Alegerea unui PenTest începe cu întrebarea pe care vrei să o clarifici: ce poate fi accesat din internet sau ce se poate întâmpla după obținerea accesului în rețeaua internă? Cele două perspective se completează și se stabilesc în aria autorizată a evaluării.
Ce urmărește testarea externă
PenTest-ul extern evaluează expunerea rețelei dinspre internet, pentru adresele și serviciile incluse în proiect. Raportul poate documenta servicii expuse, configurații riscante și căi de acces identificate în timpul testării.
Scopul trebuie să precizeze activele autorizate și restricțiile. Testarea unei rețele nu include automat auditarea codului sau a logicii de business a unei aplicații web.
Ce urmărește testarea internă
PenTest-ul intern evaluează posibilitățile de acces și deplasare în infrastructura companiei. În funcție de scop, scenariile pot include autentificarea, extinderea privilegiilor, accesul la alte sisteme, resurse sensibile sau controalele traficului de ieșire.
Pentru această evaluare stabilim accesul necesar, rețelele incluse și perioada testului, împreună cu echipa IT. Activitățile se desfășoară în condițiile autorizate.
Ce primești după test
Raportul executiv prezintă riscurile și prioritățile într-o formă utilă managementului. Raportul tehnic documentează constatările, sistemele afectate, dovezile și recomandările pentru echipa IT. Când există istoric, comparațiile pot ajuta la urmărirea evoluției.
TRU livrează rapoartele în 5 zile lucrătoare de la finalizarea testului. Pe pagina serviciului poți vedea un exemplu demonstrativ de structură a raportului.
Remedierea și retestarea
Echipa IT desemnată aplică măsurile convenite, în ordinea priorităților stabilite. În oferta TRU, retestarea după remediere este inclusă și gratuită. Programarea și aria reverificată se stabilesc în cadrul proiectului.
O testare reflectă situația mediului evaluat în acel moment. Schimbările de infrastructură și apariția unor riscuri noi sunt motive pentru a discuta și frecvența evaluărilor ulterioare.
Ce pregătești pentru o ofertă
- Testare internă, externă sau ambele.
- Numărul de adrese IP și mediile vizate.
- Perioada dorită și eventualele restricții operaționale.
- Frecvența evaluării și persoana de contact din echipa IT.
Cu aceste informații putem defini serviciul PenTest potrivit companiei și condițiile de desfășurare.
Fișă pentru definirea ariei
- Perspectivă
- Extern: suprafața de rețea expusă din internet. Intern: accesul și căile de deplasare în rețeaua autorizată.
- Active autorizate
- Adrese IP, intervale, proprietari și acordul necesar pentru testarea fiecărui mediu.
- Condiții de desfășurare
- Accesul disponibil, intervalul testului, restricțiile operaționale și contactul care poate solicita oprirea.
- Excluderi
- Codul, logica aplicațiilor, API-urile, mediile OT și alte arii se precizează distinct; nu sunt incluse implicit în testarea de rețea prezentată.
- Încheiere
- Rapoarte executive și tehnice, recomandări și discuția rezultatelor. Retestarea gratuită se programează după remediere, în aria convenită.
Nu trimite parole sau acces de administrare prin formularul de contact. Pentru prima ofertă sunt suficiente tipul testării, dimensiunea aproximativă și termenul dorit.