Offenzív biztonság · Kézi tesztelés
Penetrációs teszt és adversary simulation.
Pentest három formában: a kívülről elérhető felület, a saját fejlesztésű web- és API-alkalmazások, és a belső hálózat egy egyeztetett kiindulópontról, megnevezett célig. Kézi tesztelés, írásban rögzített szabályok, és olyan jelentés, amiből a javítás azonnal elindulhat.
NDA alapból. A szkóp, az időablak és a forrás-IP-k írásban rögzítve, mielőtt a teszt elindul.
Utolsó frissítés: 2026. november 3.
Megbízási formák
Három megbízás, egyben vagy külön-külön.
Mindegyik önállóan is megrendelhető, külön ajánlattal és saját előfeltételekkel.
01
Perem, edge szolgáltatások, VPN-átjárók, ügyfélportálok
Külső támadási felület
Feltérképezzük, mi látszik belőletek kívülről: publikált szolgáltatások, elfelejtett teszt-aldomainek, kifelé nyitott menedzsmentfelületek, elavult VPN-átjárók, ügyfélportálok. Utána megnézzük, mihez ér hozzá először egy támadó, és onnan meddig jut. A kimenet egy hoszt- és szolgáltatáslista, megjelölve, melyiknek nem kellene kívülről elérhetőnek lennie.
Ehhez kell tőletek: Tartomány- és IP-lista, és írásos nyilatkozat arról, hogy az eszközök a tiétek. Bérelt infrastruktúránál a szolgáltató engedélye is kell.
02
Saját fejlesztésű alkalmazások
Webalkalmazás- és API-penetrációs teszt
Hitelesítés, jogosultságkezelés, injekció, üzleti logika. Az automatizált szkennelés az első lépés; a munka érdemi része a kézi tesztelés ott, ahol a szkenner nem lát: egy azonosító az URL-ben, amit egy másik ügyfél fiókja is elfogad, egy szerepkör, amit a felület elrejt, de az API kiszolgál, egy tranzakció, ami párhuzamos kérésre kétszer fut le.
Ehhez kell tőletek: Teszt-fiók legalább két szerepkörhöz, staging környezet éles személyes adat nélkül, és egy kapcsolattartó a fejlesztői oldalon.
03
Egyeztetett kiindulópontról, megnevezett célig
Assumed breach gyakorlat
Abból indulunk, hogy egy munkaállomás vagy egy fiók már a támadóé, és azt mérjük, mi történik utána. A kill chain mentén haladunk egy előre megnevezett célig: egy fájl egy megosztáson, tartományi adminisztrátori jogosultság, egy lekérdezés egy kijelölt adatbázison. Minden lépést időbélyeggel és ATT&CK-technikára hivatkozva naplózunk, és közben mérjük a védelmi oldalt is: mire jött riasztás, mennyi idő alatt, és mi történt vele.
Ehhez kell tőletek: Egy megnevezett cél, egy kiindulási hozzáférés (fiók vagy gép), és döntés arról, hogy a SOC tud-e a gyakorlatról.
Szabályok
Amit írásban rögzítünk, mielőtt bármi elindul.
- A szkópot hosztonként, tartományonként és alkalmazásonként rögzítjük. Ami nincs a listán, ahhoz nem nyúlunk; ha menet közben kitett rendszert találunk, jelezzük.
- Az időablak napszakra pontos, és igazodik az üzletmenethez, például a havi záráshoz.
- A tesztek a rendelkezésre állást nem veszélyeztetik: DoS- és terheléses próbát nem futtatunk, és szolgáltatáskiesést okozó exploitot sem.
- Éles adatot módosító vagy törlő művelet csak előzetes írásos jóváhagyással történik. OT-hálózaton aktív eszköz kizárólag egyeztetés után fut.
- Mindkét oldalon van egy megnevezett kapcsolattartó telefonszámmal. Ha egy rendszer teszt közben szokatlanul viselkedik, azonnal leállunk és telefonon egyeztetünk.
- A forrás-IP-ket előre megadjuk, így a SOC elkülöníti a tesztforgalmat. Ha a cél a detekció mérése, a SOC nem kap előzetes értesítést, csak a két kapcsolattartó.
Amit a végén kaptok
Egy jelentés, amiből dolgozni lehet.
- 01Vezetői összefoglalóEgy oldal a vezetőségnek: a három legsúlyosabb kockázat, a következményük, és a javítás becsült ráfordítása.
- 02Megállapítások reprodukciós lépésekkelKérés, válasz, képernyőkép, és a pontos lépéssor, amivel a fejlesztő maga is reprodukálja.
- 03Kockázati rangsorCVSS-pontszám és a valós üzleti hatás együtt: egy 6.5-ös a fizetési útvonalon előrébb kerül, mint egy 9.8-as egy elszigetelt teszt-hoszton.
- 04Javítási lépés minden megállapításhozPontosan megnevezve: melyik konfigurációs sor, melyik kódrészlet, melyik tűzfalszabály.
- 05Detekciós fejezetMit láttak a védők, mire jött riasztás, és mennyi idő telt el az első lépés és az első reakció között.
- 06UtótesztAz utóteszt terjedelme és határideje az ajánlat része.
A másik fele
A javítást is mi építjük meg.
A teszt folytatódhat a javítással ugyanabban a megbízásban: a szegmentálást, a hozzáférés-kezelést, a naplózást és a hardeninget az a mérnök építi meg, aki a környezetet a teszt során végigjárta.
Az alert triage és a bizonyítékgyűjtés automatizálásáról a security automatizálás oldal szól, a NIS2 technikai követelményeiről a NIS2-implementáció, gyártósor mellett pedig az OT/IT biztonság a kiindulás.
Gyakori kérdések
Mennyibe kerül egy teszt?
A célpontlistához és a megbízás típusához szabjuk: az árazáshoz a tartomány- és IP-lista kell, alkalmazásnál a szerepkörök száma és a staging környezet. A bemutatkozó hívás után fix terjedelmű, írásos ajánlatot kaptok.
Automatizált szkennelés vagy kézi tesztelés?
Mindkettő. Az automatizált szkennelés feltérképezi a verziókat, a nyitott portokat és az ismert CVE-ket; a munka súlypontja a kézi tesztelés a jogosultsági és üzleti logikai rétegen, és a téves találatok kiszűrése.
Mi a különbség a sérülékenységvizsgálat és a penetrációs teszt között?
A sérülékenységvizsgálat eszközökkel listázza az ismert hibákat: elavult verziókat, nyitott portokat, publikált CVE-ket. Gyors és széles, de nem mutatja meg, mi használható ki valójában. A penetrációs teszt ebből a listából indul, és kézzel bizonyítja, melyik hiba kihasználható, és meddig jut vele egy támadó. A jelentésben mindkettő benne van, a téves találatok nélkül.
Helyszínen vagy távolról dolgoztok?
Budapestről dolgozunk. A külső felület és az alkalmazásteszt távolról fut, a belső hálózat bejárása helyszínen, ahol ez számít.
Veszélyezteti a teszt az éles működést?
A tesztet úgy tervezzük, hogy ne: DoS- és terheléses próba nincs, adatot módosító művelet csak írásos jóváhagyással fut, OT-hálózaton aktív eszköz csak egyeztetés után. Ha egy rendszer szokatlanul viselkedik, azonnal leállunk és felhívjuk a kapcsolattartótokat.
Ki fér hozzá a jelentéshez?
Kizárólag ti. NDA minden megbízásnál alap, a jelentést titkosítva adjuk át, a nyers tesztadat megőrzési idejét a szerződés rögzíti, és a lezárás után töröljük.
Alvállalkozóként is dolgoztok tanácsadó cégeknek?
Igen. Az ügyfélkapcsolat a tiétek marad, a jelentés a ti sablonotokban készül, és a végügyféllel csak a ti megbízásotokból kommunikálunk.
Mikor indulhat, és meddig tart?
A külső felület felmérése jellemzően néhány nap, egy alkalmazásteszt egy-két hét, egy assumed breach gyakorlat a szkóptól függ. A kezdés dátumát már az első híváson egyeztetjük.
Kezdjük el
Hozzátok a célpontlistát.
30 perc, díjmentesen. Elég egy tartománylista vagy egy alkalmazásnév: a hívás végére megvan a megbízási forma, az időtartam és az előkészítendő lista.