Pentest, red team eller sårbarhetsskanning: tre tester, tre olika frågor

Tre tester, tre frågor

Sårbarhetsskanning: Vilka kända svagheter finns? Automatiska verktyg jämför era system mot databaser över kända sårbarheter (CVE) och ger en lista med automatiskt bedömd risknivå. Det är snabbt och passar som löpande rutin. Men en skanning visar bara vad som kan vara sårbart, inte om det går att utnyttja.

Volymen gör det tydligt. Det publicerades 40 009 CVE:er under 2024, och ungefär 2 procent av dem utnyttjades för första gången i verkligheten samma år, enligt Edgescan. En lista utan prioritering är inget beslutsunderlag.

Penetrationstest: Går det att ta sig in, och hur långt? Här försöker testare utnyttja svagheterna, med både manuella och automatiska metoder. Skanningen är ofta en del av testet. Resultatet är bevis snarare än misstankar: en rapport med verifierade sårbarheter, konsekvens och rekommenderade åtgärder.

Red team: Skulle vi upptäcka en riktig angripare? Ett red team simulerar en avancerad angripare med ett konkret mål, till exempel att nå känsliga data, och försöker att inte synas. Det prövar människor och processer lika mycket som teknik. Mandiants data visar varför det spelar roll: mediantiden från intrång till upptäckt var 14 dagar under 2025, och i 52 procent av fallen var det organisationen själv som först såg något.

För vissa är det dessutom ett krav. Under DORA ska utpekade, betydande finansiella företag göra hotbaserade penetrationstester, TLPT, mot skarpa produktionssystem minst vart tredje år. Metoden bygger på TIBER-EU, som står för Threat Intelligence-Based Ethical Red Teaming. Alla DORA-omfattade företag ska dessutom testa system som stödjer kritiska funktioner minst en gång om året, bland annat med sårbarhetsskanningar och penetrationstester.

Black, grey och white box: hur mycket ska testaren veta?

Ett penetrationstest kan göras med olika mycket förkunskap.

• Black box: Testarna får bara scopet, ungefär som en extern angripare. Mest realistiskt, men en del av tiden går åt till kartläggning av sådant ni redan känner till.
• Grey box: Testarna får exempelvis användarkonton och testar som en inloggad användare. En balans mellan realism och effektivitet.
• White box: Testarna får även källkod, konfiguration och loggar. Det ger störst djup och efterliknar en insider eller utvecklaren själv.

De flesta uppdrag landar på grey box, och det finns två goda skäl. Ett penetrationstest sker inom lagens ramar, till skillnad från en verklig angripare. Och insiderperspektivet är värdefullt: vad kan en anställd komma åt som den inte borde?

Vilket test passar er?

Börja med frågan ni vill ha svar på. Metoden följer av den.

Testformerna konkurrerar inte. De passar olika steg i säkerhetsarbetet. Ett red team ger mest när de kända svagheterna redan är stängda, annars bekräftar det mest det ni redan visste.

Så sätter ni scope

Scope är överenskommelsen om vad som testas, hur, när, hur risken hålls nere och vad ni får tillbaka. "Testa vår webbapp" är inget scope.

Börja där ni själva tror att det kan gå fel. Det kan vara kundportalen, en integration eller ett system som hanterar personuppgifter. Utgå från vilka hot som är relevanta för er och vad ni är mest oroliga för.

Kartlägg också vad ni exponerar mot internet. Edgescan ser ofta känsliga system som ligger öppna utan att organisationen vet om det.

Kostnaden sätter gränser. Det är sällan rimligt att testa varje kombination av operativsystem och hårdvara. Prioritera det som används mest och det som skulle göra mest skada om det föll.

Källor och tips på mer läsning

• FMA Österrike: DORA, Digital operational resilience testing
• Mandiant M-Trends 2026, Google Cloud
• Edgescan 2025 Vulnerability Statistics Report, via Help Net Security
• BD Emerson: Black box vs white box penetration testing
• IOActive: Red team vs penetration testing
• UnderDefense: Pentest preparation guide och scoping