Testy penetracyjne
Test penetracyjny to kontrolowany atak na Twoją aplikację, API albo infrastrukturę. Robimy go ręcznie, tak jak zrobiłby to prawdziwy napastnik, ale za Twoją zgodą i w ustalonym zakresie. Dostajesz listę realnych podatności, dowody i plan naprawy.
Certyfikaty zespołu: OSCP, eWPTX, eCPPT, CRTO, CRTE, CRTP, AZRTE. Darmowy retest. Raport po polsku lub angielsku. Stała cena znana przed startem.
Czym są testy penetracyjne
Testy penetracyjne, czyli pentesty, sprawdzają, czy ktoś z zewnątrz albo z wewnątrz firmy obejdzie Twoje zabezpieczenia. Skaner podatności znajdzie znane błędy w wersjach oprogramowania. Pentester idzie dalej. Łączy drobne błędy w realny atak, testuje logikę biznesową i uprawnienia, sprawdza, czy da się dostać do cudzych danych.
Wynik to nie lista alertów. To odpowiedź na pytanie, co konkretnie może zrobić atakujący i jak to naprawić.
Rodzaje testów penetracyjnych
Aplikacje webowe
Logowanie, sesje, uprawnienia ról, płatności i logika biznesowa. Testujemy według OWASP WSTG i ASVS.
API
REST i GraphQL, autoryzacja na poziomie obiektów (IDOR, BOLA), tokeny, limity zapytań i walidacja danych.
Aplikacje mobilne
Android i iOS według OWASP MASVS: przechowywanie danych, komunikacja z serwerem, zabezpieczenia przed analizą.
Infrastruktura zewnętrzna
Wszystko, co widać z internetu: serwery, VPN, poczta, panele administracyjne.
Sieć wewnętrzna i Active Directory
Co zrobi osoba z dostępem do sieci firmowej albo z przejętym kontem pracownika.
Chmura
Konfiguracja Azure, GCP i AWS, uprawnienia IAM, publiczne zasoby i sekrety.
Socjotechnika
Kontrolowane kampanie phishingowe, które sprawdzają czujność zespołu.
Black-box, grey-box czy white-box
Black-box
Testujemy bez wiedzy o systemie, jak anonimowy napastnik. Dobry na start, ale część funkcji zostaje niesprawdzona.
Grey-box
Dostajemy konta testowe dla wszystkich ról. Najczęstszy wybór, bo w tym samym czasie pokrywa najwięcej funkcji.
White-box
Do tego dostęp do kodu lub dokumentacji. Najdokładniejszy wariant, łączy pentest z audytem kodu.
Jak wygląda test penetracyjny krok po kroku
1. Konsultacja i zakres
Ustalamy, co testujemy, w jakim środowisku i kiedy. Cenę znasz przed startem.
2. Umowa i zasady testu
Podpisujemy umowę i ustalamy reguły: godziny, adresy IP, osoby do kontaktu.
3. Rozpoznanie
Mapujemy powierzchnię ataku: domeny, endpointy, role i integracje.
4. Testy manualne
Sprawdzamy każdy wektor ręcznie. O krytycznej luce mówimy od razu, nie na koniec testu.
5. Raport
Do 2 dni po testach dostajesz raport z opisem każdej podatności, oceną CVSS 4.0, dowodem i zaleceniami.
6. Retest
Po wdrożeniu poprawek sprawdzamy je ponownie w cenie i wystawiamy list poświadczający.
Metodyki i standardy
Pracujemy według OWASP WSTG, ASVS i MASVS, PTES, OSSTMM oraz NIST SP 800-115. Każde znalezisko oceniamy w skali CVSS 4.0, więc od razu widać, co naprawić najpierw.
Ile kosztują testy penetracyjne
Cena zależy od liczby ról, funkcji i środowisk. Najczęściej wybierane pakiety:
Mini: 6 750 zł netto
5 dni testów manualnych, wybrane role, raport i darmowy retest.
Standard: 12 500 zł netto
10 dni testów, wszystkie role i scenariusze eskalacji uprawnień, raport i darmowy retest.
Projekt indywidualny: od 1 500 zł netto za dzień
Większe systemy, kilka aplikacji albo infrastruktura.
Na cenę wpływają:
Liczba ról użytkowników.
Liczba endpointów API i integracji.
Aplikacja mobilna w zakresie.
Test z dostępem do kodu (white-box).
Co dostajesz po teście
Raport po polsku lub angielsku, czytelny dla programistów, zarządu i audytora.
Opis każdej podatności z dowodem i krokami do odtworzenia.
Ocenę ryzyka w CVSS 4.0 i kolejność napraw.
Darmowy retest i list poświadczający wykonanie testu.
Omówienie wyników z pentesterem, który robił test.
Kto wykonuje testy
Testy robią pentesterzy z certyfikatami OSCP, eWPTX, eCPPT, CRTO, CRTE, CRTP i AZRTE. Rozmawiasz bezpośrednio z osobą, która testuje Twój system. Bez pośredników i bez kolejki.
Testy penetracyjne dla firm SaaS
Duży klient przed podpisaniem umowy prawie zawsze prosi o raport z testu penetracyjnego. Robimy test tak, żeby raport przeszedł security review i kwestionariusz bezpieczeństwa klienta. Zaczynamy od tego, co klient sprawdzi najpierw: logowanie i SSO, izolacja danych między klientami, uprawnienia ról, API i płatności.
Testy penetracyjne a NIS2, DORA, ISO 27001 i SOC 2
Regularne testy bezpieczeństwa są wymagane albo zalecane przez NIS2 i ustawę o KSC, DORA, ISO 27001, SOC 2 i PCI DSS. Raport przygotowujemy tak, żeby przyjął go audytor i dział bezpieczeństwa Twojego klienta.
Jak często robić testy penetracyjne
Co najmniej raz w roku i po każdej dużej zmianie: nowej wersji aplikacji, migracji do chmury, zmianie logowania albo płatności. Firmy SaaS często testują przed wdrożeniem u dużego klienta, bo ten i tak poprosi o raport.
Najczęstsze pytania
Ile trwa test penetracyjny?
Najczęściej 5 albo 10 dni roboczych. Raport dostajesz do 2 dni po zakończeniu testów.
Czy test może zaszkodzić systemowi?
Testujemy w uzgodnionych godzinach i nie robimy ataków DoS. Najbezpieczniej testować środowisko testowe, które jest kopią produkcji.
Czym różni się pentest od skanu podatności?
Skan to automat, który szuka znanych błędów. Pentest robi człowiek, który łączy błędy w realny atak i sprawdza logikę aplikacji.
Co muszę przygotować?
Środowisko testowe, konta dla wszystkich ról i osobę kontaktową po Twojej stronie.
Czy retest jest płatny?
Nie. Po wdrożeniu poprawek sprawdzamy je ponownie w cenie testu.
Sprawdź, czy da się włamać do Twojej aplikacji
Opisz krótko system, a w kilka godzin dostaniesz wycenę i propozycję terminu.
Umów bezpłatną konsultację