Pentest to jedno z najczęściej sprzedawanych, a najgorzej wykorzystywanych narzędzi bezpieczeństwa w MŚP. Zamawiany za późno, za wcześnie albo w złym zakresie zamienia się w drogi raport, który ląduje w szufladzie. A powinien być punktem, w którym wiesz, gdzie realnie stoisz.
W ostatnich dwóch latach kilka razy widzieliśmy ten sam scenariusz. Ubezpieczyciel albo duży kontrahent wpisuje w kwestionariusz „wymagany test penetracyjny raz w roku". Właściciel dzwoni do dostawcy IT, dostaje ofertę na 15–20 tys. zł, podpisuje. Trzy tygodnie później dostaje 40-stronicowy raport, w którym pierwsze pięć znalezisk to: otwarty port RDP na publicznym IP, brak MFA na koncie administratora, domyślne hasło do routera, nieaktualny Windows Server 2012, brak segmentacji sieci. Wnioski: firma jest podatna. Cena za tę wiedzę: 18 tys. zł netto.
Problem nie leży w pentescie. Problem leży w kolejności.
Co pentest naprawdę sprawdza
Test penetracyjny to symulowany atak wykonany przez człowieka (lub zespół), który próbuje naruszyć konkretny system w konkretnym zakresie. To nie to samo, co skan podatności — skaner sprawdza „czy jest CVE-2024-xxxxx". Pentester sprawdza „czy jestem w stanie z tego CVE wyjść na serwer bazodanowy i wyciągnąć dane".
Rozróżnij te dwa światy, bo w ofertach są mylone celowo.
- Skan podatności — automatyczne narzędzie (Nessus, OpenVAS, Qualys) przechodzi po adresach IP lub aplikacjach, dopasowuje sygnatury. Koszt: 2–5 tys. zł. Powtarzalne, tanie, ślepe na kontekst.
- Test penetracyjny — człowiek z narzędziami, który myśli jak atakujący. Znajduje łańcuchy błędów, które skaner przegapia. Koszt: 15–60 tys. zł w zależności od zakresu. Wartościowy, ale tylko wtedy, gdy jest co testować.
- Red team — symulacja realnego przeciwnika przez tygodnie, z próbami phishingu, wejściem fizycznym, przełamaniem MFA. Koszt: 80 tys. zł w górę. W MŚP prawie nigdy nie ma sensu.
Większość firm, która „chce pentest", potrzebuje najpierw skanu podatności i pół dnia rozmowy o architekturze. Dopiero potem test penetracyjny konkretnego zasobu.
Kiedy pentest ma sens
Test penetracyjny jest wart pieniędzy, jeśli spełnione są trzy warunki jednocześnie:
- Zrobiłeś podstawy. Masz MFA na wszystkich kontach z dostępem administracyjnym, EDR na końcówkach, backup 3-2-1 z testem odtworzenia, aktualizacje w rytmie, hasła zamknięte w managerze, segmentację sieci między biurem a serwerownią. Bez tego pentest tylko potwierdzi rzeczy, o których i tak wiesz.
- Wiesz, co testujesz. Konkretna aplikacja (portal B2B, sklep, portal klienta), konkretna infrastruktura (środowisko produkcyjne, konkretna sieć), konkretny scenariusz (przełamanie z Internetu, insider z konta pracownika). „Przetestujcie nam firmę" to nie zakres.
- Wiesz, co zrobisz z wynikiem. Masz osobę lub dostawcę, który weźmie raport, ustali priorytety i naprawi. Jeśli po raporcie nic się nie zmieni, to była droga zabawka, nie audyt.
Przykład, w którym pentest się opłacał. 30-osobowa firma logistyczna zbudowała portal B2B dla kontrahentów — logowanie, składanie zleceń, podgląd faktur. Przed uruchomieniem zamówili pentest aplikacyjny konkretnie na ten portal. Koszt: 22 tys. zł, dwa tygodnie pracy. Wynik: dwa poważne błędy autoryzacji (użytkownik A widział zamówienia użytkownika B po zmianie parametru w URL), jeden SQL injection w wyszukiwarce, kilka drobniejszych. Naprawa: 40 godzin dewelopera. Bez pentestu portal poszedłby na produkcję i zdaniem prawnika biznesu, po pierwszym wycieku danych klientów mieliby otwarty proces cywilny na sześciocyfrową kwotę plus zgłoszenie do UODO.
Kiedy to strata pieniędzy
Pentest to strata pieniędzy w kilku typowych sytuacjach:
- Nie masz podstaw. Jeśli MFA jest tylko na koncie prezesa, backup ostatni raz był testowany dwa lata temu, a hasła do drukarki są nadal domyślne — pentest udowodni Ci to za 20 tys. zł. Za te same pieniądze możesz kupić EDR na 30 stacji na dwa lata, zrobić podstawową segmentację i wdrożyć manager haseł. Zabezpieczysz się realnie zamiast dostać potwierdzenie, że nie jesteś zabezpieczony.
- Zakres jest „cała firma". Bez sprecyzowania, co ma być celem, pentester rozproszy się na powierzchni. Znajdzie łatwe rzeczy, przegapi trudne. Zapłacisz za szeroki, płytki raport zamiast wąskiego, głębokiego.
- Nie masz kto naprawić. Widzieliśmy 12-osobową firmę handlową, która dostała raport z 47 znaleziskami. Bez zespołu IT, bez planu, bez budżetu na naprawy. Rok później zamówili kolejny pentest — te same 47 znalezisk, dopisany rok. Prezes miał „coroczny audyt bezpieczeństwa" na liście wymaganej przez ubezpieczyciela. Nic się nie zmieniło poza saldem na koncie firmy.
- Robisz to „bo klient wymaga", a nikt tego nie weryfikuje. Wtedy potrzebujesz taniego skanu podatności i podpisu w kwestionariuszu, nie prawdziwego pentestu. To nie jest oszustwo — to zdrowy rozsądek. Jeśli klient chce świstek, kup świstek. Jeśli klient chce realny wynik, zamów realny test.
Anty-hype jest tu prosty: pentest nie jest niczyim pierwszym krokiem w bezpieczeństwie. Jest weryfikacją, że kilka pierwszych kroków zrobiłeś dobrze.
Jak wybrać wykonawcę
Rynek jest podzielony między dwie skrajności: garażowi „hakerzy", którzy sprzedają pentest za 4 tys. zł (i dostajesz raport z narzędzia Nikto), oraz duże firmy audytowe, które sprzedają metodykę OSSTMM za 60 tys. zł i przysyłają juniora na dwa dni. Środek — dobrzy specjaliści z jasnym zakresem — istnieje, ale trzeba go znaleźć.
- Poproś o próbkę raportu (nawet zanonimizowanego). Dobry raport zawiera reprodukcję krok po kroku, ocenę wpływu, konkretną rekomendację naprawy. Jeśli dostajesz „lista podatności" bez kontekstu — to skaner, nie pentest.
- Zapytaj, kto konkretnie będzie testował. Imię i nazwisko, certyfikaty (OSCP, CRT, GPEN), doświadczenie. Nie „nasz zespół".
- Ustal zakres na piśmie. Konkretne IP, konkretne domeny, konkretne aplikacje, konkretne godziny. Wszystko poza tym jest poza umową.
- Umów się na retest po naprawach. W cenie lub z niewielką dopłatą. Bez retestu nie wiesz, czy naprawa zamknęła podatność.
Co dalej po raporcie
Raport jest początkiem, nie końcem. Otwórz go w dniu otrzymania i podziel znaleziska na trzy kubełki: „naprawiamy w tym tygodniu" (krytyczne, gotowe do wykorzystania z Internetu), „naprawiamy w tym kwartale" (poważne, ale wymagają większych zmian), „ryzyko akceptujemy" (świadoma decyzja z uzasadnieniem, spisana). Ten podział trzymaj w jednym pliku, nie w głowie.
Po trzech miesiącach zrób retest. Po roku — pomyśl, czy w ogóle robić następny pełny pentest, czy wystarczy skan podatności plus test tego, co się zmieniło. Nie każdy rok wymaga tego samego zakresu.
Jeśli nie wiesz, czy Twoja firma jest gotowa na pentest, czy raczej gotowa na uporządkowanie podstaw — pół godziny rozmowy powinno wystarczyć, żeby to rozsądzić. Bez oferty na 20 tys. zł na wejściu.
Pentest nie jest pierwszym krokiem w bezpieczeństwie. Jest sprawdzeniem, czy kilka pierwszych kroków zrobiłeś dobrze.