjepartssoftware: hvad gør I?
- Anbefalingerne i rapporten: fra teknisk råd til opgave
- Kommunikation til medarbejderne efter testen: hvad kan siges?
- Tekniske bilag i pentestrapporten: hvem skal læse dem?
- Fund, der kræver en ny proces: når årsagen er organisatorisk
- Rapporten som grundlag for budgettet: fra fund til budgetpost
- Næste test efter et alvorligt resultat: hvornår?
- Tegn på et rigtigt angreb under testen: stop, besked og beredskab
Myter og typiske fejl
- Vi er for små til at være et mål: hvorfor myten ikke holder
- Hostingfirmaet tester for os: hvad hosting dækker, og hvad det ikke gør
- Cloududbyderen har styr på sikkerheden: en myte med en sand kerne
- “Testen garanterer, at vi er sikre”
- “Vi tester, når vi får tid”
- Et for snævert scope: når testen ikke svarer på det, I troede
- Testen ligger lige før lanceringen uden tid til at rette
- Rapporten havner i en skuffe
- “Vi har en firewall, så vi er dækket”
- “Kun de offentlige systemer betyder noget”
- At skjule testen for driftsleverandøren
- At ændre systemet under testen
- At glemme testkonti og adgange efter testen
- At genbruge sidste års opgave uden at se på ændringerne
- At måle testen på antallet af fund
Brancher og virksomhedstyper
- Penetrationstest for webshops i drift
- Softwarehuse og SaaS: penetrationstest kort fortalt
- Revisorer og advokatfirmaer: fortrolige data og klientportaler
- Klinikker og sundhed: patientdata og systemer
- Produktionsvirksomheder: kontor-IT og anlæg
- Transport og logistik
- Finansielle virksomheder: penetrationstest, DORA og TLPT kort fortalt
- Energi og forsyning
- Ejerledede virksomheder: penetrationstest, når ejeren træffer beslutningen
- Små virksomheder uden IT-afdeling: sådan bestiller I en penetrationstest
- IT-leverandører og MSP’er: test af egne og kunders miljøer
- Detail og butikskæder: hvad skal en penetrationstest omfatte?
- Fonde, foreninger og NGO’er: penetrationstest med frivillige og stramt budget
- Skoler og uddannelser: penetrationstest med mange brugere og elevdata
- Byggeri og ejendomme: penetrationstest af projekter, partnere og bygninger
- Vikar- og rekrutteringsbureauer: penetrationstest, når persondata ligger i mange systemer
- Bureauer og konsulenthuse med adgang til kunders systemer
- Grossister og B2B-handel: penetrationstest af integrationer og partnerportaler
Skal I have testet noget?
Fortæl kort, hvad I vil have testet, og hvornår I skal bruge resultatet. Så vender jeg tilbage. Testen og rådgivningen er uvildige og uafhængige, og Nielco IT har ikke indgået forhandleraftaler med leverandører.
