Testy penetracyjne dla firm i instytucji

Wykrywamy luki, zanim zrobi to atakujący. Testy ręczne Red Team i skanowanie Rapid7 InsightVM z raportem dla zarządu i IT.

Strona główna » Audyty IT » Testy penetracyjne

Red Team – testy ręczne

Ekspercka analiza, jaką przeprowadziłby realny atakujący. Testujemy logikę aplikacji, konfigurację Active Directory, sieć i IoT.

Active Directory: GPO, trusty, uprawnienia, LLMNR, Kerberos, DCSync,
aplikacje WWW: SQLi, XSS, IDOR, CSRF (OWASP Top 10),
sieć: SMB, FTP, RDP, VLAN, ACL, pivoting,
IoT i firmware: UART, JTAG, analiza obrazów, API,
testy fizyczne.

Przykładowe ścieżki ataku

Włamanie do firmy: phishing → dostęp do komputera → zrzut haseł → pass-the-hash → ruch lateralny → przejęcie domeny.

Przejęcie serwera przez panel administracyjny: rekonesans → ominięcie autoryzacji lub reset hasła → logowanie jako administrator → wgranie webshella → wykonanie poleceń (RCE) → eskalacja uprawnień → przejęcie systemu.

Zobacz przykładowy raport (PDF)

Testy automatyczne – Rapid7 InsightVM

Regularne, cykliczne skanowanie infrastruktury pod kątem znanych podatności (CVE), błędnych konfiguracji i braków w aktualizacjach.

skanowanie Windows, Linux i urządzeń sieciowych,
wykrywanie CVE, brakujących poprawek i nieprawidłowych konfiguracji,
dashboard IT z widocznością ryzyk,
raporty HTML/PDF z rekomendacjami,
integracje: Jira, SIEM, API,
monitoring zmian i retesty.

Dla kogo?

Dla działów IT i firm, które kontrolują bezpieczeństwo co miesiąc lub co kwartał oraz potrzebują dowodów zgodności z ISO/IEC 27001 i NIS2.

Testy automatyczne czy ręczne – porównanie

Cecha	Rapid7 InsightVM	Red Team
Szybkość	Szybkie	Dłuższe
Koszt	Niższy	Wyższy
Wykrywanie CVE	Tak	Tak
Analiza logiki aplikacji	Nie	Tak
Testowanie uprawnień (GPO, ACL)	Nie	Tak
Łączenie podatności w ścieżkę ataku	Nie	Tak
Raportowanie	Tak	Tak + pełne ścieżki ataku
Wsparcie zgodności ISO/NIS2	Podstawowe	Pogłębione

Pomóż mi dobrać test

Nasze kompetencje

Nasi specjaliści mają uznane certyfikaty z testów penetracyjnych.

Co zyskujesz, zlecając testy penetracyjne?

Pełny obraz sytuacji – szczegółowy raport punkt po punkcie opisuje działania wykonane w badanym środowisku i wskazuje obszary wymagające uwagi.
Przystępne wskazówki – zalecenia skupiają się na najważniejszych problemach i są zrozumiałe także dla osób spoza IT.
Raport dla działu IT – wykryte podatności z sugestiami ich usunięcia. Korzystamy z komercyjnych narzędzi, m.in. Rapid7 InsightVM.

Dodatkowo oferujemy

doświadczenie w IT i cyberbezpieczeństwie od 2002 r.,
wsparcie po testach i retesty,
aktualne narzędzia i licencje,
dedykowanego opiekuna na każdym etapie projektu,
raporty zgodne z ISO/IEC 27001, NIS2 i dobrymi praktykami,
testy w całej Polsce – zdalnie i na miejscu.

Najczęstsze pytania o testy penetracyjne

Ile trwają testy penetracyjne?

Standardowy test aplikacji lub sieci trwa zwykle od kilku dni do 2–3 tygodni, zależnie od zakresu (liczba aplikacji, hostów, ról użytkowników). Po rozmowie o zakresie podajemy konkretny termin i harmonogram.

Ile kosztują testy penetracyjne?

Cena zależy od zakresu: liczby aplikacji, hostów i ról użytkowników oraz rodzaju testu – ręcznego, automatycznego lub obu. Po rozmowie o zakresie przygotowujemy wycenę.

Czym różni się test penetracyjny od skanu podatności?

Skan automatyczny (np. Rapid7 InsightVM) wykrywa znane podatności CVE i błędy konfiguracji. Test penetracyjny (RED TEAM) idzie dalej: analizuje logikę aplikacji, uprawnienia i łańcuchy podatności, symulując realny atak. Najlepszy efekt daje połączenie obu.

Czy testy są zgodne z NIS2 i ISO 27001?

Tak. Raporty przygotowujemy zgodnie z wymogami NIS2 oraz ISO 27001 i najlepszymi praktykami branżowymi (OWASP, PTES). Otrzymujesz dokumentację przydatną w audytach zgodności.

Czy testy zakłócą działanie naszych systemów?

Testy planujemy tak, aby nie zakłócać pracy firmy — ustalamy okno czasowe, zakres i zasady bezpieczeństwa. Prace możemy prowadzić na środowisku testowym lub produkcyjnym z zachowaniem ostrożności. Całość objęta jest umową poufności (NDA).

Co dostajemy po zakończeniu testów?

Otrzymujesz raport z podsumowaniem ryzyka dla zarządu oraz szczegółową listę podatności z rekomendacjami naprawy dla działu IT — uporządkowaną według priorytetów. W pakiecie jest też retest po wdrożeniu poprawek.