Skillnaden mellan pentest och sårbarhetsskanning

Kort svar: vad är skillnaden?

Skillnaden mellan pentest och sårbarhetsskanning handlar om djup, metod och syfte. En sårbarhetsskanning är automatiserad, snabb och bred. Den identifierar kända säkerhetshål i er miljö utan att aktivt utnyttja dem. Ett penetrationstest är manuellt och djupgående. En certifierad säkerhetsexpert försöker faktiskt ta sig in, kedjar ihop fynd och hittar komplexa sårbarheter som ingen scanner klarar av att hitta på egen hand. Båda har sin plats, men de ersätter inte varandra.

‍

Sårbarhetsskanning — snabb och automatiserad

En sårbarhetsskanning använder automatiserade verktyg för att systematiskt gå igenom er infrastruktur och identifiera kända säkerhetsluckor. Det kan handla om föråldrad mjukvara, felaktiga konfigurationer eller tjänster som exponeras i onödan.

Processen tar timmar, inte dagar, och kan köras löpande utan att störa verksamheten. Många organisationer kör automatiska skanningar månadsvis eller till och med dygnet runt mot externa system.

Styrkan är hastigheten och bredden. En skanning täcker hela attackytan snabbt och ger er en kontinuerlig bild av vad som är sårbart. Begränsningen är att den inte tänker. Den hittar det som redan är känt och katalogiserat. Den försöker inte utnyttja sårbarheter, vilket innebär att den missar logikbrister, kombinerade attacker och allt som kräver manuellt resonemang. “False positives” är vanliga och rapporten kräver alltid manuell tolkning.

Sårbarhetsskanning passar som ett löpande lager av synlighet, inte som ett substitut för djupare testning.

‍

Penetrationstest — manuellt och djupgående

Ett penetrationstest är en kontrollerad, manuell attack mot era system. En certifierad säkerhetsexpert arbetar metodiskt för att ta sig in i er miljö, exakt som en verklig angripare skulle göra, men med tydligt definierat scope och ert godkännande.

Det manuella momentet är det som gör skillnaden. En testare kombinerar fynd, testar logiken i er applikation, eskalerar rättigheter steg för steg och identifierar attackvägar som automatiserade verktyg aldrig hittar. Det kan handla om ett business logic-fel i er checkout-flöde, en AD-konfiguration som möjliggör lateral rörelse, eller en kombination av tre lågrisksårbarheter som tillsammans ger full access.

Resultatet är en rapport med konkreta fynd, risknivåer och åtgärdsförslag. Inte en lista med generiska varningar, utan en faktisk bild av hur er miljö kan attackeras.

Kostnaden är högre. Ett manuellt pentest kostar typiskt 50 000–250 000 kr beroende på scope och testtyp. Det är en punktinsats som ger en ögonblicksbild, inte löpande övervakning. De flesta organisationer kör ett pentest per år, eller inför viktiga milstolpar som lansering, certifiering eller upphandling.

‍

När ska man välja vad?

Det beror på var ni befinner er och vad ni behöver uppnå. Några konkreta scenarier:
‍

• Ni behöver löpande synlighet över er attackyta. Kör sårbarhetsskanning. Nya sårbarheter publiceras dagligen och ni behöver veta när er miljö exponeras.
  ‍

• Ni har regulatoriska krav eller ska certifiera er mot ISO 27001, SOC 2 eller NIS2. Välj penetrationstest. Det ger den dokumenterade, verifierade testning som tillsynsmyndigheter och revisorer förväntar sig.
  ‍

• Ni lanserar en ny produkt eller integrerar ett nytt system. Boka ett penetrationstest inför lansering. Det är det bästa tillfället att hitta problem innan angriparna gör det.
  ‍

• Ni har en begränsad budget. Börja med sårbarhetsskanning för löpande täckning och komplettera med ett pentest en gång per år. Det är bättre totalekonomi än att göra ett pentest vartannat år utan skanning emellan.
  
  Osäker? Testa vår priskalkylator

‍

Kan man kombinera dem?

Ja, och det är den rekommenderade approachen för de flesta organisationer. Sårbarhetsskanning ger er kontinuerlig synlighet och fångar upp nya säkerhetsluckor löpande. Penetrationstestet ger er djupet, den manuella verifieringen och de kedjade fynden som skanningen aldrig kan producera.

Kombinationen ger bästa möjliga total ekonomi och säkerhet. Ni missar inga uppenbara sårbarheter i perioden mellan era pentest, och ni får ändå den djupa analysen som enbart automatisering inte kan leverera. De flesta av Cyloqs kunder som valt det kombinerade upplägget kan också visa upp en tydligare bild för tillsynsmyndigheter och revisorer, vilket förkortar certifieringsprocessen.