Metodologije testiranja
Metodologije testiranja, ki jih uporabljamo
Vsak test opravimo po javno objavljeni metodologiji. Zato je ponovljiv in primerljiv iz leta v leto, njegove rezultate pa lahko zagovarjate pred zunanjim presojevalcem – ne glede na to, kateri tester ga je izvedel.
Spodaj predstavljamo standarde, po katerih delamo, in pojasnjujemo, čemu je vsak od njih zares namenjen.
Metodologije testiranja
Zakaj je metodologija pomembna
Dva testerja, ki isto aplikacijo testirata brez metodologije, bosta pripravila dve različni poročili – in nobeno vam ne bo povedalo, kaj ni bilo preverjeno. Javno objavljen standard vnaprej določi, kaj vse je treba preveriti, zato tudi ugotovitev »tu nismo našli ničesar« nekaj pomeni.
Poročila so tako primerljiva iz leta v leto in med izvajalci – prav to pa od vas zahtevata presojevalec certifikacijskega organa in varnostni vprašalnik vaše stranke.
Standardi, po katerih delamo
OWASP Top 10
Deset najbolj kritičnih kategorij tveganj za spletne aplikacije, posodobljenih leta 2025. Osnova, ki jo pokrije vsak test spletne aplikacije.
OWASP WSTG
Web Security Testing Guide – podroben postopek, ki test za testom vodi skozi temeljito preverjanje spletne aplikacije.
OWASP ASVS
Application Security Verification Standard: merljive zahteve na treh ravneh preverjanja, zato je pokritost številka in ne mnenje.
OWASP MASVS in MASTG
Mobilna ustreznika ASVS in WSTG. Uporabljamo ju pri vsakem testu aplikacij za iOS in Android.
MITRE ATT&CK
Katalog taktik in tehnik napadalcev, na katerega preslikamo dejavnosti red teama, da vidite, katere tehnike so vaše varnostne kontrole dejansko zaznale.
PTES in NIST SP 800-115
Izvedbena standarda, ki opisujeta potek testa od začetka do konca: določitev obsega, zbiranje informacij, izrabo ranljivosti, nadaljnje korake po vdoru in poročanje.
Katera metodologija velja za vaš test
| Če testirate … | Delamo po standardih | Preberite tudi |
|---|---|---|
| Spletno aplikacijo ali vmesnik API | OWASP Top 10:2025, WSTG, ASVS | OWASP · WSTG · ASVS |
| Mobilno aplikacijo | OWASP MASVS in MASTG | Penetracijski testi mobilnih aplikacij |
| Notranje omrežje ali Active Directory | PTES, NIST SP 800-115, MITRE ATT&CK | Wiki: Active Directory (v angleščini) |
| Infrastrukturo v oblaku | CIS Benchmarks, arhitekturne smernice ponudnika oblaka (Well-Architected) | Wiki: ranljivosti v oblaku |
| Integracijo velikih jezikovnih modelov (LLM) ali umetne inteligence (AI) | OWASP Top 10 for LLM Applications | Wiki: LLM Top 10 |
Pogosta vprašanja
01 Katero metodologijo boste uporabili pri našem testu?
Odvisno od tega, kaj testiramo. Spletne aplikacije in vmesnike API testiramo po OWASP Top 10:2025, WSTG in ASVS, mobilne aplikacije po MASVS in MASTG, pri infrastrukturi in red teamingu pa delamo po PTES in NIST SP 800-115 ter ugotovitve preslikamo na MITRE ATT&CK. Metodologijo zapišemo v dokument o obsegu testa, še preden začnemo.
02 Ali lahko testirate po točno določenem standardu, ki ga potrebujemo?
Da. Če je standard določil vaš presojevalec, vaša stranka ali regulator, nam to povejte. Obseg testa bomo izrecno vezali nanj, poročilo pa pripravili po njegovi strukturi.
03 Ali uporabljate avtomatizirane skenerje?
Da, vendar le kot enega od virov, nikoli kot test sam. Skenerji so koristni za pokritost in za iskanje komponent z znanimi ranljivostmi, vendar vsako ugotovitev v poročilu ročno preverimo – izpisa iz skenerja ne posredujemo kot rezultat.
04 Ali bo v poročilu navedeno tudi, česa niste testirali?
Da, izrecno. Poročilo, ki le našteva ugotovitve, o pokritosti ne pove ničesar. V našem so navedeni metodologija, obseg in vse, kar je bilo iz testa izključeno, zato veste, kaj v resnici pomeni, da na nekem mestu ni ugotovitve.
