Wiedza / Testy
Czym różni się test penetracyjny od skanu podatności?
Skan podatności to zautomatyzowana lista „co może być nie tak". Test penetracyjny to człowiek, który próbuje to faktycznie wykorzystać i sprawdza, jak daleko dojdzie. Oba są potrzebne, ale odpowiadają na inne pytania — i mylenie ich bywa kosztowne przy audycie.
Najkrótsze porównanie
| Skan podatności | Test penetracyjny | |
|---|---|---|
| Kto wykonuje | Narzędzie automatyczne | Specjalista, ręcznie + narzędzia |
| Pytanie | Jakie znane podatności występują? | Co realnie da się wykorzystać i z jakim skutkiem? |
| Logika biznesowa | Nie wykrywa | Tak — nadużycia procesów, uprawnień, płatności |
| Fałszywe alarmy | Sporo — trzeba weryfikować | Zweryfikowane, z dowodem (proof of concept) |
| Wynik | Lista z oceną CVSS | Raport: ścieżka ataku, ryzyko, plan naprawczy |
| Częstotliwość | Często, nawet ciągle | Okresowo i po większych zmianach |
Kiedy który
Skan to higiena ciągła: wychwytuje znane, świeżo ujawnione podatności między testami — tanio i szybko. Pentest to weryfikacja realnego ryzyka: łączy podatności w ścieżkę ataku, testuje logikę biznesową i pokazuje, co napastnik faktycznie osiągnie. Skan powie „masz nieaktualną bibliotekę". Pentest powie „przez tę bibliotekę przejąłem konto administratora i dane klientów".
Jak to robimy
Testy prowadzimy metodyką OWASP ASVS i Top 10 (aplikacje) oraz PTES (proces), z raportem zawierającym ścieżkę ataku, ocenę ryzyka i konkretny plan naprawczy. Retest po naprawie jest w cenie. Zakres i widełki (aplikacja webowa od 15 000 PLN, sieć zewnętrzna od 12 000 PLN, wewnętrzna od 18 000 PLN, red teaming od 50 000 PLN) opisujemy na stronie testów penetracyjnych.
Nie wiesz, czego potrzebujesz — skanu czy pełnego pentestu? Napisz, co chronisz, a zaproponujemy zakres dopasowany do ryzyka, nie do cennika.