2026-06-30 · PRZEWODNIK · Zespół Offensive Technology

Weryfikacja, skan czy pełny pentest?

Krótka odpowiedź: Skan podatności to tania, automatyczna lista znanych problemów. Weryfikacja powierzchni ataku to ukierunkowane, przeanalizowane przez człowieka pierwsze spojrzenie na eksponowane zasoby. Pełny test penetracyjny to wielodniowa, ręczna i dogłębna eksploatacja. Uruchamiaj skany dla regularnej ochrony, weryfikację dla szybkiego i szczerego pierwszego wejrzenia, a pełny pentest, gdy potrzebujesz dokładności na poziomie audytowym.

Słowo „pentest” bywa używane do opisania trzech bardzo różnych usług, a ceny wahają się od zera do kwot pięciocyfrowych. Jeśli kupujesz takie usługi, ta rozbieżność w niektórych zakątkach rynku bywa celowo wprowadzająca w błąd. Oto uczciwe wyjaśnienie, dzięki któremu dowiesz się, co naprawdę kupujesz.

Skan podatności

Skaner to zautomatyzowane narzędzie, które sprawdza systemy pod kątem bazy znanych problemów. Jest szybki, tani i warto go uruchamiać regularnie. Jest też szumny: generuje długie listy, nie rozumie logiki biznesowej i nie potrafi połączyć dwóch średnich podatności w jedną poważną. Skan mówi Ci, co jest prawdopodobnie nie tak. Nie mówi jednak, co naprawdę zrobiłby atakujący.

Pod maską skaner porównuje to, co widzi, otwarte porty, banery usług, wersje oprogramowania, nagłówki odpowiedzi, z bazą znanych podatności i zgłasza każde trafienie. Dzięki temu jest powtarzalny, szybki i skuteczny w wykrywaniu prozaicznych, piętrzących się problemów: braku poprawek, wygasłych certyfikatów, domyślnych konfiguracji czy panelu administracyjnego otwartego na świat. Ma jednak wbudowane ograniczenie. Zgłasza to, co pasuje do sygnatury, a nie to, co faktycznie da się wykorzystać w Twoim środowisku, więc podatność oznaczona jako krytyczna może być niedostępna z powodu innych zabezpieczeń, podczas gdy ta oznaczona jako niska stanowi idealny punkt zaczepienia dla atakującego. Dopóki ktoś z odpowiednią wiedzą nie dokona priorytetyzacji tej listy, to w większości po prostu szum.

Weryfikacja powierzchni ataku

Weryfikacja znajduje się pośrodku. Przegląda Twoją zewnętrzną powierzchnię ataku w taki sam sposób, w jaki atakujący rozpoczyna działania, łącząc automatyczny zakres z oceną doświadczonego specjalisty, który analizuje i objaśnia wyniki. Jest głębsza niż skan, ponieważ o tym, co jest ważne, decyduje ktoś, kto naprawdę włamywał się do systemów. Jest też lżejsza niż pełny projekt, bo ma ograniczony czas i skupia się na konkretach. To właśnie ten poziom reprezentuje nasza weryfikacja za $100: szybkie, uczciwe pierwsze spojrzenie.

Weryfikacja rozpoczyna się od potwierdzenia zakresu oraz faktu, że jesteś właścicielem lub zarządcą danych zasobów, przy czym pisemne upoważnienie musi być podpisane przed rozpoczęciem testów. Następnie doświadczony specjalista bada zewnętrzną powierzchnię ataku tak, jak zaczyna się prawdziwy atak: enumeruje dostępne zasoby, wyłapuje zapomnianą poddomenę lub usługę, która nigdy nie powinna być publiczna, oraz odseparowuje istotne znaleziska od nieistotnych. Otrzymujesz uszeregowaną listę oraz krótki podsumowujący komentarz napisany przez człowieka, a nie tysiącliniowy raport z narzędzia. Weryfikacja nie obejmuje jednak wielodniowego łączenia exploitów ani pivoting wewnątrz Twojej sieci. To pierwsze spojrzenie, uczciwie do tego podchodzące, mające na celu szybkie poinformowanie Cię, czy masz realny problem i jakie kroki podjąć dalej.

Pełny test penetracyjny

Pełny projekt to osoba lub zespół spędzający dni na próbach włamania w taki sam sposób, w jaki zrobiłby to zdeterminowany atakujący. Ręczne testy, dedykowana eksploatacja, nadużycia logiki biznesowej, ruch poprzeczny (lateral movement), pełen zakres. Daje to zaprezentowanie realnego wpływu oraz raport, który audytor lub ubezpieczyciel zazwyczaj zaakceptuje. Kosztuje to konkretne pieniądze, ponieważ to realny czas pracy ludzi, którzy są w tym naprawdę dobrzy.

Oznacza to pracę, której skaner nie wykona: testowanie logiki biznesowej (czy jeden użytkownik może uzyskać dostęp do danych innego tenanta, czy można zmanipulować proces płatności, czy kontrola dostępu padnie po zmianie jednego parametru), łączenie kilku podatności o niskim priorytecie w jedną ścieżkę o wysokiej krytyczności oraz, jeśli zakres na to pozwala, ruch poprzeczny pokazujący, jak daleko sięgają zdobyte uprawnienia. Wynikiem nie jest lista możliwości, lecz zademonstrowany wpływ wraz z krokami do odtworzenia i załączonymi dowodami, czyli wersja, którą zazwyczaj zaakceptuje audytor, ubezpieczyciel lub dział zakupów korporacyjnych. Dlatego prawdziwy pentest ma określony zakres, harmonogram i cenę wynikającą z czasu pracy ludzi. Jeśli wycena jest niska i natychmiastowa, niemal na pewno kupujesz skan z ładniejszą okładką.

To samo znalezisko, trzy odpowiedzi

Weźmy jedno zwykłe znalezisko i zobaczmy, jak traktuje je każdy z poziomów. Załóżmy, że stara poddomena, staging.example.com, wciąż wskazuje na aktywny serwer z nieaktualną aplikacją webową.

• A skan zgłasza to: nieaktualne oprogramowanie, średnia krytyczność, jedna linijka na liście dwóchset innych. To, czy ktoś w ogóle ją przeczyta, to kwestia przypadku.
• A weryfikacja wyłapuje ten sam host, ale przygląda się mu człowiek. Poddomena została zapomniana, jej strona logowania ujawnia zrzuty stosu zdradzające użyty framework, a używana wersja posiada publicznie dostępny exploit. Przesuwa to ten problem z kategorii „średni, ukryty” do „napraw to w pierwszej kolejności i oto dlaczego”, z wyjaśnieniem w podsumowaniu.
• A pełny pentest idzie krok dalej i to udowadnia. Pentester potwierdza działanie exploita, uzyskuje dostęp i sprawdza, czy z tej maszyny można dotrzeć do innych cennych zasobów. Teraz to już nie potencjalne ryzyko, ale zademonstrowana ścieżka ataku z załączonymi dowodami.

Ten sam host, trzy bardzo różne odpowiedzi. Skan poinformował Cię, że istnieje. Weryfikacja wykazała, że ma znaczenie. Pentest pokazał, ile Cię kosztuje, jeśli to zignorujesz.

Którego z nich potrzebujesz?

To warstwy, a nie konkurencja, i dojrzałe programy bezpieczeństwa korzystają ze wszystkich trzech. Weryfikacja przed pełnym projektem często doprecyzowuje zakres, dzięki czemu kosztowne dni pracy ludzi trafiają tam, gdzie mają największe znaczenie, a monitorowanie własnej zewnętrznej powierzchni ataku między testami pozwala wyłapać zmiany, które pominie coroczny test. Więcej o częstotliwości w artykule jak często należy wykonywać testy penetracyjne?

• Chcesz po prostu wiedzieć, czy cokolwiek oczywistego jest wystawione na atak? Zacznij od weryfikacji.
• Musisz spełnić wymagania audytora, ubezpieczyciela lub klienta korporacyjnego? Prawie na pewno potrzebujesz pełnego pentestu, i najpierw musisz potwierdzić ich dokładne wymagania. Jeśli powodem jest konkretny standard, nasze uwagi dotyczące tego, czy SOC 2 wymaga testu penetracyjnego pokazują, co audytor tak naprawdę akceptuje.
• Chcesz mieć ciągłą ochronę między projektami? Uruchamiaj skany zgodnie z harmonogramem i nie myl ich z pentestem.

Jeśli nie masz pewności, powiedz nam, skąd wynika Twoje pytanie. Wskażemy najtańsze rozwiązanie, które naprawdę rozwiąże Twój problem, nawet jeśli nie jest to coś, co wolelibyśmy sprzedać.

Weryfikacja, skan czy pentest? Szybkie odpowiedzi

Czym różni się skan podatności od testu penetracyjnego?

Skan podatności to automatyczna weryfikacja w oparciu o bazę znanych problemów: szybka, tania, powtarzalna i szumna. Test penetracyjny to ręczna praca wykwalifikowanego specjalisty, który próbuje wykorzystać i połączyć podatności w sposób, w jaki zrobiłby to prawdziwy atakujący, oraz udowadnia ich wpływ. Skan mówi Ci, co może być nie tak; pentest pokazuje, co ktoś naprawdę może zrobić.

Czy weryfikacja powierzchni ataku to to samo co test penetracyjny?

Nie. Weryfikacja to ukierunkowane, ograniczone czasowo pierwsze spojrzenie na zewnętrzną powierzchnię ataku, przeanalizowane i uszeregowane przez doświadczonego specjalistę, dostarczane z krótkim omówieniem. Pełny test penetracyjny to wielodniowa, ręczna i dogłębna eksploatacja, która daje zademonstrowany wpływ oraz raport na poziomie audytowym. Weryfikacja z założenia jest głębsza niż skan i lżejsza niż pełny projekt.

Czy potrzebuję pełnego testu penetracyjnego ze względów zgodności (compliance)?

Zazwyczaj tak, przy czym w pierwszej kolejności należy potwierdzić dokładne brzmienie wymagań. Standardy takie jak PCI DSS wprost wymagają testów penetracyjnych, podczas gdy SOC 2 i ISO 27001 opierają się na analizie ryzyka i oczekują ich w praktyce. Skan ani weryfikacja nie zaspokoją oczekiwań audytora lub ubezpieczyciela, który wyraźnie wymagał testu penetracyjnego.

Czy mogę zacząć od skanu i weryfikacji zamiast pełnego pentestu?

Tak, i często jest to mądra kolejność: skany do taniej, ciągłej ochrony, weryfikacja do szybkiej i uczciwej oceny, która może doprecyzować zakres późniejszego projektu, oraz pełny pentest, gdy potrzebujesz głębi lub ktoś będzie go weryfikował. Pamiętaj tylko, aby nie przedstawiać skanu ani weryfikacji jako testu penetracyjnego nikomu, kto go wymaga.

Powiązane artykuły

• Ile kosztuje test penetracyjny?
• Co atakujący mogą dowiedzieć się o Twojej firmie?
• Jak często należy wykonywać testy penetracyjne?