Automatisk eller manuel penetrationstest: hvad kan hver især dokumentere?

Et tilbud kan kalde en automatiseret kontrol for penetrationstest uden at vise, hvilket spørgsmål kontrollen faktisk besvarer. Vurderingen bør bygge på systemets funktioner, den dokumentation virksomheden behøver, og den faglige behandling af resultaterne.

Automatik og manuelt arbejde er ikke modsætninger, som altid kan vælges hver for sig. Et testforløb kan bruge automatiske kontroller til at skabe ensartet dækning og en tester til at vurdere sammenhæng, afvigelser og betydning. Det afgørende for køberen er, hvordan delene anvendes og beskrives i leverancen.

Denne artikel handler især om tilbud, hvor løbende eller automatiseret test markedsføres som penetrationstest. Den grundlæggende forskel mellem scanning, sikkerhedstjek og pentest er forklaret i → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?

Begynd med det svar, virksomheden skal bruge

Skriv først den beslutning, resultatet skal støtte. For en webshop kan det være en beslutning om åbning af nye kundefunktioner. For kontornettet kan spørgsmålet være, om en aftalt ændring har efterladt kendte tekniske forhold, som skal behandles før næste projektfase.

Spørgsmålet afgør, hvilken dokumentation der er relevant. Hvis ledelsen ønsker en gentagelig status på et afgrænset område, kan en automatiseret kontrol bidrage. Hvis spørgsmålet kræver vurdering af flere brugerroller og sammenhængen mellem funktioner i kundeportalen, bør tilbuddet forklare, hvordan denne vurdering udføres.

Ord som automatisk, manuel og løbende må ikke stå alene. Bed leverandøren beskrive input, faglig behandling, begrænsninger og den rapport, I modtager. → Sammenlign tilbud på penetrationstest

Hvad automatik kan bidrage med

Automatiske kontroller kan gentage den samme definerede kontrol og behandle mange tekniske observationer efter ens regler. Det kan være nyttigt, når virksomheden ønsker at følge et afgrænset område på en konsekvent måde. Resultatet afhænger dog af, hvilke aktiver og kontroller der faktisk er sat op.

Automatik kan også hjælpe testeren med at finde mulige forhold, som kræver nærmere vurdering. NIST SP 800-115 beskriver både automatiserede teknikker og menneskelig undersøgelse som dele af et bredere testarbejde. Publikationen gør ikke et værktøjsresultat til en samlet konklusion om virksomhedens risiko.

En styrke ved gentagelse er sammenlignelighed, når opsætning og forudsætninger er stabile. Virksomheden kan se, om den samme kontrol giver et andet resultat efter en ændring. Men hvis aktivlisten, miljøet eller kontrollens indstillinger er ændret, skal forskellen fremgå, før resultaterne sammenlignes.

Automatiske resultater kan desuden være nyttige som arbejdsmateriale for driftsteamet. Deres værdi for ledelsen afhænger af den efterfølgende forklaring. Et stort datagrundlag bliver ikke mere beslutningsegnet alene ved at blive vist som en samlet score.

For køberen bør den automatiske del derfor være synlig som en metodekomponent. Spørg, hvilke dele af webshoppen den når, hvordan ændringer i løsningen påvirker dækningen, og hvordan rå observationer bliver sorteret, bekræftet eller afvist.

Hvad manuel vurdering kan bidrage med

Manuel vurdering kan forbinde observationer med den aftalte brug af løsningen. I kundeportalen kan forskellige roller hver især fungere som forventet, mens samspillet mellem dem kræver en faglig vurdering. Opgaven skal beskrive de roller og handlinger, der har betydning, så vurderingen ikke bliver et ubestemt løfte.

En tester kan også tage stilling til, om et muligt fund er relevant under de faktiske forudsætninger. Det omfatter blandt andet kontrol af, om observationen gælder den aftalte funktion, og om dokumentationen er tilstrækkelig til rapporten. Manuelt arbejde fjerner ikke usikkerhed, men det kan gøre vurderingens grundlag tydeligt.

Den manuelle del kan også undersøge et aftalt forløb på tværs af flere funktioner. I en webshop kan oprettelse, bestilling og administration hænge sammen på en måde, som ikke beskrives af én enkelt teknisk markering. Forløbet skal dog vælges i scope, hvis det skal indgå.

Køberen bør ikke bede om fri kreativitet uden grænser. En fagperson har stadig brug for aftalte mål, roller og stop. Den bedste forklaring af manuelt arbejde viser derfor både pladsen til vurdering og rammen for den.

OWASP Web Security Testing Guide omfatter områder som forretningslogik, identitet og adgang. En bestilling skal dog stadig angive, hvilke dele der er relevante. Henvisning til manuel test betyder ikke automatisk, at hele guiden eller alle funktioner er dækket. → Penetrationstest af webapplikationer

Kombinationen skal fremgå af tilbuddet

Et tilbud bør gøre det muligt at se, hvor automatik anvendes, og hvor en fagperson vurderer resultatet. En formulering som automatisk understøttet manuel test er for upræcis, hvis den ikke knyttes til de aftalte systemer og leverancer.

Bed eventuelt tilbudsgiveren opdele opgaven i aktiviteter og resultater. Det gør det muligt at se, om en automatisk del kun skaber kandidater, om fund bekræftes, og hvem der formulerer den endelige vurdering. Opdelingen er et forslag til gennemsigtighed, ikke en fast branchemodel.

Bed om et eksempel på, hvordan et råt resultat bliver til et rapporteret fund. Eksemplet kan være anonymiseret og behøver ikke afsløre tekniske fremgangsmåder. Det skal vise forskellen mellem observation, vurdering, mulig betydning og anbefalet handling.

Spørg også, hvem der tager stilling til konflikter mellem de to dele. Hvis en automatisk kontrol markerer et muligt problem i ERP-systemet, mens en manuel vurdering afviser det, skal den færdige rapport forklare den relevante konklusion. Kompetencer og roller behandles i → Krav til penetrationstesteren.

Løbende test ændrer spørgsmålet om dækning

Løbende kontrol kan give hyppigere observationer fra de områder, som opsætningen faktisk omfatter. Den dokumenterer ikke af den grund nye funktioner, nye brugerroller eller ændrede integrationer. Når webshoppen udvikles, bør virksomheden derfor kontrollere, om den løbende dækning stadig svarer til løsningen.

Ansvar for vedligeholdelse skal også være tydeligt. Hvis virksomheden tilføjer en ny internetvendt tjeneste, hvem sikrer så, at den kommer med? Hvis et aktiv udgår, hvem fjerner det fra oversigten? Uden disse aftaler kan den løbende visning se stabil ud, mens systemlandskabet har flyttet sig.

Et instrumentpanel kan være nyttigt til driftens opfølgning, men det er ikke nødvendigvis den rapport, ledelsen eller en kunde har brug for. Afklar, om leverancen viser scope, begrænsninger, vurderede fund og ændringer over tid. En talværdi uden forklaring kan ikke stå alene som beslutningsgrundlag.

Løbende test gør heller ikke spørgsmålet om en bredere, planlagt undersøgelse overflødigt. Behovet afhænger af ændringer, systemets betydning og de beslutninger, der skal træffes. → Hvor ofte skal I teste?

Falske positiver og oversete forhold skal håndteres

Et automatisk resultat kan pege på et muligt forhold, som ikke viser sig at gælde i den konkrete sammenhæng. Det omtales ofte som en falsk positiv. Tilbuddet bør forklare, hvem der vurderer sådanne resultater, og om kunden modtager den rå liste eller kun de behandlede fund.

Det modsatte problem er forhold, som kontrollen ikke ser. Fravær af en markering er kun meningsfuldt inden for de kontroller og aktiver, der faktisk indgik. Derfor bør leverancen beskrive dækningen i stedet for at lade en tom oversigt ligne et generelt udsagn om sikkerhed.

For kundeportalen kan en ny funktion være uden for den automatiske opsætning, selv om den ligger på samme adresse. Det er ikke nødvendigvis en fejl ved automatikken. Det er et afgrænsningsspørgsmål, som virksomheden skal opdage og beslutte. → Scope i en penetrationstest

Rapporten skal skelne mellem data og vurdering

En brugbar aflevering viser, hvad der er observeret, hvordan observationen er vurderet, og hvilke begrænsninger der gælder. Den bør også gøre det muligt at se, om et fund stammer fra en automatisk kontrol, en manuel vurdering eller en kombination, når forskellen har betydning for forståelsen.

Et ledelsesresumé skal ikke blot gengive antallet af markeringer. For ERP-systemet er det mere relevant at forstå de berørte funktioner, den mulige betydning og de valg, virksomheden står overfor. En detaljeret oversigt kan ligge bag resuméet, men må ikke blive den eneste forklaring.

Spørg inden køb, hvordan fejlmarkeringer, dubletter og begrænsede resultater fremgår. Når rapporten kommer, bør den læses ud fra det aftalte spørgsmål. → Sådan læser I en pentestrapport. Eksempler på rapportens rolle findes også på pentestrapport.dk.

Det skal I lade være med

At sidestille en portal med en vurdering · Et instrumentpanel viser kun de data og forklaringer, leverancen indeholder.
At bruge ordet manuel som dokumentation · Spørg, hvilke funktioner, roller og resultater den faglige vurdering omfatter.
At tælle markeringer som kvalitet · Mange observationer kan rumme dubletter eller forhold uden betydning for den aftalte løsning.
At antage, at løbende betyder dækkende · Nye dele af webshoppen kan falde uden for den oprindelige opsætning.
At sammenligne tilbud på etiketter · To automatiske ydelser kan have forskelligt scope, forskellig behandling og forskellig aflevering.
At skjule rå resultater som afsluttede fund · Status skal vise, hvad der er vurderet, og hvad der fortsat er uafklaret.

Hvad kan og ikke kan konkluderes

En automatiseret kontrol kan dokumentere resultatet af de definerede kontroller på de omfattede aktiver under de registrerede forudsætninger. Den kan ikke alene vise, at alle funktioner, roller eller mulige sammenhænge i kundeportalen er undersøgt.

En manuel vurdering kan tilføre kontekst og undersøge aftalte forløb, men ordet manuel beviser ikke fuld dækning. Konklusionen er stadig begrænset af tid, adgang, miljø, scope og de handlinger, der blev aftalt. Disse forhold skal stå i rapporten.

En kombineret leverance kan give et stærkere grundlag for et bestemt spørgsmål, når delene er forklaret. Den gør ikke webshoppen sikker for altid og dokumenterer ikke automatisk overholdelse af en standard. Standardernes rolle behandles i → Penetrationstest og standarder.

Tjekliste til vurdering af tilbuddet

☐ Står det spørgsmål, den automatiske eller manuelle del skal besvare, tydeligt?
☐ Er aktiver, funktioner, roller og miljøer navngivet?
☐ Er automatiske kontroller og faglig vurdering beskrevet hver for sig?
☐ Fremgår det, hvem der behandler mulige fejlmarkeringer og dubletter?
☐ Forklarer leverandøren, hvordan ændringer påvirker løbende dækning?
☐ Kan rapporten skelne mellem observation, vurderet fund og begrænsning?
☐ Er leverancen egnet til både teknisk opfølgning og den ønskede beslutning?
☐ Er behovet for senere retest eller en bredere undersøgelse afklaret?

Kilder

NIST SP 800-115, kapitel 2, 3 og 5: automatiserede og manuelle undersøgelsesteknikker samt behandling af resultater.
OWASP Web Security Testing Guide: testområder i webapplikationer, herunder funktioner der kræver kontekst.

Senest gennemgået: oktober 2026.