Sérülékenységvizsgálat: megmutatjuk, hol támadható az Ön rendszere
A sérülékenységvizsgálat végigveszi a hálózatot, a kiszolgálókat, az alkalmazásokat és a felhőkörnyezetet, majd sorba rendezi, mit talált. Nem általános kockázati listát kap, hanem azt, ami a saját rendszerében most is nyitva áll.
Előbb látja a hibát, mint az, aki kihasználná.
Ők bíznak bennünk
Mi a sérülékenységvizsgálat, és mit derít ki a rendszeréről?
Átvizsgáljuk a rendszereket, az alkalmazásokat és a hálózati infrastruktúrát: megkeressük a gyenge pontokat, súlyosság szerint besoroljuk őket, és megírjuk, mit javítson először. Sokan sebezhetőségi vizsgálatnak hívják – ugyanarról a munkáról van szó. A penetrációs teszt mélységben dolgozik: egy-két úton bejut. A sérülékenységvizsgálat szélességben: a teljes környezetet járja végig.
A „sérülékenységvizsgálat” Magyarországon két dolgot jelöl. A Kiberbiztonsági tv. 57. §-a szerinti vizsgálatot csak az erre kijelölt állami szerv vagy az SZTFH nyilvántartásában szereplő gazdálkodó szervezet folytathatja le; ez a szabály az 1. § (9) bekezdése alapján az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetekre terjed ki, a d) és e) pontba tartozókat pedig a 60. § (1) bekezdése kifejezetten kiveszi ebből. A másik jelentés a piaci szolgáltatás: ezt cégként nyilvántartástól függetlenül megrendelheti, és ez az oldal is erről szól.
Miért éri meg?
Megelőzés
A hibát azelőtt javítja ki, hogy bárki kihasználná.
Igazolható megfelelés
A rendszeres ellenőrzést a NIS2, az ISO/IEC 27001 szabvány és az általános adatvédelmi rendelet 32. cikke is elvárja; a jelentés ehhez bizonyíték.
Reális sorrend
Azzal kezdi, ami valóban veszélyezteti a működést, nem azzal, ami a lista tetején van.
Tiszta kép
Látja, hol tart most a védelme – nem érzésre, hanem mérve.
A vizsgálat menete
Így zajlik a vizsgálat: a szkennertől a kézi ellenőrzésig
A szkenner gyorsan és széles körben fésüli át a környezetet, de sok téves találatot ad. Ezért minden eredményt kézzel ellenőrzünk: a jelentésbe csak az kerül be, ami valóban létezik és kihasználható.
Egyeztetés és hatókör
Közösen rögzítjük a célokat, a hatókört és az eszközlistát. Tisztázzuk, minek a védelme a legfontosabb a cégnek.
Automatizált felderítés
A Nessus, az OpenVAS és a Nuclei segítségével végigfésüljük az infrastruktúrát: előkerülnek az ismert sérülékenységek (CVE), a nyitott portok és a hibás beállítások.
Kézi ellenőrzés
A szkenner listát ad, nem eredményt. A szakértőink minden találatot visszaellenőriznek, kiszűrik a téves találatokat, és megkeresik azokat az üzleti logikai hibákat, amelyekhez emberi gondolkodás kell.
Jelentés és javítási sorrend
A vizsgálati jelentésben minden megállapítást CVSS szerint pontozunk, és leírjuk a konkrét javítási lépéseket. A csapata így tudja, mivel kezdje, és mi az, ami várhat.
Teljes lefedettség
Mit vizsgálunk? A teljes környezetet, nem egy-két kiemelt rendszert
A támadó nem válogat: azt támadja meg, amit talál. Ezért az infrastruktúra sérülékenységvizsgálata a környezet minden fontos elemére kiterjed – a kiszolgálóktól az ipari eszközökig.
Külső és belső hálózat
Végignézzük a kiszolgálókat, a munkaállomásokat és a hálózati eszközöket.
Webes és mobil alkalmazások
Megkeressük az SQL-injekciót, az XSS-t és a jogosultságkezelés hibáit.
Felhőkörnyezetek
Átnézzük az AWS, az Azure és a Google Cloud beállításait.
Adatbázisok
Külön nézzük a jogosultságokat, a tárolt adatok titkosítását és a Microsoft SQL Server, a PostgreSQL és a MongoDB beállításait.
API-felületek
Az API-kon folyik az adat: megnézzük, ki férhet hozzá és mihez.
IoT- és OT-eszközök
Az ipari vezérlőrendszereket és a beágyazott eszközöket is bevonjuk a hatókörbe.
Összehasonlítás
Sérülékenységvizsgálat vagy penetrációs teszt: mi a különbség?
Mindkettőre szükség van, csak más a dolguk. Röviden: a sérülékenységvizsgálat megkeresi az összes ajtót, a penetrációs teszt pedig kinyit közülük néhányat.
| Szempont | Sérülékenységvizsgálat | Penetrációs teszt |
|---|---|---|
| Cél | Minél több sérülékenységet megtalálni és besorolni (szélesség). | Valódi támadást lejátszani és a hibákat ki is használni (mélység). |
| Módszer | Automatizált felderítés, kézi visszaellenőrzéssel. | Túlnyomórészt kézi munka: a tesztelő úgy gondolkodik, mint a támadó. |
| Gyakoriság | Rendszeresen, havonta vagy negyedévente, hogy friss legyen a kép. | Ritkábban: évente és nagyobb változás után, az ellenálló képesség méréséhez. |
| Eredmény | Részletes sérülékenységlista javítási sorrenddel. | Jelentés arról, meddig jutott a támadás, és mit jelent ez üzletileg. |
Nem biztos benne, melyik vizsgálat kell? Írjon nekünk.
Ügyfélvélemények
Mit mondanak rólunk ügyfeleink
Gyakori kérdések (GYIK)
01 Milyen gyakran érdemes sérülékenységvizsgálatot végezni?
Negyedévente és minden nagyobb változás után: új rendszer, nagyobb frissítés, felhőbe költözés. A pénzügyi szektorban az MNB 1/2025. (I. 13.) ajánlása pontosabb elvárást fogalmaz meg: a belső és az elkülönített zónákra évente, a kártyás rendszerekre, a webes ügyfélfelületekre és a mobilalkalmazásokra pedig negyedévente vár el sérülékenységvizsgálatot. Ez felügyeleti elvárás, nem jogszabály.
02 Mennyi ideig tart egy sérülékenységvizsgálat?
A környezet méretétől és összetettségétől függ; egy tipikus vizsgálat 2–5 nap. A pontos becslést az első egyeztetés után adjuk meg.
03 Biztonságos-e a vizsgálat az éles rendszereinkre nézve?
Igen. Roncsolásmentes technikákkal dolgozunk, és a kockázatosabb lépéseket előre egyeztetjük a csapatával. Az érzékeny rendszereket előre kijelölt időablakban vizsgáljuk.
