Mi az a penetrációs teszt, és mikor van rá szüksége?

A támadók nem cégméret szerint válogatnak, hanem a legkisebb ellenállás mentén haladnak. Ezért kerül a legtöbbe az a feltételezés, hogy „minket úgysem támad meg senki”: a számla később érkezik, és kamatostul. A penetrációs teszt megfordítja ezt a sorrendet: nem kell megvárni az incidenst. Megbízásból, előre rögzített feltételek mellett törnek be a rendszerbe – és leírják, hol jutottak át. Alább összeszedtük, mi az a penetrációs teszt, miben más, mint a sérülékenységvizsgálat, hogyan zajlik, mitől függ az ára, milyen fajtái vannak, és mit ír elő a magyar szabályozás. Laikusnak és biztonsági vezetőnek egyaránt írtuk.

Mi az a penetrációs teszt?

A penetrációs teszt – a jogszabály szóhasználatában behatolásvizsgálat, a szakmai szlengben penteszt – kontrollált támadás egy informatikai rendszer ellen, amelyet biztonsági szakemberek végeznek a rendszer tulajdonosának írásos megbízásából. A cél nem a hibák felsorolása, hanem a kihasználásuk: csak a kihasználás mutatja meg, mit kezdene velük egy igazi támadó. A valódi betöréstől a rögzített hatókör, az időablak, az írásos hozzájárulás és az különbözteti meg, hogy semmi nem törik el.

A magyar jog is ismeri a fogalmat, és érdemes a saját szavaival idézni. A Kiberbiztonsági tv. 4. § 11. pontja a behatolásvizsgálatot olyan sérülékenységvizsgálati módszerként határozza meg, amely a rendszer „gyenge pontjainak feltárására és kihasználhatóságának ellenőrzésére” irányul, rosszindulatú támadások szimulációjával. Ez a definíció pontosan azt írja le, amiért a teszt egyáltalán ér valamit: nem a hibalista a termék, hanem a bizonyíték.

Jó hasonlat a könyvvizsgálat. A könyvvizsgáló nem vezeti a cég könyvelését, hanem ellenőrzi, hogy a folyamatok és a kontrollok úgy működnek-e, ahogy a vezetés állítja. A penetrációs teszt ugyanezt teszi a védelemmel: megerősíti, hogy a rendszereket bevált gyakorlat szerint állították be, és hogy a vizsgálat napján nincs bennük nyilvánosan ismert sérülékenység. Csodaszer viszont nem. Akkor van értelme, ha egy nagyobb egész része: mellette ott van a folyamatos sérülékenységfelderítés, a munkatársak oktatása, az incidenskezelési terv és a végpontok figyelése.

Miben más a penetrációs teszt, mint a sérülékenységvizsgálat?

A két szolgáltatás a kereskedelmi ajánlatokban rendre összemosódik, pedig más kérdésre válaszol. A sérülékenységvizsgálat nagyrészt automatizált munka: az eszköz összeveti a futó verziókat és a beállításokat az ismert hibák adatbázisával, a végén pedig listát ad. A penetrációs teszt ott folytatja, ahol a lista véget ér. A tesztelő kézzel ellenőrzi a találatokat, láncba fűzi az önmagukban jelentéktelen hibákat, és megkeresi az üzleti logika réseit, amelyeket egyetlen eszköz sem ír le. Az automatizált felderítés arra válaszol, mi elavult. A teszt arra, mi használható ki – és meddig jut el vele valaki. A két megközelítést külön cikkben állítottuk egymás mellé.

Magyarországon a két szó jogi viszonya is rögzített, méghozzá fordítva, mint sokan gondolják: a behatolásvizsgálat a törvény szerint a sérülékenységvizsgálat egyik módszere (Kiberbiztonsági tv. 4. § 11. pont), nem külön tevékenység. Ennek gyakorlati következménye is van. A Kiberbiztonsági tv. 57. §-a szerinti sérülékenységvizsgálat szabályozott eljárás: azt az NBSZ, a honvédelmi kiberbiztonsági incidenskezelő központ, illetve telephely biztonsági tanúsítvánnyal rendelkező, az SZTFH nyilvántartásában szereplő gazdálkodó szervezet folytathatja le. A rendszer az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetekre terjed ki (1. § (9)); a d)–e) pont alá tartozó magáncégek kereskedelmi megrendelését a 60. § (1) bekezdése kiveszi alóla. Ki végezhet sérülékenységvizsgálatot – ezt a kérdést külön cikkben bontottuk ki, mert a piacon ez a leggyakoribb félreértés.

Miért teszteljen az is, aki szerint nincs nála semmi értékes?

Az a meggyőződés, hogy egy cég túl kicsi vagy túl unalmas a támadóknak, akkor kerül a legtöbbe, amikor kiderül róla, hogy téves. 2023-ban a kisvállalkozások 41%-át érte kibertámadás. A támadó nem a létszámot nézi, hanem a nyitva hagyott portot, az elavult komponenst és azt a szolgáltatásfiókot, amelynek évek óta nem cserélték a jelszavát. Az infrastruktúra annyira biztonságos, amennyire a leggyengébb pontja, és amit soha senki nem tesztelt – a belső hálózat, a vezeték nélküli hálózat, a felhőkörnyezet –, az vakfolt marad. Ugyanúgy kihasználja egy bosszús munkatárs, mint valaki kívülről.

Hírnév és pénz

• Adatszivárgás és leállás. A tesztben megtalált hiba olyan hiba, amelyet már senki nem fog kihasználni. Folyamatos üzemben – webáruháznál, pénzügyi szolgáltatónál – minden perc leállás közvetlenül elmaradt bevétel, és olyan bizalomvesztés, amit nem lehet egy negyedév alatt visszaszerezni.
• Ügyfélbizalom. Egyetlen incidens évek márkaépítését törli el. A rendszeres teszt a másik irányba hat: megmutatja a partnereknek, hogy a biztonság folyamat, nem nyilatkozat. Beszerzési eljárásban ez sokszor önálló döntési szempont.
• Jogi és felügyeleti kockázat. Egyre több ágazatban elvárás a védelmi intézkedések rendszeres ellenőrzése. Az általános adatvédelmi rendelet 32. cikk (1) bekezdés d) pontja például „a technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást” írja elő. Penetrációs tesztet nevesítve nem követel meg; a hatékonyság mérésére a gyakorlatban ez az egyik használt eszköz.

Mibe kerül a kimaradt teszt?

Ha a penetrációs teszt csak költségsor, akkor a számlának éppen az a fele marad ki, amelyik kiszámolható. Kutatások szerint minden tesztelésre költött dollár akár tíz dollárt takarít meg az incidens utáni költségekből. Egy teszt ára szerény ahhoz a számlához képest, amelyet egy komoly incidens állít ki: érintettek értesítése, hatósági eljárás, jogi képviselet és hosszú munka a márka helyreállításán.

A rendszerességnek is van száma. Egy közepes méretű cég fél év alatt 42%-kal csökkentette a nyitott sérülékenységek számát azzal, hogy az éves ciklusról negyedévesre váltott. Új támadási módszerek hetente jelennek meg, tehát egy egyéves jelentés olyan rendszert ír le, amelyik ebben a formájában már nem létezik. És még valami: a jogszabályi megfelelés jó ok arra, hogy valaki elkezdje a tesztelést, és rossz ok arra, hogy meg is álljon ott. Az auditor azt nézi, megtörtént-e a teszt. A támadó azt, hogy lett-e belőle valami.

Hogyan zajlik egy penetrációs teszt?

A szakszerű teszt szerkezete állandó, és általában elismert módszertant követ – például a PTES-t (Penetration Testing Execution Standard), amely a minőség és a teljesség alsó határát rögzíti.

Black-box, grey-box és white-box

• Black-box. A tesztelő semmit nem kap a rendszer belsejéről. Ez a kívülről érkező támadót modellezi, aki csak azt tudja, amit maga derít ki. A valósághoz ez áll a legközelebb, viszont ez tart a legtovább – akár egy hónapnál is hosszabb ideig –, és ezért ez a legdrágább.
• White-box. A tesztelő megkap mindent: hálózati rajzokat, architektúraleírást, fiókokat, gyakran forráskódot is. Ez a modell azt ellenőrzi, mennyire működnek a belső sérülékenységkezelési folyamatok, és olyan beállítási hibákat is kihoz, amelyekhez egy kívülről indított támadás soha nem érne el. Ez adja a teljesebb képet.
• Grey-box. A tesztelő célzottan kap információt, jellemzően felhasználói fiókokat és rövid rendszerleírást. Ez a bosszús munkatársat vagy az eltulajdonított fiókot modellezi, és jó egyensúlyt teremt a költség és a mélység között. Ez a leggyakoribb választás.

A modellt ahhoz kell igazítani, amitől a szervezet ténylegesen tart, nem a kerethez. Épkézláb stratégia keveri őket: kívülről black-box a nyilvános felületekre, belülről white-box azokra a rendszerekre, amelyek leállása megállítja a céget.

A PTES hét szakasza

Két szakaszon áll vagy bukik az egész munka, és mindkettőt szokás félvállról venni. Az előkészítést, mert a rosszul kijelölt hatókör vagy a lényeget hagyja ki, vagy a szezon közepén állítja le az éles környezetet. És a hozzáférés utáni vizsgálatot, mert önmagában a belépés még semmit nem mond a kár mértékéről – csak a jogosultságeszkaláció és az oldalirányú mozgás (lateral movement) válaszol arra, milyen mélyre jutna el egy valódi támadó, és hogy ezért mit kell először javítani.

Milyen penetrációs tesztek léteznek?

A támadók egyszerre több úton indulnak el, tehát egyetlen tesztfajta nem fedi le a teljes támadási felületet. Aki csak a külső hálózatot nézeti meg, vakfoltokat hagy, és azokba előbb-utóbb belenéz valaki.

A teljes felület lefedése azért logikus, mert a támadó a leggyengébb pontra üt, bárhol legyen az. Ha a fizikai belépés vagy az emberi tényező kimarad, akkor a technikailag rendben lévő szervezetbe is nyílik egy ajtó. Alkalmazásoknál a viszonyítási pont változatlanul az OWASP Top 10, vagyis a legsúlyosabb webes hibák rendszeresen frissített listája. Az, hogy a kiadások nagyrészt ugyanazokat a kategóriákat ismétlik, önmagában is tanulság: az évek óta ismert hibák még mindig élesben futnak. Aki nem egy szeletre, hanem a teljes képre kíváncsi, a pentesztek után a Red Teaming felé lép tovább, mert az a védelmet és a felismerési képességet együtt méri.

Mitől függ a penetrációs teszt ára?

Az ár nem darabáras listáról jön. A becslést szakértői napokban számolják, és a napok számát az dönti el, hogy mit és milyen mélyen kell megnézni. Az alábbi tényezők mozgatják a legtöbbet.

• Hatókör. Hány alkalmazás, hány IP-cím, hány felhasználói szerepkör, hány eszköz és hány telephely tartozik bele. Egy alkalmazás vizsgálata érezhetően olcsóbb, mint egy teljes infrastruktúra vagy egy felhőkörnyezet átvilágítása.
• A teszt modellje. A black-box általában drágább és hosszabb, mint a white-box, ahol a tesztelő induláskor mindent megkap. A grey-box a kettő között helyezkedik el.
• A környezet összetettsége. A belső vizsgálat többe kerül a külsőnél, mert jogosultságokat, adatáramlást és rendszerek közötti függőségeket is elemezni kell. A több bérlőt kiszolgáló SaaS-környezet további réteget tesz rá.
• A csapat tapasztalata. Az OSCP, OSCE3, CISSP vagy CEH minősítésű tesztelő drágább, és megtalálja azt, ami a kevésbé gyakorlottnak nem tűnik fel. Az itteni spórolás látszólagos: a meg nem talált sérülékenység a rendszerben marad, az olcsóbb teszt számlájával együtt.
• A jelentéssel szembeni elvárások. Ha a jelentésnek egy konkrét szabályozási keretre – az ISO 27001 szabványra, a PCI DSS-re vagy a kiberbiztonsági auditra – kell illeszkednie, vagy szokatlan technológiai környezetről szól, az több munkaóra.
• Újratesztelés és javítási támogatás. A javítások ismételt ellenőrzése és a javítás közbeni konzultáció növeli a költséget, viszont ettől lesz a jelentésből tényleges változás.
• Szakemberhiány. A pentesztelői piac szűk, a jó csapatoknál a legközelebbi szabad időpont hónapokra van – ez is beépül az árba.

A teszt költségét a kiberbiztonsági keret részeként érdemes tervezni, nem külön, opcionális tételként. Az értelmes keret magát a tesztet, a megtalált hibák javítását és a javítás utáni újratesztelést is tartalmazza. A megelőzés szinte mindig olcsóbb, mint az incidens utáni takarítás. A konkrét számokat – köztük a kiberbiztonsági audit jogszabályban rögzített legmagasabb díját – külön cikkben szedtük össze.

Mit ír elő a Kiberbiztonsági tv. a tesztelésről?

Magyarországon a biztonsági tesztelésről sokáig a józan ész és a megrendelői elvárás döntött. 2025. január 1-je óta a szervezetek egy részének ez határidős kötelezettség.

Kire terjed ki a törvény?

A NIS2 irányelv magyar átültetése a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (a továbbiakban: Kiberbiztonsági tv.), amely a 82. § (1) bekezdése szerint 2025. január 1-jén lépett hatályba. Ugyanez a törvény hatályon kívül helyezte a 2023. évi XXIII. törvényt (128. §) és a 2013. évi L. törvényt, vagyis a korábbi Ibtv.-t (116. §), mindkettőt 2025. január 1-jei hatállyal. Több szolgáltatói oldal még mindig a 2023-as törvényre hivatkozik – az másfél éve nincs hatályban.

A törvény alapvető és fontos szervezetekre osztja az érintetteket, és a felügyelet is megoszlik: az 1. § (1) bekezdés a)–c) pontja szerinti körben az NBSZ a nemzeti kiberbiztonsági hatóság (418/2024. (XII. 23.) Korm. rendelet 16. § (1)), a d)–e) pont szerinti szervezeteknél az SZTFH jár el (23. § (1) b)). A DORA hatálya alá tartozó pénzügyi szervezetek kikerülnek a törvény hatálya alól (1. § (2) bekezdés); rájuk az MNB felügyelete alatt a DORA szabályai vonatkoznak. Aki azt méri fel, érinti-e a törvény, annak érdemes tudnia, hogy a személyi hatály 2026. január 6-tól szűkült: a 2025. évi CXXXV. törvény 4. § (2) bekezdése abszolút, saját adatokon alapuló küszöbértékekre cserélte az 1. § (1) bekezdés d) pontjának korábbi szövegét. A változást külön cikkben vezettük végig.

Kötelező-e a behatolásvizsgálat?

Ezen a ponton nagyon sok magyar oldal téved, és a tévedés másolódik tovább. A védelmi intézkedések katalógusát a 7/2024. (VI. 24.) MK rendelet 2. melléklete tartalmazza, biztonsági osztályonként. A vonatkozó sorok így néznek ki:

Vagyis önálló behatolásvizsgálatot egyik biztonsági osztály sem ír elő kötelezően. Kötelező elemi követelményként egyedül a független szakértő vagy csapat bevonása jelenik meg (5.22), és csak a magas osztályban. A sérülékenységek ellenőrzése (15.9) viszont mindhárom osztályban kötelező, a sérülékenységmenedzsment (15.10) pedig a jelentős osztálytól felfelé.

A kétévente esedékes kiberbiztonsági auditon belül más a helyzet. A 22. § (1) bekezdés a) pontja szerint az auditor jogosult „belső informatikai biztonsági és távoli sérülékenységvizsgálatot, valamint »jelentős« vagy »magas« biztonsági osztály esetén behatolásvizsgálatot” elvégezni. Két szó itt sokat számít. Az egyik a jogosult: a törvény felhatalmazza az auditort, nem kötelezi. A másik a belső – a széles körben másolt kamarai összefoglaló ezt a szót külsőre cseréli, és a hiba onnan terjedt tovább. Ugyanezt erősíti meg az 1/2025. (I. 31.) SZTFH rendelet 2. § (2) bekezdése is, amely szerint ezek a módszerek alkalmazhatóak. A kérdést egy egész cikkben végigvezettük, cellánként.

Határidők és bírságok

Az első kör le is zajlott. Az SZTFH 2026 augusztusában arról számolt be, hogy 2194 szervezet zárta le az első kiberbiztonsági auditot, mintegy 90%-uk megfelelt, és körülbelül 10%-uk kapta a legjobb minősítést, az „Elhanyagolható kockázattal megfelelt” besorolást. Visszatérő hiányosságként a rendszerdokumentációt nevezte meg.

A bírságokat nem a törvény, hanem végrehajtási rendelet állapítja meg. A 418/2024. (XII. 23.) Korm. rendelet 42. § (2) bekezdése alapvető szervezetnél 10 millió eurónak megfelelő forintösszegig vagy az éves világpiaci árbevétel 2%-áig, fontos szervezetnél 7 millió euróig vagy 1,4%-ig terjedő bírságot tesz lehetővé; a vezető tisztségviselővel szemben a 42. § (4) bekezdése szerint legfeljebb 15 000 000 Ft szabható ki.

A határidők egymásra épülnek, és a munka sorrendjét maguktól megadják: előbb a besorolás és a nyilvántartásba vétel, utána a védelmi intézkedések, a végén az audit, amely az egészet ellenőrzi. A penetrációs teszt itt két irányba dolgozik: megmutatja a védelem tényleges állapotát, és közben előállítja azt a bizonyítékot, amelyet az auditor keresni fog. Ezt részletesen a NIS2 és a Kiberbiztonsági tv. szerinti penetrációs teszt oldalon írtuk le.

Mit kap a vizsgálat végén?

A termék a vizsgálati jelentés, és abból derül ki, mennyit ért a munka. Egy használható jelentésben benne van a vezetői összefoglaló, minden megállapítás a reprodukáláshoz elég bizonyítékkal, a kockázati besorolás CVSS szerint és a javítási sorrend. Utána zárókonzultáción beszéljük végig, mi mit jelent, a javítások elvégzése után pedig újratesztelünk, és írásban rögzítjük, hogy a hiba tényleg lezárult.

A jelentés a kereteket is rendbe teszi. Nem kell újabb eszközt venni „minden eshetőségre”, mert kiderül, hol a legnagyobb hiány, és ugyanabból a keretből mi hozza a legtöbbet. Egy feltétellel: a tesztnek ismételhetőnek kell lennie. A sérülékenységek a rendszerrel együtt változnak, új támadási módszerek hetente jelennek meg, tehát az egyszeri penteszt fénykép, nem film.

Biztonsági vezetőnek a jelentés önmagában is eszköz. Ha minden hibához pénzügyi vagy működési következmény tartozik, és a javítások kockázat szerinti sorrendben állnak, akkor a vezetéssel folytatott beszélgetés keretkérésből prioritásvitává alakul. Ehhez jön a függetlenség: egy külső csapat véleménye másképp esik latba, mint ugyanaz a megjegyzés, amelyet a saját mérnök két éve ismételget.

Összefoglalás

A penetrációs teszt már nem az óvatosak külön luxusa. A támadások olcsók és automatizáltak, a szabályozói elvárás pedig nő: a Kiberbiztonsági tv. konkrét dátumokat adott, amelyektől kezdve számon kérhető, hogy egy szervezet teszteli-e a rendszereit, és kezd-e valamit az eredménnyel.

A rendszeres teszt védi az adatot, védi a márkát és rendet tesz a megfelelésben. Két irányba működik: pajzsként a támadás előtt, bizonyítékként az auditor előtt. Az első lépés kicsi – egy félórás beszélgetés a hatókörről, amelynek a végén ott a lista arról, mit érdemes elsőként megnézni.

Penetrációs teszt – gyakori kérdések

Kapcsolódó Haxoris-szolgáltatások: webalkalmazások és infrastruktúra penetrációs tesztelése · penetrációs teszt a NIS2-megfeleléshez