Bezpieczeństwo systemów i danych

Testy penetracyjne aplikacji i infrastruktury IT

Sprawdzamy, czy podatności można wykorzystać do uzyskania nieuprawnionego dostępu do systemów i danych. Otrzymujesz ocenę ryzyka, priorytety napraw oraz konkretne zalecenia.

Omów zakres testów Co możemy sprawdzić?

Zapytanie o projekt

Zacznijmy rozmowę

Opisz środowisko, które chcesz sprawdzić. Uzgodnimy zakres testów, zasady pracy i indywidualną wycenę.

Na czym polega usługa?

Czym są testy penetracyjne?

Testy penetracyjne, nazywane również pentestem, to kontrolowana próba sprawdzenia, czy słabości aplikacji i infrastruktury pozwalają przekroczyć granice dostępu. Łączymy automatyczne wyszukiwanie potencjalnych problemów z ręczną weryfikacją oraz analizą powiązań między systemami.

Usługa pomaga firmom, które chcą ocenić ryzyko dostępu do danych klientów, systemów wewnętrznych lub środowisk chmurowych. Testy penetracyjne aplikacji mogą np. sprawdzić, czy klient sklepu odczyta cudze zamówienie. W sieci firmowej sprawdzamy, czy dostęp gościa może prowadzić do zasobów wewnętrznych.

Rezultatem są zweryfikowane scenariusze ryzyka, priorytety napraw i plan działań, uzupełnione ponowną weryfikacją po wdrożeniu poprawek.

Obiekty badania

Co możemy objąć testami?

Systemy, komponenty i głębokość sprawdzenia ustalamy w umowie. Zakres dobieramy do celu badania oraz powiązań w Twoim środowisku.

Aplikacje webowe

Testy penetracyjne aplikacji webowych obejmują uzgodnione strony, logowanie, przesyłanie plików, role i kontrolę dostępu — także w Odoo i sklepach internetowych. Sprawdzamy m.in. XSS, SQL injection i CSRF: błędy umożliwiające wykonanie niepożądanego kodu, ingerencję w zapytania lub wymuszenie działania użytkownika.

REST i GraphQL API

Testy penetracyjne API sprawdzają uwierzytelnianie oraz uprawnienia do danych i operacji. Weryfikujemy, czy użytkownik może odczytać cudzy rekord lub wykonać działanie poza swoją rolą, nawet jeśli interfejs aplikacji mu go nie pokazuje.

Windows i Active Directory

Testy penetracyjne sieci wewnętrznych obejmują dostępne usługi, konfigurację Windows i Active Directory oraz możliwości podniesienia uprawnień. Sprawdzamy uzgodnione ścieżki dostępu do zasobów, które powinny pozostawać chronione.

Sieci Wi-Fi

Sprawdzamy szyfrowanie, uwierzytelnianie, izolację urządzeń oraz oddzielenie sieci gościnnej od wewnętrznej. Weryfikujemy, czy dostęp do Wi-Fi może otworzyć drogę do serwerów i danych poza uprawnieniami użytkownika.

Chmura AWS i Azure

Analizujemy uprawnienia IAM, publicznie dostępne zasoby, magazyny danych, sekrety i reguły sieciowe. Oprócz konfiguracji sprawdzamy możliwe ścieżki nieuprawnionego dostępu, wyłącznie w granicach uzgodnionego badania.

Kontenery i CI/CD w chmurze

W uzgodnionym zakresie AWS i Azure uwzględniamy kontenery i procesy budowania oraz wdrażania oprogramowania. Sprawdzamy, czy powiązania środowisk i dostępne uprawnienia mogą umożliwić przejście z obszaru testowego do produkcyjnego.

Od umowy do retestu

Jak przebiegają testy penetracyjne?

Umowa, cele i granice testów
Testy penetracyjne prowadzimy wyłącznie na podstawie zawartej umowy. Przed rozpoczęciem prac ustalamy cel, zakres i zasady testowania: wskazujemy systemy objęte badaniem, dozwolone działania, ograniczenia oraz potrzebne dostępy.
Rozpoznanie i wyszukiwanie podatności
Rozpoznajemy dostępne usługi, punkty wejścia, role użytkowników i powiązania między systemami. Narzędzia automatyczne pomagają wskazać potencjalne podatności, które następnie weryfikujemy ręcznie.
Kontrolowana weryfikacja ryzyka
W kontrolowany sposób sprawdzamy, czy wykrytą podatność można rzeczywiście wykorzystać. Zbieramy dowody niezbędne do potwierdzenia ryzyka, przestrzegając ograniczeń określonych w umowie i unikając działań destrukcyjnych.
Raport i zalecenia
Otrzymujesz raport opisujący wykryte podatności, systemy objęte problemem, dowody jego występowania, możliwe konsekwencje oraz priorytety napraw. Zalecenia wskazują, co należy zmienić w konfiguracji, kontroli dostępu lub procesach.
Retest po poprawkach
Po wdrożeniu poprawek ponownie sprawdzamy wcześniej wykryte podatności, aby potwierdzić, czy zostały skutecznie usunięte.

Powiązania i uprawnienia

Sprawdzamy również ryzyka na styku systemów

Pojedyncza nieprawidłowość nie zawsze pokazuje pełną skalę ryzyka. Dlatego analizujemy również powiązania między aplikacjami, kontami i usługami. Kilka pozornie drobnych błędów może razem umożliwić dostęp do danych, które powinny być chronione.

Przykładowo: problem w portalu klienta może otworzyć drogę do konta o ograniczonych uprawnieniach, a błędna konfiguracja tego konta — do wewnętrznego API i poufnych informacji. To typowy scenariusz ilustrujący ryzyko, a nie opis konkretnego projektu klienta.

Przykładowe scenariusze testowe

Czy jeden klient może uzyskać dostęp do zamówienia innego klienta?
Czy API sprawdza prawa użytkownika do żądanego obiektu?
Czy urządzenie w gościnnej sieci Wi-Fi może połączyć się z wewnętrznymi serwerami?
Czy dostęp programisty do środowiska testowego pozwala wpłynąć na produkcję?
Czy kilka drobnych błędów w różnych systemach tworzy drogę do poufnych danych?

Decyzje po badaniu

Co zyskujesz dzięki testom penetracyjnym?

Wyniki testów pomagają podejmować konkretne decyzje: co naprawić najpierw, gdzie skierować pracę zespołu i które zabezpieczenia wymagają zmiany. Otrzymujesz zrozumiałe scenariusze ryzyka oraz plan działań oparty na zweryfikowanych ustaleniach.

Rzeczywisty obraz ryzyka. Rozumiesz możliwe konsekwencje zweryfikowanych podatności dla systemów, danych i procesów firmy.
Priorytety napraw. Zespół wie, które problemy wymagają pilnej reakcji, a które można uwzględnić w dalszym planie prac.
Lepsze wykorzystanie zasobów. Kierujesz budżet i czas zespołu na ryzyka o największym znaczeniu dla działalności.
Praktyczne zalecenia. Raport pomaga zaplanować konkretne zmiany w konfiguracji, uprawnieniach i procesach.
Weryfikacja poprawek. Retest pokazuje, czy wcześniej wykryte problemy zostały skutecznie usunięte.

Omów cel badania i najważniejsze systemy

Większe środowiska

Jak testujemy środowiska z wieloma usługami?

Przy kilkudziesięciu usługach zakres i głębokość testów ustalamy według ryzyka. Najpierw rozpoznajemy środowisko i potencjalne punkty wejścia, a następnie skupiamy ręczne testy na krytycznych systemach oraz połączeniach między nimi.

Inwentaryzacja. Rozpoznajemy systemy, usługi oraz zależności między nimi.
Podział środowiska. Wyodrębniamy zewnętrzną powierzchnię dostępu, systemy krytyczne i segmenty wewnętrzne.
Analiza automatyczna. Sprawdzamy szeroki zakres potencjalnych punktów wejścia w granicach uzgodnionego badania.
Priorytety według ryzyka. Wybieramy obszary do pogłębionej analizy na podstawie ich znaczenia i potencjalnych konsekwencji.
Pogłębione testy ręczne. Weryfikujemy wybrane obiekty oraz połączenia, które mogą tworzyć ścieżkę dostępu do danych.
Poprawki i retest. Po wdrożeniu zmian ponownie sprawdzamy wcześniej potwierdzone podatności.

W większych środowiskach można zaplanować cykl badań obejmujący kolejne grupy usług, z ponowną weryfikacją najważniejszych systemów po istotnych zmianach. Częstotliwość oraz liczbę usług w każdym cyklu ustalamy indywidualnie.

Podejście ERPixel

Nasze podejście do testów penetracyjnych

Ręczna weryfikacja pozwala oddzielić potencjalny problem od potwierdzonej możliwości wykorzystania podatności. Zbieramy minimalne dowody potrzebne do oceny ryzyka i sprawdzamy relacje między systemami. Zalecenia porządkujemy według znaczenia dla biznesu, a po poprawkach weryfikujemy ich skuteczność.

Zachowujemy poufność informacji o klientach, ich infrastrukturze oraz wynikach testów. Nasz sposób pracy przedstawiamy poprzez typowe scenariusze, bez ujawniania danych pozwalających zidentyfikować klienta lub jego środowisko.

Zakres i wycena

Od czego zależy cena testów penetracyjnych?

Cena testów penetracyjnych zależy przede wszystkim od liczby adresów IP objętych badaniem oraz złożoności testów i prób uzyskania dostępu.

Dla prostego testu stosujemy stałą stawkę za jeden adres IP. Stanowi ona podstawę wstępnego obliczenia kosztu takiego zakresu. Ostateczną cenę ustalamy indywidualnie z klientem, uwzględniając specyfikę środowiska i uzgodnione warunki pracy.

Zakres, szczegóły realizacji i wynagrodzenie uzgadniamy przed rozpoczęciem testów.

Co przygotować do pierwszej rozmowy?

Liczbę adresów IP, które mają zostać objęte testem.
Typy systemów: aplikacje, API, sieci lub zasoby chmurowe.
Cel badania i najważniejsze obszary ryzyka.

Zapytaj o wycenę testów

Dalsze prace

Rozwój systemów po analizie zaleceń

Jeśli wyniki wskazują potrzebę zmian w aplikacjach lub integracjach, zakres ich realizacji można omówić osobno.

Integracja systemów

Jeśli zalecenia dotyczą wymiany danych, omów zakres zmian w interfejsach i połączeniach aplikacji.

Poznaj usługę integracji

Dostosowanie Odoo

Zmiany w rolach, uprawnieniach lub logice własnych modułów Odoo można omówić jako osobny zakres rozwoju.

Poznaj rozwój Odoo

Wsparcie Odoo

Dla działającego Odoo ustal zakres dalszej pomocy i utrzymania po zakończeniu uzgodnionych testów.

Poznaj wsparcie Odoo

Pytania przed rozpoczęciem

Testy penetracyjne — najczęstsze pytania

Co jest potrzebne, aby rozpocząć testy?

Podstawą jest zawarta umowa, uzgodniony zakres, zasady prowadzenia prac oraz niezbędne dostępy. Przed rozpoczęciem wskazujemy systemy objęte testem, dozwolone działania i ograniczenia.

Czy testy obejmują tylko automatyczne skanowanie?

Nie. Łączymy automatyczne wyszukiwanie potencjalnych podatności z ręczną weryfikacją i analizą powiązań między systemami. Sprawdzamy również, czy kilka błędów może utworzyć wspólną ścieżkę dostępu do chronionych danych.

Czy można przetestować aplikację, API i sieć wewnętrzną?

Tak. Zakres może obejmować aplikacje webowe, REST i GraphQL API, sieci Windows i Active Directory, Wi-Fi oraz AWS i Azure. Obiekty i głębokość sprawdzenia ustalamy przed rozpoczęciem prac.

Co otrzymamy po zakończeniu testów?

Raport z potwierdzonymi ustaleniami, dowodami, oceną ryzyka, priorytetami napraw i praktycznymi zaleceniami. Opisujemy systemy objęte problemem oraz możliwe konsekwencje dla firmy.

Czy po poprawkach przeprowadzany jest retest?

Tak. Po wdrożeniu poprawek ponownie sprawdzamy wcześniej wykryte podatności, aby potwierdzić skuteczność ich usunięcia.

Jak ustalana jest cena?

Cena zależy przede wszystkim od liczby adresów IP i złożoności prac. Dla prostego testu stosujemy stałą stawkę za IP. Ostateczną cenę, zakres i warunki realizacji uzgadniamy indywidualnie przed rozpoczęciem testów.

Czy informacje o naszej firmie pozostaną poufne?

Tak. Zachowujemy poufność informacji o kliencie, jego infrastrukturze oraz wynikach testów. Sposób pracy przedstawiamy poprzez typowe scenariusze bez danych pozwalających zidentyfikować klienta lub jego środowisko.

Poznaj rzeczywiste ryzyko w swoich systemach

Opisz środowisko, liczbę adresów IP i cel badania. Uzgodnimy zakres testów, zasady pracy oraz indywidualną wycenę.

Porozmawiajmy o testach penetracyjnych