Etisk hackare eller skanner: skillnaden

"Varför ska vi betala för ett penetrationstest när skannern redan säger att vi är rena?" Frågan kommer från företagsledare nästan varje vecka, och den är rimlig: skannern levererar trots allt en rapport som ser ut som ett bevis. Problemet är att "noll kritiska" inte betyder "ingen risk". Det betyder bara att ingenting matchade kända mönster.

Jämförelsen som brukar landa bäst i ledningsgruppen: en skanner är stavningskontrollen, en testare är redaktören. Stavningskontrollen hittar slarvfel och upprepningar, men den märker inte att ett helt kapitel motsäger sig självt och vilseleder läsaren. En text kan vara syntaktiskt felfri och ändå helt fel. En applikation fungerar på samma sätt: inte en enda sårbarhet i CVE-databasen, men det går fortfarande att köpa en tv för en krona.

Här delar vi upp skillnaden: vad automatik gör bra och billigt, vad den aldrig gör och hur du motiverar budgeten internt.

Vad en sårbarhetsskanner faktiskt gör

En skanner (Nessus, OpenVAS, Qualys, Rapid7 InsightVM) ansluter till värdarna i nätverket och jämför det den hittar med publika databaser över kända sårbarheter (CVE) och regelverk för konfiguration. Resultatet är en lista med CVSS-poäng och allvarlighetsgrad, från kritisk till låg.

Det skannern gör bra:

ouppdaterad programvara med dokumenterad CVE, till exempel Apache 2.4.49 och CVE-2021-41773,
tjänster som exponeras mot internet i onödan, standardinloggningar, anonym FTP, öppna SMB-resurser,
inventering av tillgångar, inklusive enheter som ingen har anmält till IT,
formella krav, som de kvartalsvisa externa skanningar som PCI DSS kräver,
kontinuerlig körning i distributionskedjan som fångar regressioner efter varje release.

Det skannern inte klarar:

den förstår inte affärsprocessen eller användarens avsikt,
den kopplar inte ihop tre fynd märkta "låg" till en verklig attackväg,
den avgör inte om en sårbarhet går att utnyttja i just den här miljön, vilket ger många falska larm,
den testar inte social manipulation, registrering eller kundtjänst,
den bedömer inte behörigheter på djupet: ser kund A kund B:s dokument?

Vad en mänsklig testare tillför

Ett penetrationstest är en simulering av en attack, ledd av en människa med ett tydligt mål och ett signerat scope. Testaren bockar inte av en lista, utan fattar beslut: ett fynd leder till nästa steg, och flera små brister bildar tillsammans ett scenario som automatik aldrig planerar.

I praktiken arbetar testaren genom behörighetsnivåerna: vad ser en vanlig användare, vad ser en handläggare, vad händer när ett id i adressfältet byts ut, kontrollerar API:et behörigheten på serversidan eller göms bara knappen i gränssnittet? Det är där verkliga läckor uppstår, och där finns nästan aldrig en färdig CVE.

Blinda fläcken: affärslogiken

Det enklaste exemplet jag känner till: en e-handel går igenom alla skanningar utan anmärkning. Testaren loggar in, lägger en vara i varukorgen, fångar upp förfrågan och ändrar priset från 1 299 kronor till 1 krona. Ordern går igenom. Skannern tiger, eftersom koden gör precis det den är skriven att göra. Det finns inget syntaxfel, men ett fel i affärsregeln.

Vanliga fynd som kräver en människa:

behörighetshöjning genom att byta parameter, till exempel rollen "user" mot "admin" i en förfrågan som servern inte verifierar,
IDOR, alltså att byta identifierare i adressen och komma åt en annan kunds dokument,
injektioner av andra ordningen: data som är säker vid lagring men farlig vid senare bearbetning,
kapplöpningsvillkor vid saldo, rabattkoder eller uttagsgränser,
kedjor: SSRF i en tjänst med låg behörighet i kombination med åtkomst till molnets metadatatjänst och inloggningsuppgifter.

Jämförelse sida vid sida

Kriterium	Automatisk skanner	Testare (penetrationstest)
Tid	minuter till timmar	dagar till veckor
Frekvens	löpande eller varje vecka	kvartalsvis eller årligen
Kostnad	hundratals till några tusen USD per år	5 000–30 000 USD per uppdrag
Omfattning	kända CVE:er och felkonfigurationer	logik, kedjor, behörighetsbrister
Falska larm	många, kräver manuell granskning	få, fynden är verifierade
Affärslogik	nej	ja
Regelefterlevnad	grundläggande skanningskrav	fullständig rapport för SOC 2 och ISO 27001
Leverans	automatgenererad rapport	rapport med bevis, påverkan och åtgärdsplan

Vad revisioner och regelverk kräver

PCI DSS kräver kvartalsvisa externa skanningar via ASV och ett årligt penetrationstest utfört av en kvalificerad bedömare. En skanningsrapport ersätter inte testet.

SOC 2 Typ II förväntar sig underlag på ett penetrationstest gjort av en oberoende tredje part. En utskrift från skannern godtas inte i den rollen.

ISO 27001, kontroll 8.8 i bilaga A, kräver test av tekniska sårbarheter. I praktiken förväntas ett manuellt test för system som är åtkomliga från internet, inte bara en skanning.

NIS2 och GDPR pekar inte ut en specifik metod, men kräver riskhantering och proportionerliga tekniska åtgärder. Efter en incident blir avsaknaden av tester ofta ett argument för försummelse.

Bygger du efterlevnaden enbart på skanningar slutar revisionen sannolikt med frågan: var är rapporten från testet?

Så kombinerar du båda

Lagren kompletterar varandra:

Återkommande skanning varje månad eller kvartal – hygien: patchar, konfiguration, inventering. Kritiska och höga fynd stängs inom överenskomna tider.
Penetrationstest en gång per år – manuellt, mot applikationer och nätverkets perimeter, alltid efter större arkitekturändringar eller en ny version.
Test av social manipulation i samband med det årliga testet – kontrollerar om teamet känner igen och rapporterar försök till bedrägeri.

Företag med förhöjd risk, som fintech, medtech och operatörer av kritisk infrastruktur, lägger till ett andra test per år, löpande skanning och ett bug bounty-program som ger externa forskare ett ständigt skäl att granska systemen.

Vad det kostar och hur du räknar hem det

Priserna känns höga tills de jämförs med kostnaden för en incident:

webbapplikation av medelhög komplexitet: vanligen 5 000–15 000 USD, alltså 3–5 dagars arbete för en erfaren testare,
mindre nätverk, cirka 50 värdar: 5 000–12 000 USD,
läckt kunddatabas: böter, juridiska kostnader, kundutskick, förlorat förtroende och driftstopp – summan överstiger nästan alltid den årliga testbudgeten.

Frågan är inte om vi har råd med ett test, utan om vi har råd med incidenten vi hade kunnat undvika.

Så väljer du leverantör och skyddar dig

Ett signerat scope och ett skriftligt tillstånd är startvillkor, inte formalia. Avtalet bör ange vilka system och adresser som omfattas, att tredje parts infrastruktur och molntjänster undantas utan leverantörens godkännande, tidsfönster, hur kritiska fynd rapporteras under arbetet, sekretessavtal, ansvarsförsäkring och regeln att testaren inte fortsätter ett utnyttjande om det riskerar driftstopp. Var gränsen går juridiskt beskrivs i när det är lagligt att anlita en hacker.

Kom också överens om leveransen: rapport med bevis, affärspåverkan per fynd, prioritering och omtest inom samma pris. Certifieringar som OSCP eller CREST är en kvalitetssignal men ersätter inte ett exempel på rapport.

Vanliga frågor

Hur lång tid tar ett penetrationstest? En webbapplikation av medelhög komplexitet tar oftast 3–5 arbetsdagar, ett mindre nätverk 3–7 dagar. Rapportarbetet tillkommer med några dagar.

Kan testet slå ut våra system? Ett korrekt genomfört test ska vara icke-destruktivt och avtalet anger vad som är tillåtet. Säkerställ ändå en testad backup och ett överenskommet servicefönster före start.

Hur ofta ska vi testa? Minst en gång per år och efter varje större arkitekturändring eller release. Vid känsliga data och regulatoriska krav – var sjätte månad.

Osäker på vilken roll du behöver? Jämför certifierad etisk hackare och penetrationstestare, och läs om varför social manipulation ofta är den svagaste länken.

Vill du veta om någon faktiskt kan ta era kunders data, och inte bara om en patch saknas? Kontakta Cyberlord för att planera ett penetrationstest inom ett överenskommet scope och med skriftligt tillstånd. Vi arbetar med samma metoder som verkliga angripare – så att ni kan stänga luckorna före dem.

Etisk hackare eller automatisk skanner: vad välja?