Blog / Testy penetracyjne
Testy penetracyjne sieci od zewnątrz, zakres i wnioski
Test zewnętrzny pokazuje firmę taką, jaką widzi ją ktoś z internetu, bez żadnego dostępu do jej wnętrza. To najszybszy sposób na znalezienie problemów, które atakujący wykorzysta jako pierwsze.
Czym jest test zewnętrzny sieci
Test penetracyjny sieci z zewnątrz symuluje punkt widzenia obcego podmiotu. Zaczyna od tego, co publicznie dostępne: domeny, adresy IP, usługi nasłuchujące w internecie, certyfikaty i konfiguracja poczty.
Różni się od testu wewnętrznego, w którym badacz ma dostęp do sieci firmowej lub konta pracownika. Oba mają sens, ale zewnętrzny jest punktem startowym, bo odsłania powierzchnię ataku dostępną dla każdego.
Co powinno wejść w zakres
Dobry zakres obejmuje wszystko, co firma wystawia do sieci, także to, o czym już zapomniano.
- Domeny główne i subdomeny, w tym środowiska testowe i stare kampanie.
- Usługi dostępne z internetu i ich wersje.
- Konfiguracja szyfrowania TLS oraz ważność certyfikatów.
- Nagłówki bezpieczeństwa odpowiedzi serwerów WWW.
- Poczta: SPF, DKIM i DMARC chroniące przed podszywaniem się pod domenę.
- Plik security.txt określający, jak zgłaszać znalezione luki.
Testy pasywne i aktywne
Testy pasywne analizują to, co serwer sam ujawnia, bez prób wywołania błędów. Są bezpieczne i można je wykonywać na dowolnej domenie. Testy aktywne wysyłają specjalnie przygotowane żądania i mogą obciążać systemy, dlatego wymagają zgody właściciela.
W Hakowaniu testy aktywne uruchamiamy dopiero po weryfikacji własności domeny. Szczegóły procesu opisaliśmy na stronie jak to działa.
Jak czytać wyniki
Nie każde ustalenie jest pilne. Przestarzały protokół szyfrowania na zapomnianej subdomenie to inny priorytet niż otwarta usługa administracyjna na serwerze produkcyjnym. Raport powinien wskazywać wagę i uzasadnienie.
Najpierw rozwiązuj problemy, które pozwalają przejąć dostęp lub podszyć się pod firmę. Potem zajmuj się higieną konfiguracji. Każde ustalenie warto przypisać do konkretnej osoby i terminu.
Znaczenie dla NIS2 i KSC
Dyrektywa NIS2 (2022/2555) w art. 21 wymaga oceny skuteczności środków bezpieczeństwa, a polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. Zawsze sprawdzaj aktualny tekst ustawy w Dzienniku Ustaw.
Regularne testy zewnętrzne tworzą ścieżkę dowodową: kiedy testowano, co znaleziono, kiedy naprawiono. Więcej w opisie NIS2 i audytu NIS2.
Ograniczenia testu zewnętrznego
Test z zewnątrz nie widzi wnętrza sieci, stacji roboczych ani zachowania pracowników. Nie oceni też logiki biznesowej aplikacji, na przykład czy da się obejrzeć cudze dane po zmianie identyfikatora. Do tego potrzebny jest ręczny test aplikacji, o którym piszemy w materiale o testach penetracyjnych aplikacji webowych.
Uczciwie mówimy więc, że test automatyczny jest uzupełnieniem, a nie zamiennikiem ręcznej pracy specjalisty.
Jak zacząć
Najprościej od bezpłatnego sprawdzenia strony, a potem przejść do regularnych testów. Automatyczny pentest zewnętrzny z raportem pod NIS2 i KSC kosztuje od 590 zł netto miesięcznie, zobacz cennik.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.