{"id":32033,"date":"2020-07-16T13:56:18","date_gmt":"2020-07-16T11:56:18","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/czy-testy-penetracyjne-infrastruktury-aplikacji-i-sieci-zapewnia-bezpieczenstwo-przedsiebiorstwa"},"modified":"2026-04-02T10:43:09","modified_gmt":"2026-04-02T08:43:09","slug":"czy-testy-penetracyjne-infrastruktury-aplikacji-i-sieci-zapewnia-bezpieczenstwo-przedsiebiorstwa","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/czy-testy-penetracyjne-infrastruktury-aplikacji-i-sieci-zapewnia-bezpieczenstwo-przedsiebiorstwa","title":{"rendered":"Czy testy penetracyjne infrastruktury, aplikacji i sieci zapewni\u0105 bezpiecze\u0144stwo przedsi\u0119biorstwa?"},"content":{"rendered":"\n\n\n
\n

Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong><\/strong><\/h2>\n
    \n
  1. CZYM S\u0104 PENTESTY I CZYM ZAJMUJ\u0104 SI\u0118 PENTESTERZY?<\/strong><\/li>\n
  2. CO TO JEST TEST WHITE BOX I BLACK BOX?<\/strong><\/li>\n
  3. NA CZYM POLEGA TEST PODW\u00d3JNIE \u015aLEPY?<\/strong><\/li>\n
  4. W JAKI SPOS\u00d3B PRZEPROWADZA SI\u0118 TEST PENETRACYJNY?<\/strong><\/li>\n
  5. NA ILE TESTY PENETRACYJNE S\u0104 W STANIE ZABEZPIECZY\u0106 PRZEDSI\u0118BIORSTWO PRZED ZAGRO\u017bENIAMI?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Wyzwanie stanowi m.in. zarz\u0105dzanie has\u0142ami. W\u00a0prawie trzech czwartych przypadk\u00f3w (72%) testerzy Rapid7 znale\u017ali co najmniej jedno has\u0142o mo\u017cliwe do z\u0142amania podczas pr\u00f3by. 60% przypadk\u00f3w to has\u0142a \u0142atwe do odgadni\u0119cia, w\u00a0kt\u00f3rych pentester u\u017cywa\u0142 hase\u0142 domy\u015blnych lub specyficznych dla danej organizacji. <\/span><\/p>\n

    Rodzaje test\u00f3w penetracyjnych<\/h2>\n

    Istnieje kilka rodzaj\u00f3w test\u00f3w penetracyjnych<\/a>. W\u00a0zale\u017cno\u015bci od wyboru wariantu mo\u017cliwe jest ustalenie z\u00a0mniejsz\u0105 lub wi\u0119ksza dok\u0142adno\u015bci\u0105 , czy system jest podatny na atak oraz czy stosowane zabezpieczenia okazuj\u0105 si\u0119 wystarczaj\u0105ce. <\/span><\/p>\n

    Test bia\u0142ej skrzynki (white box) to rodzaj symulowanego ataku, w\u00a0kt\u00f3rym osoba testuj\u0105ca (haker) otrzymuje przed podj\u0119ciem dzia\u0142a\u0144 pewne informacje dotycz\u0105ce rozwi\u0105za\u0144 bezpiecze\u0144stwa wykorzystywanych przez firm\u0119 b\u0119d\u0105c\u0105 celem. W\u00a0przypadku testu czarnej skrzynki (black box) zwanego r\u00f3wnie\u017c testem \u201e\u015blepym\u201d hacker nie wie nic na temat systemu docelowego i\u00a0pr\u00f3buje u\u017cywa\u0107 jedynie w\u0142asnej wiedzy i\u00a0do\u015bwiadczenia w\u00a0\u0142amaniu zabezpiecze\u0144. Z\u00a0kolei test penetracyjny szarej skrzynki jest kombinacj\u0105 dw\u00f3ch wcze\u015bniej wspomnianych rodzaj\u00f3w \u2013 white box i\u00a0black box. W\u00a0tym wariancie pentester posiada jedynie cz\u0119\u015b\u0107 informacji o\u00a0obiekcie \u2013 przekazanych mu przez audytora.<\/span><\/p>\n

    Ze wzgl\u0119du na spos\u00f3b dost\u0119pu do systemu wyr\u00f3\u017cni\u0107 mo\u017cna zewn\u0119trzne i\u00a0wewn\u0119trzne testy penetracyjne. W\u00a0te\u015bcie zewn\u0119trznym dzia\u0142aj\u0105cy na zlecenie klienta haker pr\u00f3buje z\u00a0zewn\u0105trz, spoza firmy, prze\u0142ama\u0107 lini\u0119 obrony i\u00a0technologi\u0119 przedsi\u0119biorstwa poddawanego testom. Weryfikacji podlega\u0107 mog\u0105 zar\u00f3wno metody ochrony strony internetowej, jak i\u00a0zewn\u0119trznych serwer\u00f3w. W\u00a0takim przypadku atak\u00f3w dokonuje si\u0119 nie tyle z\u00a0wewn\u0105trz budynku biura, ile z\u00a0odleg\u0142ej lokalizacji. Test zewn\u0119trzny mo\u017ce by\u0107 przeprowadzony tak\u017ce z\u00a0samochodu zaparkowanego w\u00a0pobli\u017cu firmy, by sprawdzi\u0107 zabezpieczenia sieci bezprzewodowych klienta. W\u00a0przypadku test\u00f3w wewn\u0119trznych weryfikowane s\u0105 systemy wewn\u0105trzfirmowe. W\u00a0tym przypadku haker wykonuje test bezpo\u015brednio w\u00a0sieci firmy. Ten rodzaj weryfikacji system\u00f3w bezpiecze\u0144stwa przydatny jest do ustalenia, ile szk\u00f3d mo\u017ce spowodowa\u0107 niezadowolony pracownik, dzia\u0142aj\u0105cy w\u00a0organizacji w\u00a0obr\u0119bie system\u00f3w chronionych firewallem. <\/span><\/p>\n

    Warto tak\u017ce wspomnie\u0107 o\u00a0metodzie ukrytego testu penetracyjnego – znanego r\u00f3wnie\u017c testem \u201epodw\u00f3jnie \u015blepym\u201d. Jest to sytuacja, w\u00a0kt\u00f3rej prawie nikt w\u00a0firmie, w\u00a0kt\u00f3rej odbywa si\u0119 pr\u00f3ba odporno\u015bci na atak, nie wie o\u00a0tym, \u017ce aktualnie ma miejsce test penetracyjny. Organizatorzy test\u00f3w musz\u0105 ukry\u0107 informacj\u0119 o\u00a0testach bezpiecze\u0144stwa systemu przed specjalistami IT, a\u00a0szczeg\u00f3lnie przed zespo\u0142em odpowiedzialnym za bezpiecze\u0144stwo, kt\u00f3ry powinien podczas pr\u00f3by w\u0142a\u015bciwie, zgodnie z\u00a0procedurami, zareagowa\u0107 na atak. <\/span><\/p>\n

    Jak przeprowadzany jest test penetracyjny?<\/h2>\n

    Proces testowania penetracyjnego zazwyczaj rozpoczyna si\u0119 od identyfikacji oraz rozpoznania przez hackera systemu docelowego, a\u00a0nast\u0119pnie na podstawie dost\u0119pnych informacji podejmowane s\u0105 przez niego dzia\u0142ania maj\u0105ce na celu wykrycie podatno\u015bci. Podczas tej fazy haker testuj\u0105cy zabezpieczenia firmy po\u015bwi\u0119ca czas na zbieranie danych i\u00a0informacji, kt\u00f3re wykorzysta do zaplanowania symulowanego ataku. Nast\u0119pnie, koncentruje si\u0119 na zdobywaniu i\u00a0utrzymywaniu dost\u0119pu do systemu docelowego, co wymaga wykorzystania szerokiego zestawu narz\u0119dzi. <\/span><\/p>\n

    Narz\u0119dzia te obejmuj\u0105 oprogramowanie zaprojektowane do przeprowadzania atak\u00f3w typu brute-force (w\u0142amanie do systemu poprzez wielokrotne pr\u00f3by \u201ezgadywania\u201d has\u0142a) lub SQL injection (z\u00a0wykorzystaniem luk w\u00a0oprogramowaniu baz danych). Istnieje r\u00f3wnie\u017c sprz\u0119t specjalnie zaprojektowany do pentest\u00f3w, pozwalaj\u0105cy pod\u0142\u0105czy\u0107 si\u0119 hackerowi do komputera w\u00a0testowanej sieci i\u00a0zapewniaj\u0105cy do niej dost\u0119p. Testuj\u0105cy obron\u0119 hacker mo\u017ce wykorzysta\u0107 tak\u017ce techniki in\u017cynierii spo\u0142ecznej, aby znale\u017a\u0107 luki w\u00a0zabezpieczeniach wysy\u0142aj\u0105c wiadomo\u015bci e-mail do pracownik\u00f3w, maj\u0105ce na celu wy\u0142udzanie informacji i\u00a0uzyskanie dost\u0119pu do sieci, systemu lub dost\u0119pu fizycznego do budynku. Wszystkie sukcesy w\u00a0zdobywaniu informacji i\u00a0forsowaniu zabezpiecze\u0144 s\u0105 przez hackera skrz\u0119tnie dokumentowane. <\/span><\/p>\n

    Po zako\u0144czeniu testu haker stara si\u0119 ukry\u0107 \u015blady po swoich dzia\u0142aniach wewn\u0105trz testowanej organizacji. Oznacza to usuni\u0119cie oprogramowania, kt\u00f3re zainstalowane zosta\u0142o przez niego wewn\u0105trz penetrowanej sieci. Je\u017celi wszystko p\u00f3jdzie zgodnie z\u00a0jego planem, w\u00f3wczas zacieranie \u015blad\u00f3w pozwoli mu unikn\u0105\u0107 wykrycia i\u00a0opu\u015bci\u0107 system docelowy w\u00a0taki spos\u00f3b, jakby go tam nigdy nie by\u0142o. <\/span><\/p>\n

    Czy testy penetracyjne zapewni\u0105 bezpiecze\u0144stwo przedsi\u0119biorstwa?<\/h2>\n

    W\u00a0ko\u0144cowej fazie weryfikacji zabezpiecze\u0144 przygotowywany jest przez testuj\u0105cego raport dla zespo\u0142u bezpiecze\u0144stwa firmy, kt\u00f3rej systemy IT poddawane by\u0142y pr\u00f3bom. Informacje te powinny zosta\u0107 nast\u0119pnie wykorzystane do wdro\u017cenia aktualizacji zabezpiecze\u0144 i\u00a0ewentualnego usuni\u0119cia luk wykrytych podczas testu. Odpowiadaj\u0105c na pytanie zawarte w\u00a0tytule artyku\u0142u nale\u017cy podkre\u015bli\u0107, \u017ce testy penetracyjne s\u0142u\u017c\u0105 jedynie obna\u017ceniu aktualnych s\u0142abo\u015bci w\u00a0zabezpieczeniach firmowych. To, czy pentesty przyczyni\u0105 si\u0119 do poprawy bezpiecze\u0144stwa zale\u017cy tylko i\u00a0wy\u0142\u0105cznie od samej firmy i\u00a0decyzji podj\u0119tych na podstawie wniosk\u00f3w z\u00a0przebiegu procesu testowania.<\/span><\/p>\n

    Zobacz te\u017c: 7 najcz\u0119stszych zagro\u017ce\u0144 w ma\u0142ej firmie<\/a><\/p>\n

    Wi\u0119cej informacji na temat pentest\u00f3w znajdziesz tutaj<\/a>.<\/span><\/p>\n

    Podsumowanie<\/h2>\n

    Przypomnijmy najwa\u017cniejsze informacje dotycz\u0105ce test\u00f3w penetracyjnych:<\/span><\/p>\n