Testy penetracyjne

Czym są testy penetracyjne?

Testy penetracyjne (pentesty) to kontrolowane symulacje cyberataków przeprowadzane przez certyfikowanych ekspertów bezpieczeństwa w celu identyfikacji podatności w systemach IT, aplikacjach i infrastrukturze sieciowej, zanim zostaną wykorzystane przez prawdziwych atakujących.

Atrybut	Wartość
Metodologia	OWASP WSTG, PTES, NIST SP 800-115
Certyfikacje zespołu	OSCP, CEH, GPEN
Czas realizacji	3-15 dni roboczych
Cena	od 25 000 PLN (stan na 2026)
Deliverable	Raport z PoC, CVSS, rekomendacjami

nFlo przeprowadza testy penetracyjne dla firm w Polsce od 2009 roku. Oferujemy pentesty zewnętrzne, wewnętrzne, aplikacji webowych, mobilnych i infrastruktury cloud.

Wyciek 2 milionów rekordów - historia z życia

E-commerce z branży fashion stracił 2 miliony rekordów klientów (dane osobowe, adresy, historia zamówień). SQL injection w panelu admina - znaleziona przez hakerów w 3 godziny. Firma dowiedziała się o wycieku z dark web po 2 tygodniach. Koszt: kara RODO 850 000 EUR + utrata reputacji.

Bez regularnych testów penetracyjnych:

• Krytyczne podatności pozostają nieznane latami
• Hakerzy znajdują luki szybciej niż Ty (średnio w 15 dni od publikacji CVE)
• Nie spełniasz wymogów PCI DSS, ISO 27001 i NIS2
• Koszty naruszenia: średnio 4.45 mln USD (IBM, 2023)

Kontrolowany atak z konkretnymi dowodami

Nie robimy tylko automatycznego skanu z narzędzia. Nasi pentesterzy (OSCP, CEH) myślą jak atakujący - łączą podatności, testują nietypowe wektory, szukają business logic flaws. Dostajesz proof-of-concept pokazujący dokładnie jak można Cię zaatakować.

Co dostajesz:

• Testy według metodologii OWASP WSTG, PTES lub NIST SP 800-115
• Identyfikację podatności z oceną ryzyka CVSS 3.1
• Proof-of-Concept dla każdej znalezionej podatności
• Priorytetyzację według ryzyka biznesowego (nie tylko technicznego)
• Szczegółowe kroki naprawcze dla zespołu IT
• Raport executive summary dla zarządu
• Opcjonalnie: retest po wdrożeniu poprawek

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Musisz spełnić wymogi compliance (PCI DSS wymaga pentestów co 12 miesięcy)
• Wprowadzasz nową aplikację webową lub API do produkcji
• Przechodzisz na cloud i chcesz sprawdzić bezpieczeństwo konfiguracji
• Podlegasz pod NIS2 i potrzebujesz regularnej oceny bezpieczeństwa
• Chcesz niezależnej weryfikacji pracy zespołu DevSecOps

Rodzaje testów penetracyjnych

Testy zewnętrzne (External Pentest)

Symulacja ataku z internetu na publicznie dostępne zasoby:

• Aplikacje webowe i API
• Serwery VPN i RDP
• Infrastrukturę email (Office 365, Google Workspace)
• Publiczne usługi cloud (S3 buckets, Azure Storage)
• Konfigurację DNS i certyfikatów SSL/TLS

Typowy czas: 3-7 dni roboczych | Cena od: 25 000 PLN

Testy wewnętrzne (Internal Pentest)

Symulacja ataku z pozycji pracownika lub intruza w sieci:

• Lateral movement w Active Directory
• Eskalacja uprawnień (privilege escalation)
• Dostęp do krytycznych systemów i danych
• Segmentacja sieci i efektywność firewalli
• Podatności w aplikacjach wewnętrznych

Typowy czas: 5-10 dni roboczych | Cena od: 35 000 PLN

Testy aplikacji webowych (OWASP Top 10)

Szczegółowa analiza bezpieczeństwa aplikacji webowych:

• Injection (SQL, NoSQL, LDAP, OS command)
• Broken Authentication & Session Management
• XSS (Cross-Site Scripting)
• CSRF (Cross-Site Request Forgery)
• Security Misconfiguration
• Business Logic Flaws

Typowy czas: 5-15 dni (zależnie od złożoności) | Cena od: 30 000 PLN

Testy aplikacji mobilnych

Analiza bezpieczeństwa aplikacji iOS i Android:

• Analiza statyczna (SAST) i dynamiczna (DAST)
• Bezpieczeństwo API backend
• Przechowywanie wrażliwych danych
• Komunikacja sieciowa i certificate pinning
• Reverse engineering i tamper protection

Typowy czas: 7-12 dni roboczych | Cena od: 40 000 PLN

Black Box vs White Box vs Grey Box - Porównanie podejść

Wybór podejścia do testu penetracyjnego zależy od celów, dostępnych informacji i budżetu. Poniższa tabela pomoże wybrać odpowiedni model.

Aspekt	Black Box	Grey Box	White Box
Wiedza testera	Brak informacji o systemie	Częściowa dokumentacja, credentials	Pełny dostęp do kodu źródłowego
Symuluje	Atak zewnętrznego hakera	Atak pracownika lub partnera	Audyt bezpieczeństwa od wewnątrz
Czas realizacji	Dłuższy (więcej recon)	Średni	Krótszy (znana architektura)
Koszt	Średni	Średni	Wyższy (analiza kodu)
Pokrycie	Tylko widoczne podatności	Dobre pokrycie	Najlepsze pokrycie
False positives	Mniej	Średnio	Więcej (wymaga weryfikacji)
Realizm ataku	Najwyższy	Wysoki	Średni
Kiedy stosować	Compliance, pierwsza ocena	Regularne testy, aplikacje webowe	Przed premierą, krytyczne systemy

Który model wybrać?

Black Box - gdy chcesz zobaczyć co widzi prawdziwy atakujący z internetu. Idealne dla pierwszej oceny bezpieczeństwa lub wymogów compliance (PCI DSS).

Grey Box - najczęściej wybierany model. Balans między realizmem a efektywnością. Pentester dostaje np. konto użytkownika i dokumentację API, co pozwala szybciej dotrzeć do podatności biznesowych.

White Box - gdy liczy się maksymalne pokrycie. Pentester analizuje kod źródłowy i architekturę. Najdroższy, ale znajduje podatności niedostępne w innych modelach (np. hardcoded credentials, logic flaws).

Rekomendacja nFlo: Dla większości firm najlepszy stosunek jakości do ceny oferuje Grey Box. Black Box stosujemy przy pierwszej współpracy lub dla compliance, White Box dla systemów krytycznych (bankowość, healthcare).