Много компании ги бъркат. „Имаме пентест“ – казват. А всъщност са направили само автоматично сканиране. Има голяма разлика. Разлика в подхода. В резултатите. В целта. И в цената.

Какво е vulnerability scan?

🔹 Автоматизиран процес, който сканира системите за известни уязвимости

🔹 Използва база данни с CVE (Common Vulnerabilities and Exposures)

🔹 Дава списък с открити проблеми по приоритет

Примери:

  • Остарял WordPress plugin с известна уязвимост
  • Отворен SSH порт с версия под 7.4
  • SSL сертификат, който използва слаб алгоритъм

Инструменти:

  • Nessus
  • OpenVAS
  • Qualys
  • Rapid7 Nexpose

Цел:

  • Да намери каквото е публично известно
  • Да даде репорт с препоръки за пачване

Какво е penetration test?

🔹 Контролиран опит за „пробив“ във вашата среда от гледната точка на реален хакер

🔹 Използва комбинация от автоматични и ръчни методи

🔹 Сценарийно базирано: тества се не само наличието на уязвимост, но и нейното експлоатиране

Примери:

  • Превземане на акаунт чрез SQL инжекция
  • Lateral movement между хостове
  • Придобиване на администраторски права от потребителски достъп

Инструменти:

  • Burp Suite
  • Metasploit
  • Cobalt Strike (в ръцете на red team)
  • RCE експлойти от Exploit-DB

Цел:

  • Да покаже реалния риск, не само теоретичната уязвимост
  • Да се симулира какво би могъл да направи нападателят

Кога ти трябва сканиране?

✅ Редовно, веднъж месечно или на всеки 3 месеца

✅ При нови промени в инфраструктурата (нови сървъри, услуги)

✅ При одит по ISO 27001 или NIS2

✅ За да пазиш базова хигиена

Кога ти трябва пентест?

✅ При сериозна промяна (миграция в облак, ново приложение)
✅ При подготовка за сертифициране (SOC2, PCI-DSS)
✅ Ако имаш клиенти в чувствителни сектори (финанси, здравеопазване)
✅ След инцидент – за да провериш откъде са влезли

Какво НЕ е penetration test

❌ Сканиране с Nessus и автоматичен PDF репорт
❌ Бърза проверка за отворени портове
❌ Инсталиране на Kali Linux и пускане на Metasploit без цел

Добри практики

  • Комбинирайте и двете: сканирай често, пентествай стратегически
  • Изисквай manual exploitation от доставчика
  • Не плащай само за инструмент – плащаш за експертиза
  • Подписвай NDA и определи граници: кои системи, кои часове
  • Задължително провери какво остава след теста: shell, backdoor, тестова потребителска сесия

Какво да включва добрият пентест репорт?

  • Ясно описание на целите и обхвата
  • Кои уязвимости бяха експлоатирани и как
  • Какво беше постигнато (достъп, данни, привилегии)
  • Скрийншоти, доказателства
  • Препоръки с приоритети и срокове

Ако искате да видите дали има уязвимости – направете сканиране. Ако искате да знаете какво може да стане, ако ви атакуват – направете пентест.

Сканирането е като медицински преглед. А пентестът – като операция на открито. И двете са важни. Просто са за различни случаи.

И най-важното: пентест се прави само след като сте работили изключително усърдно по изграждането на своите защити с някоя компания за киберсигурност. Няма абсолютно никакъв смисъл да проверявате защитите на нещо, което дори не е защитавано.

🚀 Не се подвеждайте по термини. Вземи това, което реално ви трябва. И се уверете, че знаете какво точно получаваш.