Penetration test.jpg

Penetrationstest eller sårbarhedsscanning? Hvad er forskellen?

Pentesting og sårbarhedsscanning forveksles ofte med den samme tjeneste. Problemet er, at virksomhedsejere ofte bruger den ene, når de virkelig har brug for den anden. Lad os dykke ned og forklare forskellene.

Folk forveksler ofte penetrationstest og sårbarhedsscanning, og det er ikke helt uden grund. Begge leder efter svagheder i din it-infrastruktur ved at udforske dine systemer på samme måde som en egentlig hacker ville. Der er dog en meget vigtig skelnen mellem de to – og hvornår de hver især er den bedre løsning.

Manuel eller automatiseret?

Penetrationstest er en manuel sikkerhedsvurdering, hvor cybersikkerhedsprofessionelle forsøger at finde en måde at bryde ind i dine systemer på. Det er en praktisk, dybdegående test til evaluering af sikkerhedskontroller på tværs af en række systemer, herunder webapplikations-, netværks- og skymiljøer. Denne form for test kan tage flere uger at gennemføre og på grund af dens kompleksitet og omkostninger udføres den almindeligvis en gang om året.

Omvendt automatiseres Sårbarhedsscanninger og udføres af værktøjer, som enten kan installeres direkte på dit netværk eller tilgås online. Sårbarhedsscannere kører tusindvis af sikkerhedskontroller på tværs af dine systemer og producerer en liste over sårbarheder med rådgivning om afhjælpning. Så det er muligt at køre løbende sikkerhedskontroller, selv uden at have en fuldtids cybersikkerhedsekspert på dit team.

Engangs eller regelmæssig?

Penetrationstest har længe været en væsentlig del af mange organisationers strategi for at beskytte sig mod cyberangreb og en glimrende måde at finde fejl på et bestemt tidspunkt. Men penetrationstest alene kan efterlade organisationer forsvarsløse mellem test.

Udførelse af årlige penetrationstest som et primært forsvar mod angribere har længe været en væsentlig del af mange organisationers strategi for at beskytte sig mod cyberangreb med god grund. Og selvom det bestemt er bedre end ikke at gøre noget, har det en ret betydelig ulempe – hvad sker der mellem testene?

Hvad sker der for eksempel, når der opdages en kritisk ny sårbarhed på Apache-webserveren, der driver en følsom kundeportal i løbet af det lange år mellem deres årlige pentesting? Eller er en sikkerhedsfejlkonfiguration foretaget af en juniorudvikler? Hvad hvis en netværksingeniør midlertidigt åbner en port på en firewall, der udsætter en database for internettet og glemmer at lukke den? Hvis job er det at bemærke disse problemer, som, hvis de ikke kontrolleres, kan resultere i et databrud eller kompromis?

Pentesting er ikke nok

Uden kontinuerlig overvågning af problemer som disse ville de ikke blive identificeret og rettet, før angribere fik chancen for at udnytte dem.

Virksomheder, der har brug for robust fysisk sikkerhed, kan ofte prale af at have 24/7 automatiserede løsninger til at afskrække angribere 365 dage om året. Så hvorfor behandler nogle cybersikkerhed anderledes? Især når der i gennemsnit opdages 20 nye sårbarheder hver eneste dag.

Så du kan se, hvorfor sjældent planlagt pentesting alene ikke er nok. Her er en simpel analogi: Det er som at kontrollere låsene på dine højsikkerhedslokaler en gang om året, men lade det være ubemandet eller ikke kontrollere, om det er sikkert, indtil din næste årlige gang over. Det lyder skørt, ikke? Hvem kontrollerer, at døren er låst?

Dækning døgnet rundt

Mens nogle virksomheder stadig bruger årlig pentesting som deres eneste forsvarslinje, begynder mange at se, hvor ofte nye trusler opstår, og værdien af kontinuerlig, automatiseret trusselsscanning.

Scanning regelmæssigt med en sårbarhedsscanner som Intruder supplerer manuel test ved at give organisationer løbende sikkerhedsdækning mellem manuelle penetrationstest. Intruders automatiserede scanner kører døgnet rundt og advarer brugerne om nye sårbarheder, så snart de vises.

Sårbarhedsscanning er allerede den første anløbshavn for virksomheder i alle størrelser, med ekspert manuel penetrationstest inkluderet i løsninger som Intruder’s Vanguard ansat som en kraftfuld backup.

Det er ikke nok bare at gøre det ene eller det andet. Heldigvis øges bevidstheden om behovet for en strategi, der giver beskyttelse året rundt.

Kilde: TheHackerNews

Foto: Pexels

Scroll til toppen