Cyberbezpieczeństwo · Pentest
Testy penetracyjne — sprawdzamy, którędy weszłby atakujący
Lepiej, żeby lukę znalazł nasz tester niż grupa ransomware.
Test penetracyjny to kontrolowany atak na infrastrukturę placówki, prowadzony za Twoją zgodą i według uzgodnionych zasad. Nie kończy się listą teoretycznych podatności — pokazujemy, które luki da się realnie wykorzystać, co atakujący by z nimi osiągnął i co naprawić w pierwszej kolejności.
Aktualizacja: · Opracowanie: zespół ITdlaLekarzy
Rodzaje testów
Co możemy przetestować?
Zakres dobieramy do ryzyka placówki. Najczęściej zaczynamy od tego, co widać z internetu.
Infrastruktura zewnętrzna
Wszystko, co widać z internetu: VPN, RDP, poczta, strona, panele administracyjne, otwarte porty.Sieć wewnętrzna
Scenariusz „atakujący już jest w środku”: segmentacja, ruch boczny, uprawnienia, Active Directory.Sieci Wi-Fi
Sieć dla pacjentów i dla personelu: izolacja, szyfrowanie, możliwość przejścia do sieci wewnętrznej.Aplikacje web i mobilne
Portal pacjenta, rejestracja online, aplikacje i API — według OWASP Top 10 i OWASP WSTG.Serwery i systemy
Konfiguracja serwerów, aktualizacje, usługi, kopie zapasowe, dostęp do HIS i PACS.Konta i tożsamość
Siła haseł, MFA, konta uprzywilejowane, konta serwisowe dostawców, Microsoft 365.Socjotechnika
Kontrolowane kampanie phishingowe i telefoniczne — sprawdzamy reakcję personelu, nie szukamy winnych.Dostęp fizyczny
Na życzenie: czy da się wejść do serwerowni, podłączyć do gniazda sieciowego lub zostawić „zgubiony” pendrive.
Warianty
Black box, grey box czy white box?
| Wariant | Co wie tester | Kiedy wybrać |
|---|---|---|
| Black box | Tylko nazwę placówki lub adresy — jak zewnętrzny atakujący | Gdy chcesz zobaczyć, co osiągnie ktoś bez żadnej wiedzy |
| Grey box | Część informacji, np. konto zwykłego pracownika | Najczęstszy wybór — realistyczny i efektywny kosztowo |
| White box | Pełną dokumentację, konfiguracje, dostęp administracyjny | Gdy celem jest jak najpełniejsza lista luk, np. przed audytem |
Przebieg
Jak przebiega test penetracyjny?
Krok 1: Zakres i zasady
Umowa, lista celów, wykluczenia, okna czasowe, osoby kontaktowe i procedura zatrzymania testu.Krok 2: Rozpoznanie
Zbieranie informacji o celach: adresy, usługi, wersje oprogramowania, konta, ludzie.Krok 3: Wyszukiwanie podatności
Skanowanie i analiza ręczna — automat znajduje kandydatów, tester potwierdza, co jest realne.Krok 4: Kontrolowana eksploatacja
Bezpieczne potwierdzenie, że luka daje dostęp, bez niszczenia danych i bez wpływu na pracę placówki.Krok 5: Raport
Podsumowanie dla zarządu, szczegóły techniczne, ocena CVSS, dowody i rekomendacje naprawcze w kolejności priorytetów.Krok 6: Naprawa i retest
Pomagamy usunąć luki, a potem sprawdzamy ponownie, czy poprawki działają.
Przykładowa wycena
Audyt konsultacyjny bezpieczeństwa — przykład dla kliniki
Gdy pełny test penetracyjny to na start za dużo, dobrym pierwszym krokiem jest audyt konsultacyjny: analiza architektury i konfiguracji środowiska oraz podstawowe testy bezpieczeństwa. Wskazuje słabości, błędy konfiguracyjne i obszary do poprawy.
Przykładowe środowisko: klinika z 27 komputerami, 8 drukarkami, 2 serwerami (Proxmox, Active Directory), Wi-Fi na Ubiquiti, systemem audio, telewizją sieciową, VPN i urządzeniami RTG/TK. Zakres audytu: do 30 stacji końcowych, do 10 urządzeń drukujących, do 4 serwerów fizycznych, środowisko Proxmox z maszynami wirtualnymi (system operacyjny i uruchomione aplikacje), infrastruktura sieciowa i Wi-Fi, systemy audio i IPTV oraz zdalny dostęp przez VPN.
Analizujemy konfigurację pod kątem bezpieczeństwa, poprawności mechanizmów ochronnych, segmentacji i kontroli dostępu, sposobu zarządzania środowiskiem i zgodności z dobrymi praktykami.
Etap 1 — zapoznanie z infrastrukturą. Seria spotkań konsultacyjnych: topologia, role systemów, mechanizmy bezpieczeństwa, sposób zarządzania, dostęp lokalny i zdalny, zależności między komponentami i obszary do szczegółowej weryfikacji.
Etap 2 — analiza konfiguracji i podstawowe testy. W środowisku klienta uruchamiana jest wirtualna stacja przesiadkowa, przez którą zespół audytujący prowadzi zdalnie rekonesans infrastruktury i podstawowe testy: identyfikację systemów i usług, weryfikację konfiguracji, wykrycie podstawowych podatności i błędów. Efekt: najważniejsze obserwacje i rekomendacje ograniczające ryzyko.
Medycyna
Testy bezpieczne dla placówki medycznej
Urządzenia diagnostyczne, systemy HIS i PACS nie mogą przestać działać w trakcie przyjęć. Dlatego urządzenia medyczne domyślnie wyłączamy z aktywnych testów albo testujemy je wyłącznie w uzgodnionym oknie serwisowym, a techniki mogące zakłócić pracę (np. testy obciążeniowe) stosujemy tylko na wyraźne życzenie.
W trakcie testu działa kanał natychmiastowego kontaktu: jeśli cokolwiek budzi niepokój, test zatrzymujemy. Krytyczne podatności zgłaszamy od razu, nie czekając na raport końcowy.
- Pisemna zgoda i umowa przed startem
- Lista wykluczeń i okna testowe
- Brak niszczenia i wynoszenia danych pacjentów
- Natychmiastowe zgłoszenie luk krytycznych
- Poufność wyników i raportu
Sprawdźmy, którędy dałoby się wejść
Opowiedz nam o placówce i tym, co chcesz sprawdzić. Zaproponujemy zakres, wariant testu i termin, który nie zakłóci przyjęć.