penetrasjonstesting

Penetrasjonstesting er en metodikk for sikkerhetstesting der et system eller et nettverk med tillatelse blir utsatt for dataangrep.

Hensikten er å avdekke sårbarheter ved hjelp av de samme fremgangsmåtene og teknikkene som en hacker ville benyttet. Penetrasjonstesting er en spesifikk form for etisk hacking, som har fokus på tekniske angrep og et avgrenset område. For å oppnå dette vil personer uten stor kjennskap til systemene engasjeres som etiske hackere.

Tidligere var penetrasjonstesting svært mye brukt, og ofte den eneste sikkerhetstesten som ble utført. Penetrasjonstesting har imidlertid noen svakheter:

• At en penetrasjonstest ikke avdekker feil, betyr ikke at systemet er feilfritt
• Det er vanskelig å vite hvor god eller grundig jobb som er utført. Helt åpenbare feil kan være oversett
• Kostnaden ved å utbedre feil etter at systemer er satt i drift er vesentlig høyere enn under utvikling. Løsningene på feilene blir også ofte dårligere

Av disse grunner er andre former for planlegging og sikkerhetstesting tidligere i design- og utviklingsfasene ofte å foretrekke. Dette omtales som sikker utvikling (software security). Når penetrasjonstesting benyttes sammen med sikker utvikling er årsaken til at feilen kunne oppstå og hvorfor den ikke ble oppdaget tidligere i prosessen ofte mer interessant enn selve feilen i seg selv.