Kas ir ielaušanās testēšana un kad tā uzņēmumam ir vajadzīga?

Uzbrucēji mērķus neizvēlas pēc uzņēmuma lieluma, bet iet pa mazākās pretestības ceļu. Tieši tāpēc visdārgāk maksā pieņēmums „mēs nevienu neinteresējam“: rēķins par to pienāk vēlāk un ar procentiem. Ielaušanās testi šo secību apgriež otrādi, jo pārbaude notiek pirms incidenta, nevis pēc tā – ar rakstisku atļauju un saskaņotā tvērumā kāds mēģina ielauzties un pēc tam pieraksta, kur izdevās. Šajā rakstā apkopots, kas ir ielaušanās testēšana, ar ko tā atšķiras no ievainojamību skenēšanas, kā norit pārbaude, kādi ir ielaušanās testu veidi, kas nosaka cenu un ko par testēšanu prasa Latvijas normatīvie akti. Rakstīts gan nespeciālistam, gan kiberdrošības vadītājam.

Kas ir ielaušanās testēšana?

Ielaušanās tests jeb pentests ir kontrolēts uzbrukums informācijas sistēmai, tīklam vai lietotnei, ko pēc īpašnieka rakstiska pasūtījuma veic drošības speciālisti – ētiskie hakeri. Mērķis nav uzskaitīt kļūdas, bet tās izmantot, jo tikai izmantošana parāda, ko ar konkrēto kļūdu izdarītu īsts uzbrucējs. No īstas ielaušanās testu atšķir četras lietas: rakstiska atļauja, saskaņots tvērums, laika logs un tas, ka pēc darba viss paliek darbderīgs.

Latviešu valodā šim darbam ir nostiprinājies nosaukums ielaušanās testēšana, un to pašu vārdu lieto regulējums: Ministru kabineta noteikumu Nr. 397 8.2. apakšnodaļa saucas „Ielaušanās testi un drošības skenēšana“. Viens tulkojums tomēr ir jāapiet. „Penetrācijas tests“ latviski nozīmē pavisam ko citu, proti, materiālu nesagraujošo pārbaudi ar penetrantu saskaņā ar standartu LVS EN ISO 3452, un metinājumu šuvju kontrole ar kiberdrošību nekrustojas nekur. Sarunvalodā lietotais pentests ir gan īsāks, gan precīzāks.

Noderīgs salīdzinājums ir zvērināta revidenta darbs. Revidents grāmatvedību neved, bet pārbauda, vai procesi un kontroles strādā tā, kā vadība apgalvo. Ielaušanās tests to pašu dara ar aizsardzību: apstiprina, ka sistēmas ir iestatītas atbilstoši labai praksei un ka testa dienā tajās nav publiski zināmu ievainojamību. Brīnumlīdzeklis tas nav. Tests strādā tad, ja tas ir daļa no lielāka veseluma, kurā ietilpst regulāra ievainojamību skenēšana, darbinieku apmācības, rīcības plāns incidenta gadījumā un galiekārtu uzraudzība.

Ar ko ielaušanās tests atšķiras no ievainojamību skenēšanas?

Piedāvājumos šie divi pakalpojumi mēdz saplūst, lai gan tie atbild uz dažādiem jautājumiem. Ievainojamību novērtēšana lielākoties ir automatizēts darbs: rīks salīdzina darbojošās versijas un iestatījumus ar zināmo kļūdu datubāzi un beigās izsniedz sarakstu. Ielaušanās tests turpina tur, kur saraksts beidzas. Testētājs konstatējumus pārbauda ar rokām, saliek ķēdē tās kļūdas, kuras atsevišķi izskatās nekaitīgas, un atrod biznesa loģikas caurumus, kurus neapraksta neviens rīks. Skenēšana atbild, kas ir novecojis. Tests atbild, kas ir izmantojams un cik tālu ar to var tikt. Abus blakus esam nolikuši rakstā par to, kad izvēlēties ievainojamību skenēšanu un kad ielaušanās testu.

Latvijā šai sarunai pievienojas vietēja nianse, kuru ārzemju materiālos neatradīsiet. Vārdu savienojums „drošības skenēšana“ šeit nav mārketinga apzīmējums, bet uzraudzības instruments: MK noteikumu Nr. 397 135.–140. punkts to apraksta kā darbību, ko rīko pēc Nacionālā kiberdrošības centra, Satversmes aizsardzības biroja vai paša subjekta pieprasījuma un kuras detalizētos rezultātus nosūta arī uzraugam. Komercpakalpojums saucas citādi – ievainojamību skenēšana –, tāpēc cenrādis ar rindu „drošības skenēšana“ parasti liecina, ka normā neviens nav ieskatījies.

Kāpēc testē arī tie, kas sevi par mērķi neuzskata

Pārliecība, ka uzņēmums uzbrucējiem ir par mazu vai par garlaicīgu, izmaksā visdārgāk tajā brīdī, kad izrādās kļūdaina. 2023. gadā kiberuzbrukumu piedzīvoja 41% mazo uzņēmumu. Uzbrucējs neskatās darbinieku skaitu, bet atvērtu portu, novecojušu komponenti un servisa kontu, kuram paroli gadiem nav mainījis neviens. Infrastruktūra ir tik droša, cik drošs ir tās vājākais posms, un tas, ko neviens nekad nav pārbaudījis – iekšējais tīkls, bezvadu tīkls, mākoņvide –, paliek aklā zona. To vienlīdz labi izmanto gan aizvainots darbinieks, gan kāds no ārpuses.

Reputācija un nauda

• Datu noplūde un dīkstāve. Testā atrasta kļūda ir kļūda, kuru vairs neviens neizmantos. Nepārtrauktā darbībā – interneta veikalā, finanšu pakalpojumā – katra dīkstāves minūte ir tieši neiegūti ieņēmumi un uzticēšanās, ko ceturksnī atpakaļ nenopelna.
• Klientu uzticēšanās. Viens incidents izdzēš gados būvētu reputāciju. Regulāra testēšana darbojas pretējā virzienā: partneriem tā parāda, ka drošība ir process, nevis paziņojums. Iepirkumos tas arvien biežāk ir atsevišķs vērtēšanas kritērijs.
• Juridiskais un uzraudzības risks. Vispārīgā datu aizsardzības regula (VDAR jeb GDPR) 32. pantā prasa procesu, ar ko regulāri pārbauda un izvērtē tehnisko un organizatorisko pasākumu efektivitāti. Ielaušanās testu tā nenosauc, bet praksē tas ir viens no rīkiem, ar kuriem šo efektivitāti mēra.

Ko izmaksā neveikts tests

Ja ielaušanās tests ir tikai izdevumu rinda, tad no rēķina pazūd tieši tā puse, kuru var izrēķināt. Pētījumi liecina, ka katrs testēšanā ieguldītais dolārs ietaupa līdz desmit dolāriem, ko izmaksā incidenta sekas. Testa cena ir pieticīga blakus rēķinam, kuru izraksta nopietns drošības notikums: skarto personu informēšana, uzraudzības iestādes procedūra, juridiskā palīdzība un ilgs darbs pie zīmola atgūšanas.

Regularitātei arī ir sava skaitliskā puse. Kāds vidēja lieluma uzņēmums pusgada laikā nenovērsto ievainojamību skaitu samazināja par 42%, pārejot no ikgadēja cikla uz reizi ceturksnī. Jaunas uzbrukuma metodes parādās katru nedēļu, tāpēc gadu vecs ziņojums apraksta sistēmu, kādas šajā veidolā vairs nav. Un vēl viena lieta: normatīvo aktu prasība ir labs iemesls testēšanu sākt un slikts iemesls tur arī apstāties. Auditors skatās, vai tests ir noticis. Uzbrucējs skatās, vai no tā kaut kas ir mainījies.

Kā notiek ielaušanās tests?

Profesionāla testa uzbūve ir stabila un parasti seko atzītai testēšanas metodoloģijai – piemēram, PTES (Penetration Testing Execution Standard), kas nosaka kvalitātes un pilnīguma zemāko robežu.

Melnās, baltās vai pelēkās kastes princips

• Melnās kastes princips. Testētājs par sistēmas iekšpusi nesaņem neko. Tas modelē uzbrucēju no ārpuses, kurš zina tikai to, ko noskaidro pats. Īstenībai šis variants ir vistuvākais, taču tas prasa visvairāk laika – dažkārt vairāk par mēnesi – un tāpēc maksā visdārgāk.
• Baltās kastes princips. Testētājs saņem visu: tīkla shēmas, arhitektūras aprakstu, kontus un bieži arī pirmkodu. Šis modelis pārbauda, vai iekšējie ievainojamību pārvaldības procesi tiešām strādā, un izceļ konfigurācijas kļūdas, līdz kurām uzbrukums no ārpuses nenonāktu nedēļām. Aina no tā sanāk pilnīgāka.
• Pelēkās kastes princips. Testētājs saņem mērķtiecīgi izvēlētu informāciju, parasti lietotāju kontus un īsu sistēmas aprakstu. Tas modelē aizvainotu darbinieku vai nozagtu kontu un labi līdzsvaro izmaksas ar dziļumu. Šī ir biežākā izvēle.

Modeli izvēlas pēc drauda, no kura organizācija tiešām baidās, nevis pēc budžeta rindas. Saprātīga programma tos jauc: no ārpuses melnā kaste publiskajām sistēmām, no iekšpuses baltā kaste tām, kuru apstāšanās aptur uzņēmumu.

Ielaušanās testa posmi

Latvijas tirgū to pašu secību mēdz aprakstīt sešos posmos – plānošana, izlūkošana, informācijas analīze, uzbrukums, rezultātu analīze un rekomendācijas –, un saturs no tā nemainās. Divi posmi izšķir visu darbu, un abus mēdz uztvert pavirši. Pirmais ir sagatavošanās, jo slikti noteikts tvērums maksā vairāk nekā jebkura cita kļūda projektā. Otrais ir darbs pēc piekļuves iegūšanas: pati iekļūšana par zaudējuma apmēru vēl neko nepasaka, un tikai tiesību paaugstināšana un pārvietošanās uz citām sistēmām parāda, cik dziļi uzbrucējs tiktu un ko tāpēc labot vispirms.

Kādi ir ielaušanās testu veidi?

Uzbrucēji vienlaikus iet pa vairākiem ceļiem, tāpēc viens testa veids visu uzbrukuma virsmu nenosedz. Kas pārbauda tikai ārējo tīklu, atstāj aklās zonas, un agri vai vēlu tajās kāds ieskatās.

Visu virsmu segt ir loģiski tāpēc, ka uzbrucējs sit pa vājāko vietu neatkarīgi no tā, kur tā atrodas. Ja fiziskā piekļuve vai cilvēka faktors paliek ārpus tvēruma, tad arī tehniski kārtīgā organizācijā paveras durvis. Lietotnēm atskaites punkts joprojām ir OWASP Top 10, proti, regulāri atjaunināts nozīmīgāko tīmekļa kļūdu saraksts, un tas, ka izdevumi lielā mērā atkārto vienas un tās pašas kategorijas, pats par sevi ir secinājums: gadiem zināmas kļūdas joprojām strādā produkcijā. Kam vajadzīga nevis viena šķēle, bet visa aina, pēc pentestiem parasti pāriet uz Red Team uzbrukuma simulāciju, jo tā vienlaikus mēra aizsardzību un spēju uzbrukumu pamanīt. Atsevišķa joma ir MI un LLM integrāciju ielaušanās testēšana, kur uzbrukuma virsmu rada pats modelis.

Kas nosaka ielaušanās testa cenu?

Cena nenāk no gabalcenu saraksta. Darbu mēra cilvēkdienās, un dienu skaitu izšķir tas, ko un cik dziļi vajag apskatīt. Visvairāk to kustina šādi faktori.

• Tvērums. Cik lietotņu, cik IP adrešu, cik lietotāju lomu, cik iekārtu un cik atrašanās vietu ietilpst darbā. Vienas lietotnes pārbaude ir jūtami lētāka nekā visas IT infrastruktūras vai mākoņvides caurskate.
• Testa modelis. Melnās kastes princips parasti ir dārgāks un garāks nekā baltās kastes princips, kur testētājs sākumā saņem visu. Pelēkā kaste atrodas pa vidu.
• Vides sarežģītība. Iekšējā pārbaude maksā vairāk nekā ārējā, jo papildus jāanalizē tiesības, datu plūsmas un sistēmu savstarpējās atkarības. Vairākus nomniekus apkalpojoša SaaS vide pievieno vēl vienu slāni.
• Manuālā darba īpatsvars. Automatizēts rīks lietotnes loģiku nesaprot, tāpēc tieši manuālais darbs atrod tiesību un loģikas kļūdas. Šī ir biežākā vieta, kur divi piedāvājumi par vienu sistēmu atšķiras divkārt.
• Komandas kvalifikācija. Pieredzējis testētājs maksā vairāk un pamana to, kas mazāk pieredzējušam nekrīt acīs. Ietaupījums šeit ir šķietams: neatrasta ievainojamība paliek sistēmā kopā ar lētākā testa rēķinu. Regulējums to atzīst netieši: MK noteikumu Nr. 397 132.2.1. apakšpunkts kā kvalifikācijas piemērus min CEH un OSCP.
• Prasības ziņojumam. Ja ziņojumam jāiegulst konkrētā ietvarā – ISO/IEC 27001 vai NKDL gatavības pierādījumos – vai runa ir par neierastu tehnoloģiju kopumu, tas ir papildu darbs.
• Atkārtota pārbaude. Labojumu atkārtota apskate un konsultācijas novēršanas laikā izmaksas palielina, taču tieši no tām ziņojums pārvēršas izmaiņās.
• Izpildītāju pieejamība. Testētāju tirgus ir šaurs, un labām komandām tuvākais brīvais laiks mēdz būt nedēļas uz priekšu; arī tas ieēdas cenā.

Latvijā cenas nav noslēpums: publicētie skaitļi sākas ap 3 000 € par vienkāršu ārējo testu, bet plašiem tvērumiem sniedzas 15 000–30 000 € robežās un pāri tām. Tie ir tirgus dati, nevis mūsu cenrādis, un noder tie vienā ziņā – rāda kārtu. Ja piedāvājums par vidēji sarežģītu lietotni ir vairākas reizes zemāks par tirgus zemāko robežu, tad pircējs visdrīzāk saņems ievainojamību skenēšanu, nevis manuālu pārbaudi. Kā šo skaitli izrēķināt savam tvērumam, aprakstīts rakstā par to, cik maksā ielaušanās tests.

Ko par ielaušanās testiem nosaka Latvijas normatīvie akti

Latvijā kiberdrošības prasības nosaka Nacionālās kiberdrošības likums (turpmāk – NKDL), kas ir spēkā kopš 2024. gada 1. septembra un ar kuru Latvijas tiesībās pārņemta NIS2 direktīva. Konkrētās tehniskās un organizatoriskās prasības ir Ministru kabineta 2025. gada 25. jūnija noteikumos Nr. 397 „Minimālās kiberdrošības prasības“, kas stājās spēkā 02.07.2025. Testēšanai tur ir atvēlēta atsevišķa apakšnodaļa, un tieši tā ir vieta, kur tirgus materiāli kļūdās visbiežāk.

Kad tests ir obligāts

Pienākums attiecas uz NKDL subjektiem, proti, uz būtisko un svarīgo pakalpojumu sniedzējiem un IKT kritiskās infrastruktūras īpašniekiem vai tiesiskajiem valdītājiem. Apjomu nosaka nevis uzņēmuma lielums, bet informācijas sistēmas drošības klase.

• A klases informācijas sistēma. Tests notiek pirms nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados ekspluatācijas laikā (131.1. apakšpunkts).
• Jebkura cita informācijas sistēma. Tests notiek pēc subjekta paša iniciatīvas vai pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma (131.2. un 131.3. apakšpunkts).
• Ikgadējs pienākums pastāv, tikai cits. NKDL 25. panta piektās daļas 2. punkts liek kiberdrošības pārvaldniekam ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un organizēt konstatēto trūkumu novēršanu. Metodi šī norma nenosaka.

Apgalvojums „NIS2 prasa ikgadēju pentestu“ tāpēc ir vienlaikus nepareizs un tuvu patiesībai: ikgadējs pienākums tiešām ir, bet tas nav ielaušanās tests, savukārt ielaušanās tests tiešām ir obligāts, bet reizi trijos gados un tikai A klases sistēmai. Sīkāk šo apakšnodaļu esam izrakstījuši rakstā par to, vai ielaušanās testēšana ir obligāta.

Kas drīkst veikt testu

Šeit ir vērts lasīt normu burtiski, jo tirgū to pārstāsta brīvi. Noteikumu 132. punkts pieļauj divus izpildītājus: subjekta paša personālu, kas pēdējo triju gadu laikā nav bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā, un citu personu. Citai personai 132.2.1. apakšpunkts prasa starptautiski atzītu sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā, vai vismaz divu gadu darba pieredzi, kas iegūta pēdējo piecu gadu laikā, bet 132.2.2. apakšpunkts prasa to pašu neatkarību. IKT kritiskajā infrastruktūrā papildus vajadzīgs Satversmes aizsardzības biroja atzinums, un par testa rezultātiem birojam ziņo ne vēlāk kā 10 darbdienu laikā (134. punkts).

Ievērojiet, ko norma neprasa. Ārpus IKT kritiskās infrastruktūras tā neprasa ne reģistrāciju kādā sarakstā, ne akreditāciju, ne valsts izsniegtu atļauju: Latvijā ielaušanās testu veicēju reģistra nav vispār. Tā prasa divas lietas – kompetenci un neatkarību –, un abas ir pārbaudāmas ar dokumentiem, kuri izpildītājam jau ir. Praktiskais solis pircējam tāpēc ir vienkāršs: pirms līguma lūdziet abu nosacījumu rakstisku apliecinājumu un pievienojiet to savai testa dokumentācijai. Kā izvēlēties izpildītāju plašāk, aprakstīts rakstā par to, kam uzticēt pārbaudi.

Ko saņemat ielaušanās testa beigās

Rezultāts ir ziņojums, un no tā redzams, cik daudz darbs bija vērts. Normatīvais akts ziņojuma saturu nenosaka, tāpēc prasību līmeni nosaka pircējs. Izmantojamā ziņojumā ir piecas daļas.

• Tvērums un laiks. Kuras sistēmas, saskarnes un piekļuves līmeņi pārbaudīti, kādā modelī un kurās dienās.
• Konstatējumi ar pierādījumiem. Katram konstatējumam reproducēšanas soļi un pierādījums, ka ievainojamība ir praktiski izmantojama, nevis tikai rīka atzīmēta.
• Riska novērtējums konkrētajā vidē. Blakus CVSS vērtējumam apraksts, ko kļūda nozīmē tieši šajā organizācijā: klientu dati, dīkstāve, finansiāls zaudējums.
• Novēršanas secība. Nevis „atjauniniet sistēmu“, bet kura komponente, uz kuru versiju, kurš iestatījums un ar ko sākt.
• Atkārtota pārbaude. Pēc labojumiem konstatējumus apskata vēlreiz un rakstiski fiksē, kuri ir slēgti. Tieši šis dokuments ievainojamību sarakstu pārvērš paveiktā darbā.

Metodoloģiju nosaucam ziņojumā: tīmekļa lietotnes pārbaudām atbilstoši OWASP ASVS un OWASP WSTG, lai tvērumu varētu salīdzināt ar publisku kritēriju sarakstu, nevis ar mūsu vārdu. Kiberdrošības vadītājam ziņojums ir arī sarunas rīks: kad katram konstatējumam blakus stāv finansiāla vai darbības seka, saruna ar vadību no budžeta lūguma pārtop par prioritāšu izvēli.

Kopsavilkums

Ielaušanās testēšana vairs nav piesardzīgo greznība. Uzbrukumi ir lēti un automatizēti, bet regulējums ir kļuvis konkrēts: NKDL un MK noteikumi Nr. 397 nosauc gadījumus, biežumu un prasības testa veicējam, un pēc tiem organizācijai jāspēj parādīt ne tikai pārbaudes fakts, bet arī tas, kas ar konstatējumiem izdarīts tālāk. Regulāri testi aizsargā datus, aizsargā zīmolu un sakārto pierādījumus. Vispirms noskaidrojiet savu sistēmu klases, pēc tam plānojiet testus un tikai pēc tam salīdziniet piedāvājumus.

HAXORIS ir Slovākijā, proti, Eiropas Savienības un NATO dalībvalstī, reģistrēts uzņēmums, un Latvijā tam nav ne biroja, ne pārstāvniecības. NKDL 44. pantā noteikto atbilstības auditu neveicam: to veic neatkarīgs kiberdrošības auditors, kas atbilst likumā un Ministru kabineta noteikumos izvirzītajām prasībām. Piedāvājam tehnisku drošības testēšanu un gatavības novērtēšanu – ielaušanās testēšanu visos iepriekš uzskaitītajos veidos un ielaušanās testēšanu NIS2 un NKDL gatavībai, kad ziņojums vajadzīgs arī kā pierādījums. Ja noderētu otrs skatījums, piesakieties bezmaksas konsultācijai un paņemiet līdzi sistēmu sarakstu: pusstundā parasti kļūst skaidrs, ar ko sākt.

Ielaušanās testēšana – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: tīmekļa lietotņu un IT infrastruktūras ielaušanās testēšana · ielaušanās testēšana NIS2 un NKDL gatavībai