Hakowanie / Testy penetracyjne

Testy penetracyjne firmy co tydzień zamiast raz w roku

Test penetracyjny pokazuje firmie to, co zobaczyłby atakujący. Ręczny robi się raz w roku. Automatyczny powtarzasz co tydzień, bo konfiguracja zmienia się codziennie.

Sprawdź domenę

Czym jest test penetracyjny

Test penetracyjny, zwany pentestem, to kontrolowana próba włamania do systemów, wykonywana za zgodą właściciela. Celem jest znalezienie luk, zanim wykorzysta je ktoś o złych zamiarach. Wynikiem jest raport z listą podatności, ich priorytetem i zaleceniami naprawy.

Test penetracyjny nie jest tym samym co audyt. Audyt ocenia procedury i dokumentację, pentest sprawdza, co faktycznie da się zrobić z zewnątrz albo z wnętrza sieci.

Ręczny test kontra automatyczny

Ręczny test wykonuje specjalista. Kosztuje zwykle dziesiątki tysięcy złotych i opisuje stan z dnia wykonania. Jest niezastąpiony tam, gdzie liczy się logika biznesowa aplikacji, na przykład obchodzenie płatności czy uprawnień.

Test automatyczny sprawdza powierzchnię zewnętrzną według stałej listy kontroli i powtarza się w kółko. Wykrywa to, co zmienia się najczęściej: wygasły certyfikat, brakujący nagłówek, nowy panel wystawiony do internetu, znaną podatność w oprogramowaniu.

Cecha	Ręczny test	Hakowanie
Częstotliwość	Raz w roku lub rzadziej	Co tydzień lub codziennie
Koszt	Projekt, zwykle dziesiątki tysięcy zł	Abonament od 590 zł netto miesięcznie
Logika biznesowa	Tak	Nie
Zmiany po wdrożeniach	Nie widzi	Widzi przy kolejnym teście

Co obejmuje zakres

Bez weryfikacji własności sprawdzamy to, co domena pokazuje publicznie.

certyfikat TLS, wersje protokołów i termin ważności
nagłówki HSTS, CSP, X-Frame-Options, Referrer-Policy i Permissions-Policy
flagi ciasteczek i ujawnione wersje serwera
SPF, DMARC, DKIM, MX i plik security.txt

Po weryfikacji własności domeny rekordem TXT dochodzą testy aktywne: wystawione pliki i katalogi (.git, .env, kopie zapasowe), panele administracyjne, popularne porty oraz wersje CMS i wtyczek ze znanymi podatnościami.

Jak czytać raport

Każda uwaga ma priorytet od niskiego do krytycznego, opis ryzyka, instrukcję naprawy i odniesienie do środka z art. 21 NIS2. Ocena od A do F podsumowuje stan całości. Zacznij od uwag krytycznych i wysokich, a po naprawie uruchom ponowny test. Historia zmian zostaje jako dowód dla audytora i zarządu.

Tak wygląda raport

Ocena, uwagi z priorytetem, instrukcja naprawy i odniesienie do NIS2 w jednym widoku. To przykład interfejsu, nie dane klienta.

Raport, przyklad-sklep.pl Test tygodniowy

Ocena

82 na 100

TLS

Poczta

Nagłówki

Wysoka Art. 21 lit. h

Brak nagłówka HSTS

Dodaj Strict-Transport-Security: max-age=31536000.

Średnia Art. 21 lit. g

Polityka DMARC ustawiona na none

Przejdź na p=quarantine po analizie raportów.

Niska Art. 21 lit. f

Brak pliku security.txt

Opublikuj /.well-known/security.txt z polem Contact.

Pytania i odpowiedzi

Do regularnego sprawdzania powierzchni zewnętrznej tak. Dla logiki biznesowej aplikacji warto dodać ręczny test raz w roku.

Ręczny test to zwykle projekt za dziesiątki tysięcy złotych. Abonament Hakowanie zaczyna się od 590 zł netto miesięcznie, szczegóły w cenniku.

Zobacz też

Skaner podatności Aplikacje webowe i API Cennik Pentest sklepu internetowego

Sprawdź swoją domenę teraz

Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.