Ordbog for penetrationstest: begreberne fra bestilling til retest

Ordene omkring en penetrationstest kan få køber og leverandør til at tro, at de er enige, selv om de mener noget forskelligt. Forklaringerne her bygger på begrebernes funktion i bestilling, gennemførelse, rapport og opfølgning.

Ordbogen er skrevet til ledere, indkøbere og projektansvarlige. Den fortæller, hvad et ord normalt skal hjælpe jer med at afklare. Den fastlægger ikke en universel kontrakttekst, og leverandørens egne definitioner bør stå i tilbuddet eller opgavebeskrivelsen.

Brug siden, når et begreb optræder uden forklaring. Bed derefter den konkrete leverandør om at beskrive, hvad ordet betyder i netop jeres opgave. En fælles ordliste er nyttig, men den kan ikke erstatte et præcist spørgsmål om kundeportalen, webshoppen eller ERP-systemet.

Før bestillingen

Penetrationstest · en aftalt sikkerhedsundersøgelse, hvor resultatet skal knyttes til bestemte systemer, forudsætninger og begrænsninger. Ordet fortæller ikke alene, hvad der bliver undersøgt, eller hvor meget arbejde der ligger bag.
Sårbarhedsscanning · en automatiseret søgning efter mulige kendte forhold. Resultaterne skal vurderes i deres sammenhæng, før de kan bruges som dokumentation om den konkrete løsning.
Sikkerhedstjek · en bred hverdagsterm, som kan dække meget forskellige kontroller. Bed om indholdet i stedet for at regne med, at betegnelsen svarer til en penetrationstest.

Forskellene mellem disse leverancer er uddybet i → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?

Opgavens afgrænsning og udgangspunkt

Scope · den aftalte ramme for undersøgelsen. Den bør identificere de systemer, funktioner, roller og miljøer, som hører til opgaven.
Undtagelse · et område inden for eller tæt på løsningen, som ikke må eller kan indgå. En undtagelse er vigtig for fortolkningen, også når den skyldes en tredjepart.
Aktiv · noget virksomheden vil beskytte eller have vurderet, eksempelvis kundeportalen, en tjeneste eller en bestemt del af kontornettet. Ordet bør følges af en entydig identifikation.
Afhængighed · en forbindelse til en anden løsning, som kan påvirke opgaven. Den kan være omfattet, udtrykkeligt undtaget eller alene beskrevet som en forudsætning.

Den praktiske metode til at få områder og fravalg på plads findes i → Scope i en penetrationstest.

Black box · testeren får på forhånd kun den viden og adgang, som aftalen beskriver som et begrænset udgangspunkt. Betegnelsen siger ikke noget sikkert om bredden eller kvaliteten af det færdige arbejde.
Grey box · testeren får udvalgte oplysninger eller adgange. Det kan eksempelvis være testkonti til nogle af kundeportalens roller, men den konkrete udlevering skal stadig stå i planen.
White box · testeren får mere omfattende viden om løsningen. Det er ikke det samme som, at alle komponenter automatisk indgår i scope.

Ordene beskriver forhåndsviden, ikke tre faste pakker. De bør altid stå ved siden af en liste over de konkrete oplysninger, konti og dokumenter, testeren modtager. Et tilbud kan ellers bruge den samme farvebetegnelse om et meget forskelligt udgangspunkt. Se den udfoldede forklaring i → Black box, grey box og white box.

Perspektiv og miljø

Ekstern test · en undersøgelse fra en aftalt position uden for virksomhedens interne net. De internetvendte mål skal navngives; ekstern betyder ikke alt, som kan nås udefra.
Intern test · en undersøgelse fra en beskrevet position på et internt net. Et gæstenet og kontornettet kan give forskellige forudsætninger og bør ikke omtales som samme startpunkt.
Testmiljø · en udgave eller kopi, der anvendes til undersøgelsen uden at være den levende drift. Forskelle fra produktionen skal være kendte, hvis resultatet senere skal bruges i en beslutning.
Produktionsmiljø · det miljø, som reelle brugere og processer benytter. Valget af produktion ændrer ikke behovet for begrænsninger, tilladelse og planlagt håndtering af påvirkning.

Miljøvalget og betydningen af forskelle mellem de to miljøer behandles i → Penetrationstest i produktion eller testmiljø.

Tilladelser og spilleregler

Rules of Engagement · på dansk ofte spillereglerne for opgaven. De beskriver blandt andet tilladte rammer, ansvar, kommunikation og den aftalte håndtering, hvis noget uventet sker.
Tilladelse · en dokumenteret accept fra den part, som har ret til at godkende undersøgelsen af de pågældende systemer. En bestillers ønske er ikke nødvendigvis tilstrækkeligt, hvis en anden ejer eller råder over en del.
Kontaktperson · den udpegede person, som kan træffe eller indhente en beslutning under forløbet. Rollen bør have en stedfortræder, hvis virksomhedens plan kræver hurtig kontakt.
Stopkriterium · en på forhånd beskrevet situation, hvor arbejdet skal standses eller sættes på pause. Kriteriet skal kunne forstås af både testeren og virksomhedens driftsansvarlige.

De konkrete forberedelser hører hjemme i → Før penetrationstesten.

Under undersøgelsen

Testkonto · en konto, som er oprettet eller udpeget til det aftalte arbejde. Dens rolle og rettigheder skal passe til spørgsmålet, og brugen bør kunne skelnes fra almindelige brugeres aktivitet.
Observation · noget testeren bemærker under arbejdet, men som endnu ikke nødvendigvis er vurderet som et rapporteret fund. Leverandører kan bruge ordet anderledes, så status bør forklares.
Evidens · dokumentation, der underbygger et resultat. Formen afhænger af opgaven og skal håndteres som følsomt materiale, hvis den indeholder oplysninger om løsningen eller brugere.
Begrænsning · en omstændighed, som påvirker, hvad undersøgelsen kunne belyse. Det kan være et fravalgt område, manglende adgang eller en forskel mellem det aftalte og det tilgængelige miljø.

Opgavens faser og virksomhedens beslutninger er samlet i → Penetrationstest fra start til slut.

Fund og alvorlighed

Fund · et dokumenteret forhold, som rapporten beskriver med berørt område, observation, mulig betydning og anbefalet håndtering. Nummer eller titel bør bruges, når fundet følges videre.
Falsk positiv · et automatisk eller foreløbigt resultat, som efter vurdering ikke viser det påståede forhold i den konkrete sammenhæng. Det er grunden til, at rå resultater og færdige fund ikke bør ligestilles.
Alvorlighed · rapportens vurdering af et funds tekniske og eventuelt forretningsmæssige betydning. Skalaen og dens grundlag skal være forklaret, før to betegnelser kan sammenlignes.
CVSS · en offentlig metode fra FIRST til at beskrive alvorligheden af sårbarheder gennem definerede målepunkter. FIRST understreger, at CVSS måler alvorlighed og ikke i sig selv virksomhedens risiko.

Fund skal læses med kontekst, ikke kun sorteres efter farve eller score. → Sådan læser I en pentestrapport

Rapportens dele

Ledelsesresumé · den del, der skal hjælpe beslutningstagere med at forstå opgave, hovedresultater og væsentlige begrænsninger. Det er ikke en erstatning for de detaljer, som de ansvarlige for rettelserne skal bruge.
Anbefaling · testerens forslag til håndtering af et fund. Virksomheden skal stadig vurdere, hvilken løsning der passer til systemets brug, ejerskab og øvrige krav.
Teknisk bilag · den mere detaljerede dokumentation, som kan være nødvendig for at forstå og behandle fund. Modtagere og opbevaring bør være aftalt, fordi materialet kan være følsomt.
Konklusion · rapportens svar inden for det beskrevne scope. Den bør læses sammen med testens udgangspunkt, undtagelser og andre begrænsninger.

Et rapporteksempel kan gøre disse dele synlige før køb. Tilbud og leverancer sammenholdes i → Sammenlign tilbud på penetrationstest.

Efter rapporten

Accepteret risiko · virksomhedens dokumenterede beslutning om at leve med et kendt forhold under angivne forudsætninger. En tester kan levere grundlag, men accepterer ikke risikoen på virksomhedens vegne.
Rettelse · en ændring, som er tænkt til at behandle et fund. En melding om udført rettelse er ikke det samme som dokumentation for, at ændringen er efterprøvet.
Retest · en afgrænset kontrol af bestemte fund eller ændringer. Opgaven bør identificere fundene, miljøet og den dokumentation, virksomheden skal modtage.
Rest · den del af et problem eller en usikkerhed, som fortsat står åben efter en ændring eller kontrol. Den bør ikke forsvinde bag en samlet status som afsluttet.

Forskellen mellem melding, kontrol og afslutning forklares i → Retest efter penetrationstest.

Tilgrænsende ydelser

Red team · et bredere, målstyret øvelsesformat, hvor organisationens evne til at opdage og håndtere en aftalt aktivitet kan indgå. Det bør ikke bruges som et finere ord for enhver penetrationstest.
Social engineering · en særskilt aktivitet rettet mod menneskelige situationer. Deltagere, kanaler og tilladelse skal beskrives selvstændigt og kan ikke udledes af et teknisk scope.
Bug bounty · en ordning, hvor eksterne deltagere kan indsende fund efter offentliggjorte regler. Den løbende ordning er ikke i sig selv den samme afgrænsede leverance som en bestilt penetrationstest.
Sikkerhedsvurdering · en bred betegnelse, som kan omfatte gennemgang, test eller rådgivning. Leverancen skal forklares, før ordet kan sammenlignes med andre tilbud.

Aktørernes forskellige roller introduceres i → Hackere og deres hatte. En særskilt introduktion til øvelsesformatet findes på red-teaming.dk.

Hvad ordbogen ikke erstatter

Definitionerne kan hjælpe jer med at stille spørgsmål, men de fastlægger ikke scope, pris, ansvar eller tilladelse. Hvis et tilbud bruger et ord på en anden måde, bør forskellen skrives ind i opgavebeskrivelsen. Det er den aftale, som rapportens dækning senere skal holdes op imod.

Ordbogen afgør heller ikke, om en bestemt undersøgelse er tilstrækkelig. En beskrivelse som manuel, grey box eller omfattende kan ikke stå alene som dokumentation for kvalitet. Systemernes betydning og den beslutning, resultatet skal understøtte, er fortsat udgangspunktet.

Juridiske begreber kræver særskilt vurdering. Ejerskab, rådighed og tredjepartsregler kan ændre, hvem der må give tilladelse. → Er en penetrationstest lovlig?

Kilder

NIST SP 800-115, især kapitel 6 og 8: plan, gennemførelse, dokumentation og opfølgning.
FIRST CVSS v4.0: definition af CVSS som mål for alvorlighed og afgrænsning fra risiko.
OWASP Web Security Testing Guide: begreber og områder ved test af webapplikationer.

Senest gennemgået: oktober 2026.