Pregled ranljivosti ali penetracijski test: v čem je razlika?

Tri ponudbe, tri imena, trije zneski. Prva obljublja skeniranje ranljivosti, druga sistemski varnostni pregled, tretja penetracijski test – opisi so si podobni, razlika v ceni pa je lahko večkratna. Kdor jih primerja samo po znesku, primerja storitve, ki odgovarjajo na različna vprašanja: pregled ranljivosti pove, kaj je ranljivo, penetracijski test pa, kaj od tega napadalec res izkoristi.

Pet izrazov, ki jih srečate v ponudbah

Izrazi se na trgu prekrivajo, zato jih najprej razmejimo.

Skeniranje ranljivosti

Skeniranje ranljivosti (tudi varnostni sken ali avtomatizirano skeniranje) je samodejen postopek. Orodje ugotovi, kateri sistemi se odzivajo ter katere storitve in različice programske opreme na njih tečejo, nato pa to primerja z zbirko znanih ranljivosti, označenih s številkami CVE. Rezultat je seznam zadetkov z oceno resnosti po lestvici CVSS. Zadetkov pri tem nihče ne preveri.

Pregled ranljivosti

Pregled ranljivosti uporabi skeniranje kot prvi korak. Nato strokovnjak zadetke ročno preveri, izloči lažno pozitivne, oceni, kaj posamezna ranljivost pomeni v vašem okolju, in ugotovitve razvrsti po prioriteti. Cilj je širina: čim popolnejši zemljevid slabosti, ne dokaz, kako daleč bi napadalec prišel. To storitev pri Haxorisu izvajamo kot pregled ranljivosti; nekateri jo poznajo tudi kot oceno ranljivosti informacijskih sistemov.

Sistemski varnostni pregled

Sistemski varnostni pregled je ime, pod katerim številni slovenski ponudniki prodajajo širok pregled informacijskega okolja: omrežja, strežnikov, delovnih postaj, nastavitev in pogosto tudi postopkov. Enotne opredelitve nima. Pri enem ponudniku je to predvsem skeniranje z orodji in razlaga rezultatov, pri drugem večdnevno ročno delo z dostopom do konfiguracij in dokumentacije. Vsebino zato razberete iz ponudbe, ne iz imena. Širok pregled nastavitev, postopkov in kontrol pri nas nosi ime varnostni pregled informacijskega sistema.

Penetracijski test (vdorni test)

Penetracijski test (tudi vdorni test ali pentest) je ročno delo etičnih hekerjev v vnaprej dogovorjenem obsegu. Tester ranljivosti ne le poišče, temveč jih varno izkoristi, poveže v verigo in pokaže, do katerih podatkov ali sistemov bi napadalec prišel. Osnove razlagamo v članku kaj je penetracijski test.

Red teaming

Red teaming je simulacija resničnega kibernetskega napada na organizacijo kot celoto – na tehnologijo, postopke in ljudi. Rezultat ni seznam ranljivosti, temveč odgovor na vprašanje, ali bi vaša ekipa ciljan napad zaznala in ustavila.

Primerjava v eni preglednici

Preden ponudbe primerjate po ceni, v vsaki poiščite štiri podatke: obseg, metodo (orodje, ročno preverjanje, izraba ranljivosti), obliko poročila in to, ali je vključen ponovni test.

Kaj skener najde in kaj spregleda

Pri širini je orodje nenadomestljivo: celotno omrežje pregleda v času, v katerem bi človek pregledal nekaj strežnikov. Tudi naš pregled ranljivosti se zato opira na orodja, kot so Nessus, OpenVAS in Nuclei.

Kaj najde zanesljivo

Skener zanesljivo zazna vse, kar pusti jasen tehnični odtis:

• programska oprema brez varnostnih popravkov, za katero so ranljivosti že javno znane (CVE)
• storitve, ki ne bi smele biti dosegljive z interneta: oddaljeno namizje, zbirke podatkov, skrbniške konzole
• šibke nastavitve: privzeti računi, anonimni dostop, zastareli protokoli
• pomanjkljivo šifriranje: potekla ali samopodpisana potrdila, stare različice protokola TLS
• sistemi, za katere niste vedeli, da jih imate, na primer pozabljeni testni strežniki

Česa ne more najti

Skener pozna tehnologijo, ne pozna pa vašega poslovanja. Ne ve, kdo sme videti kateri podatek in kateri koraki si morajo slediti, zato treh vrst napak ne zazna:

• Napake v avtorizaciji. Uporabnik z osnovnimi pravicami neposredno pokliče vmesnik API in prenese dokumente drugega naročnika. Strežnik odgovori brez napake, zato orodje nima razloga za alarm.
• Napake v poslovni logiki. Naročilo, ki ga je mogoče potrditi brez plačila. Vračilo, ki ga je mogoče zahtevati dvakrat. Omejitev, ki jo zaobide več hkratnih zahtevkov.
• Verige ranljivosti. Javno dostopna varnostna kopija nastavitev, v njej geslo storitvenega računa, ta račun pa ima v notranjem omrežju preširoke pravice. V poročilu skenerja so to kvečjemu tri ločene postavke nizke ali srednje resnosti; da skupaj odprejo pot do podatkov strank, pokaže šele človek, ki jih poveže.

Prav te vrste napak so jedro ročnega testiranja po metodologijah OWASP.

Lažno pozitivni rezultati in od kod prihajajo

Večina zadetkov nastane s primerjavo: orodje prebere, katero različico programske opreme sistem javlja, in v zbirki poišče ranljivosti te različice. Ali je ranljivost pri vas res mogoče izkoristiti, pri tem ne preizkusi. Lažno pozitivni rezultati imajo zato štiri običajne vzroke:

• Napačno prepoznan sistem. Posredniški strežnik ali spremenjen odzivni niz orodje napelje na napačno različico.
• Popravek brez nove številke. Številne distribucije Linuxa varnostne popravke prenašajo v starejše različice paketov (backporting): napaka je odpravljena, oznaka različice pa ostane enaka.
• Ranljivost, vezana na nastavitev. Napaka obstaja le, če je vklopljena določena funkcija ali modul – pri vas pa ni.
• Komponenta, ki se ne uporablja. Ranljiva knjižnica je nameščena, vendar aplikacija njenega ranljivega dela nikoli ne izvede.

Poročilo skenerja je zato seznam sumov, ne dejstev. Nepreverjen seznam ima svojo ceno: skrbniki odpravljajo napake, ki jih ni, resnične pa čakajo nekje med njimi. Enako velja za oceno CVSS, ki pove, kako resna je ranljivost sama po sebi, ne pa, kaj pomeni pri vas: kritična ranljivost na strežniku brez povezave z internetom lahko počaka dlje kot srednje resna ranljivost v spletni trgovini s podatki strank.

Kdaj zadošča pregled in kdaj potrebujete penetracijski test

Pregled ranljivosti zadošča, kadar:

• želite redno sliko stanja široke infrastrukture – omrežja, strežnikov, delovnih postaj, okolja v oblaku
• preverjate, ali so popravki nameščeni in ali se je od zadnjega testa pojavilo kaj novega
• potrebujete po prioritetah urejen seznam za načrt odprave

Penetracijski test potrebujete, kadar:

• uvajate novo aplikacijo ali večjo spremembo, na primer nov način prijave ali selitev v oblak
• ima aplikacija uporabniške vloge in lastno poslovno logiko ali obdeluje osebne in plačilne podatke
• naročnik, partner ali standard zahteva dokaz, da je bil sistem preizkušen z vidika napadalca – standard PCI DSS na primer zahteva redne zunanje in notranje penetracijske teste okolja s podatki o imetnikih kartic
• želite vedeti, kaj ugotovitve pregleda pomenijo v praksi

Kako pogosto izvajati pregled in test

Avtomatizirano skeniranje zahteva malo ročnega dela, zato naj teče stalno. Pregled ranljivosti priporočamo redno – najbolje četrtletno – in po vsaki večji spremembi infrastrukture. Penetracijski test je smiseln redkeje: enkrat letno in po večjih spremembah. Nove ranljivosti se objavljajo vsak dan, zato je vsako poročilo posnetek stanja na določen dan, ne trajna ocena.

Kaj prejmete po pregledu in po testu

Po pregledu ranljivosti prejmete poročilo, v katerem je vsaka ranljivost ocenjena po resnosti (CVSS) in opremljena s prednostno razvrščenimi koraki za odpravo, tako da vaša ekipa ve, kaj popraviti najprej. Pregled običajno traja 2 do 5 dni; natančno oceno pripravimo po uvodnem posvetu.

Po penetracijskem testu prejmete povzetek za vodstvo in tehnično poročilo z dokazi, ocenami tveganja in priporočili za odpravo, po odpravi ranljivosti pa brezplačen ponovni test. Običajen projekt obsega 5 do 15 delovnih dni in traja 1 do 3 tedne od začetka testiranja do oddaje poročila. Osnovni test spletne aplikacije stane od približno 2.000 € naprej; večja omrežja, okolja v oblaku in kompleksni sistemi stanejo več. Po kratkem uvodnem pogovoru pripravimo fiksno, nezavezujočo ponudbo. Kaj vse vpliva na ceno, razlagamo v članku koliko stane penetracijski test.

Kako oboje združiti v enem letu

Pregled in test se dopolnjujeta. Preglede si predstavljajte kot redne servise, penetracijski test pa kot preizkus trčenja: prvi skrbijo, da se drobne napake ne kopičijo, drugi pokaže, kaj se zgodi, ko gre zares. Primer letnega načrta za srednje veliko organizacijo:

1. Vse leto: avtomatizirano skeniranje sistemov, dostopnih z interneta.
2. Vsako četrtletje: pregled ranljivosti. Strokovnjak preveri nove zadetke, izloči lažno pozitivne in posodobi seznam prioritet.
3. Enkrat letno: penetracijski test ključnih aplikacij in zunanjega oboda omrežja, po odpravi ranljivosti pa ponovni test.
4. Ob večji spremembi: dodaten pregled ali test spremenjenega dela.
5. Ob koncu leta: pregled dokazil. Poročila o pregledih, testih in ponovnem testu shranite kot dokaz, da ukrepe redno preverjate.

Kaj o pregledih in testih pravijo predpisi

Zakon o informacijski varnosti (ZInfV-1) ne imenuje ne skeniranja ranljivosti ne penetracijskega oziroma vdornega testa (stanje na dan 12. novembra 2026). Med varnostnimi ukrepi pa v 13. točki drugega odstavka 22. člena navaja »upravljanje in preprečevanje izrab tehničnih ranljivosti«. Peti odstavek istega člena bistvenim in pomembnim subjektom nalaga, da izpolnjevanje varnostnih ukrepov preverjajo najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v svoji politiki, ter ob zaznanih ranljivostih. Kako to preverjajo in kdo preverjanje izvede, zakon ne predpisuje. Pregled ranljivosti in penetracijski test sta uveljavljena načina, kako to preverjanje izvesti in dokumentirati.

Za ponudnike, ki jih zavezuje Izvedbena uredba (EU) 2024/2690 – med drugim ponudnike storitev računalništva v oblaku, podatkovnih centrov, upravljanih storitev in spletnih tržnic –, velja točka 6.5 »Varnostno testiranje«: potrebo, obseg, pogostost in vrsto varnostnih testov določijo na podlagi ocene tveganja. Penetracijski testi so v uredbi omenjeni le kot primer, v uvodni izjavi 15. Splošna uredba o varstvu podatkov (GDPR) v točki (d) prvega odstavka 32. člena med ukrepi za varnost obdelave navaja postopek rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov; penetracijskega testa ne imenuje.

Nič od naštetega ni revizija skladnosti. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Poročilo o pregledu ali testu je tehnični dokaz, ki ga zavezanec in njegov revizor lahko uporabita. Več v člankih ali je penetracijski test obvezen po ZInfV-1 in kako se pripraviti na revizijo skladnosti po ZInfV-1.

Pregled ranljivosti in penetracijski test – pogosta vprašanja

Povezane storitve: pregled ranljivosti sistemov in aplikacij · penetracijski testi spletnih aplikacij in infrastrukture · varnostni pregled informacijskega sistema