Mikä on tunkeutumistestaus? Tyypit ja hyödyt

Määritelmä

Tunkeutumistestaus (penetraatiotestaus, englanniksi penetration testing) on hallittu ja luvallinen prosessi, jossa asiantuntija etsii ja hyödyntää järjestelmien, sovellusten ja verkkojen heikkouksia kuten oikea hyökkääjä. Tavoitteena ei ole aiheuttaa vahinkoa vaan osoittaa, miten hyökkääjä toimisi ja miten se estetään.

Skannaus vs. tunkeutumistestaus

Automaattinen haavoittuvuusskannaus listaa mahdollisia heikkouksia nopeasti ja edullisesti, mutta ei todista, mitkä niistä ovat aidosti vaarallisia. Tunkeutumistestaus on ihmisen tekemää: se hyödyntää heikkouksia, ketjuttaa niitä ja löytää loogiset virheet, joita työkalu ei tunnista.

Yleisimmät tyypit

• Ulkoisen verkon testaus – internetiin näkyvät palvelut ja hyökkäyspinta.
• Web-sovelluksen testaus – verkkosovellusten ja rajapintojen heikkoudet.
• Sisäisen verkon testaus – mitä hyökkääjä saisi aikaan päästyään sisään.
• Langattomien verkkojen, pilvipalveluiden ja mobiilisovellusten testaus.
• Sosiaalinen manipulointi – henkilöstön testaus esimerkiksi phishing-viesteillä.

Lähestymistavat

Testaus voidaan tehdä mustana laatikkona (ei ennakkotietoa, realistisin), harmaana laatikkona (osittaiset tiedot, yleisin ja tasapainoisin) tai valkoisena laatikkona (täydet tiedot ja lähdekoodi, kattavin).

Mitä hyötyä siitä on

• Näet todelliset, hyväksikäytettävät riskit – et vain teoreettista listaa.
• Saat priorisoidut korjausohjeet, jotka kohdistavat rajallisen ajan oikein.
• Täytät säädösten ja standardien (NIS2, DORA, ISO 27001) testausvaatimuksia.
• Rakennat luottamusta asiakkaisiin ja kumppaneihin osoittamalla, että tietoturva on testattu.