Înainte de orice test de penetrare stabilim, împreună cu clientul, cât context primește echipa de testare: ce informații, ce conturi și ce nivel de acces. În funcție de această alegere, testarea poate fi Black Box, Grey Box sau White Box. Fiecare abordare răspunde unei alte întrebări.
Black Box: perspectiva unui atacator extern
Testarea se realizează fără informații interne despre sistemele evaluate. Simulăm perspectiva unei persoane care încearcă să obțină acces fără cunoștințe prealabile despre infrastructură. Această abordare arată cât de expuse sunt sistemele din exterior și este potrivită mai ales pentru aplicațiile și serviciile accesibile public.
Grey Box: echilibrul dintre realism și eficiență
Testarea se realizează pe baza unor informații sau niveluri de acces parțiale, stabilite în funcție de obiectivele evaluării. De exemplu, echipa primește conturi pentru rolurile relevante dintr-o aplicație. Abordarea combină perspectiva unui atacator extern cu informațiile disponibile, pentru o analiză mai eficientă și mai detaliată a anumitor componente.
Pentru aplicațiile web și mobile recomandăm, acolo unde este posibil, cel puțin două conturi cu același nivel de drepturi, astfel încât să putem verifica și scenariile de acces între utilizatori.
White Box: analiza în profunzime
Testarea se realizează cu acces extins la informațiile și componentele relevante ale sistemului, precum documentație tehnică, configurații sau cod. Acest nivel de acces permite o analiză aprofundată și identificarea unor vulnerabilități care nu sunt întotdeauna vizibile din perspectiva unui atacator extern.
Cum alegi
- Alege Black Box dacă vrei să vezi ce poate face cineva din afară, fără niciun avantaj.
- Alege Grey Box dacă vrei o acoperire bună a funcționalităților și a rolurilor, într-un timp rezonabil.
- Alege White Box pentru sisteme critice, unde vrei cea mai detaliată imagine asupra riscurilor.
Indiferent de abordare, testarea se desfășoară în limitele stabilite prin regulile de angajament: intervalele orare permise, sistemele sensibile și activitățile care nu pot fi executate fără aprobare. Testele care pot afecta disponibilitatea sunt excluse în mod implicit și se fac doar la cererea expresă a clientului, în condiții controlate. Beneficiarul decide nivelul de acces și informațiile pe care le pune la dispoziție, iar noi te ajutăm să alegi varianta potrivită obiectivelor tale.
