Než si objednáte penetrační test, narazíte na tři pojmy: black box, grey box a white box. Neznamenají barvu ani značku. Říkají, kolik informací dostane testér na začátku. A právě to rozhoduje, co test najde, jak dlouho trvá a kolik stojí.
Black box: útočník zvenku
Testér nemá nic než jméno cíle. Žádné účty, žádnou dokumentaci. Chová se jako skutečný útočník, který o vás na začátku neví víc než kdokoli z internetu. Výhoda: nejrealističtější simulace vnějšího útoku. Nevýhoda: je pomalejší a některé hlubší chyby nemusí ve vymezeném čase najít, protože se k nim nedostane.
Grey box: útočník s jedním účtem
Nejčastější volba. Testér dostane běžný uživatelský účet a základní informace o systému. Simuluje útočníka, který už získal přístup jednoho zaměstnance, třeba přes phishing. Dobrý poměr mezi hloubkou a cenou. Za stejný čas najde víc než black box, protože neztrácí čas hledáním vstupu.
White box: testér vidí dovnitř
Testér má přístup ke zdrojovému kódu, dokumentaci a konfiguraci. Vidí do vnitřku a najde nejvíc, včetně chyb, které by zvenku nikdo neodhalil. Vhodné pro kritické aplikace, kde chcete maximum jistoty. Je to nejpracnější, a tedy nejdražší varianta.
Který zvolit
Záleží na cíli. Chcete vědět, jak vypadá reálný útok zvenku? Black nebo grey box. Chcete co nejúplnější prověření kritické aplikace? White box. V praxi bývá nejrozumnější grey box: realistický a přitom dost hluboký. Pořadí a typ ovlivňují i cenu testu, takže se vyplatí probrat cíl předem.
Co si z toho odnést
Black, grey a white box se liší tím, kolik toho testér ví předem. Víc informací znamená hlubší test, ale i vyšší cenu. Pro většinu firem je grey box nejlepší kompromis. Jak celý test probíhá, popisujeme v článku o průběhu penetračního testu.
Nevíte, který typ potřebujete? Rezervujte si nezávaznou konzultaci a doporučíme rozsah i typ podle vaší situace.
