Sammenligning

Sårbarhetsskanning eller penetrasjonstest

Kort svar: en sårbarhetsskanning finner det som står på en liste over kjente svakheter. En penetrasjonstest finner det som ikke står der, fordi det er unikt for akkurat deres system.

Det er ikke to nivåer av samme tjeneste. De svarer på to forskjellige spørsmål. Skanningen svarer på om dere har noe kjent liggende åpent. Testen svarer på hvor langt noen kommer som faktisk prøver.

De fleste trenger begge deler etter hvert, men ikke samtidig og ikke i den rekkefølgen leverandører flest foreslår. Denne siden sier hvilken som er riktig først, og den sier når den billigste er den riktige.

Oppdatert 2026-08-16 · skrevet av Erik Nilsen

Hva en skanning faktisk gjør

En sårbarhetsskanning går gjennom det den kan nå og sammenligner det mot en katalog over kjente svakheter. Den ser hvilken programvare som svarer, hvilken versjon den oppgir, hva som står i DNS og hvilke svarhoder som kommer tilbake.

Den er rask, den er billig, og den blir ikke lei. Det er reelle fordeler og ikke trøstepremier. Ingen orker å kontrollere to hundre verter mot den samme listen hver uke, og verktøyet gjør det uten å hoppe over noen.

Kjente sårbarheter i programvare som er synlig utenfra
Utdaterte versjoner, og sertifikater som nærmer seg utløp
Svarhoder som mangler eller er satt feil
E-postoppsett: om SPF, DKIM og DMARC finnes, og hva policyen faktisk står på
Åpne porter og tjenester som svarer
Endringer siden forrige gang, som er det den er aller best til

Hva en penetrasjonstest gjør i tillegg

En test har noen i seg som kan lure på noe. Den følger en observasjon videre i stedet for å notere den og gå til neste linje i katalogen.

Forskjellen vises tydeligst når to funn hver for seg er harmløse. En opplastingsfunksjon som godtar en filtype den ikke burde, og en oversikt som viser flere brukere enn den skal, er hver for seg noe man setter på listen. Til sammen kan de være en vei helt inn. En skanner rapporterer dem som to linjer og ser ikke sammenhengen, fordi katalogen ikke har en oppføring for kombinasjoner.

Testen svarer også på det ledelsen faktisk spør om, som ikke er hvor mange funn det ble, men hva som skjer hvis noen kommer inn.

Det skanningen aldri kommer til å finne

Noen feil kan ikke stå på en liste, fordi de er beskrivelser av hva som er riktig i akkurat deres applikasjon. Det finnes ingen katalogoppføring for at bruker A ikke skal se fakturaene til bruker B, for det er en regel som gjelder hos dere og ikke hos noen andre.

Tilgangskontroll mellom brukere, altså IDOR og liknende. Det synes bare når noen er logget inn som to forskjellige brukere samtidig
Isolasjon mellom kunder som deler samme løsning
Feil i forretningslogikk: steg som kan hoppes over, eller tas i feil rekkefølge
Sammenhengen mellom to funn som hver for seg er små
Om dere ville oppdaget det. Logging og varsling testes bare av noen som faktisk gjør noe

Når skanningen alene er det riktige valget

Ganske ofte, og oftere enn en leverandør av penetrasjonstester har lyst til å si.

Har dere ikke en applikasjon med innlogging, finnes ikke mesteparten av det en test leter etter. Da er spørsmålet deres hva som ligger åpent, og det svarer en skanning på for en brøkdel av prisen.

Dere har en nettside, ikke en applikasjon. Ingen logger inn, og ingen data ligger bak en pålogging
Dere vil vite hva som er synlig utenfra, og dere vil vite det i dag. Den gratis eksterne sjekken svarer på minutter og koster ingenting
Dere vet allerede at tofaktor ikke er slått på for alle. Da vet dere hva som kommer til å stå øverst i rapporten, og en test blir å betale for å få det bekreftet
Spørsmålet er om noe har endret seg, ikke om noe er subtilt galt. Da er løpende overvåking riktigere enn en engangstest, og den koster 2 490 kroner i måneden
Ingen har fått i oppgave å rette funnene ennå. En rapport uten en mottaker som har tid og myndighet blir liggende

Er alt grønt i den gratis sjekken, og dere ikke har en innlogging, er det fullt mulig at dere ikke trenger å kjøpe noe av oss akkurat nå.

Når testen er den som er verdt pengene

Når svaret ikke er gitt på forhånd, og når det koster noe å ta feil.

Det finnes en innlogging, og bak den ligger data som tilhører forskjellige brukere eller forskjellige kunder
Dere har bygget noe nytt: en ny integrasjon, en ny rolle, en ny måte å logge inn på
Noen har bedt om dokumentasjon, og de har bedt om en test og ikke en skannerapport
Dere har rettet det den automatiske sjekken fant, og vil vite hva som er igjen
Dere trenger å vite hvor langt én inngang rekker, ikke hvor mange funn det ble

Prisen, og hvorfor forskjellen er så stor

Den gratis eksterne sjekken koster ingenting og kjøres automatisk. Ekstern sikkerhetssjekk koster 9 900 kroner og leveres på tre til fem virkedager: den ser på det samme, men et menneske kontrollerer funnene, luker ut de falske positive og skriver hva som bør gjøres. Webapp- og API-pentest koster 29 900 kroner og tar en til to uker, fordi noen faktisk logger inn og prøver.

Forskjellen er timer med skjønn, ikke antall sjekker. Å kjøre en sjekk til er nesten gratis. Å avgjøre om et funn betyr noe hos dere er det som koster.

Én ting til, som gjør bildet mindre skarpt enn det pleide å være: automatisk betyr ikke lenger bare skanning. Forskjellen mellom en skanner og en agent som styres av et menneske er beskrevet i sammenligningen av automatisert og manuell testing.

Slik velger dere på ett minutt

Tre spørsmål, i denne rekkefølgen.

Finnes det en innlogging med data bak? Er svaret nei, hold dere til skanning og overvåking inntil videre
Har dere rettet det dere allerede vet om? Er svaret nei, gjør det først. Rapporten blir både billigere og mer interessant
Hva skal svaret brukes til? Skal det dokumenteres utad, spør den som ber om det hva de faktisk krever. Er teksten uklar, send den til oss, så sier vi hva som dekker den

Kilder

Hvor dette er hentet fra

Primærkilder, slik at dere kan kontrollere hvert punkt uten å spørre oss.

Videre

Les videre

Se også

Andre steder på nettstedet