Vezetői útmutató · Webbiztonság
Automata szkenner vagy behatolásteszt?
Mit talál meg az egyik és a másik, mit hagy ki, és melyik való az Ön weboldalához vagy webshopjához.
2026. november 4. · P1R4T3 Kutatás
Röviden
Az automata sérülékenységszkenner gyorsan és olcsón keres ismert hibákat. A behatolásteszt azt vizsgálja, mire jut egy gondolkodó támadó az Ön alkalmazásában. A kettő nem helyettesíti egymást.
Amiben a szkenner jó
- Ismert sérülékenységek elavult szoftverekben és bővítményekben.
- Hibás TLS-beállítások és hiányzó biztonsági fejlécek.
- Kitett, ismert nevű fájlok és felületek.
- Rendszeres, gyors ellenőrzés két vizsgálat között.
Amit többnyire nem ért
- Jogosultságok: lát-e egy vásárló másik vásárló rendelését, ha átír egy azonosítót? A szkenner nem tudja, kinek mihez van joga.
- Üzleti logika: beváltható-e egy kupon kétszer, megváltoztatható-e az ár vagy a darabszám a kérésben, kihagyható-e a fizetési lépés?
- Hibák láncolása: több önmagában kis hiba együtt fiókátvételhez vezethet.
- Belépés utáni felület: a szerepköröket és folyamatokat ember tudja értelmesen végigjárni.
A szkenner téves találatokat is ad, ezért az eredményét emberi ellenőrzés nélkül nehéz priorizálni. A tiszta eredmény nem jelenti, hogy nincs hiba.
Melyiket válassza?
| Helyzet | Javaslat |
|---|---|
| Egyszerű, belépés nélküli bemutatkozó oldal | Rendszeres frissítés és szkennelés, szükség esetén rövid felülvizsgálat |
| Webshop, vásárlói fiókok, személyes adatok | Behatolásteszt élesítés előtt és nagyobb változás után |
| Portál vagy SaaS több ügyféllel | Behatolásteszt, különös figyelemmel az ügyfelek elkülönítésére |
| Partner független vizsgálatot kér | Behatolásteszt, ügyfélnek átadható jelentéssel |
Fontos szabály
Idegen rendszert szkennelni vagy tesztelni csak a tulajdonos írásos engedélyével szabad, jó szándékkal sem. Ha saját oldalát vizsgáltatná, webes behatolástesztünkről itt olvashat.