Pentestning i henhold til OWASP Testing Guide
OWASP Web Security Testing Guide (WSTG) er en udbredt standard til struktureret sikkerhedstest af webapplikationer. Den vedligeholdes af OWASP og fokuserer udelukkende på web security. Andre områder som infrastruktur, cloud og mobile dækkes ikke.
Guiden definerer klart strukturerede testkategorier, herunder indsamling af information, konfiguration, autentificering, autorisering, sessionshåndtering, inputvalidering og forretningslogik. For hver kategori beskrives testmål, teknisk baggrund og praktiske testprocedurer. Det skaber et systematisk grundlag for at dække typiske sårbarheder i webapplikationer.
I praksis bruges WSTG som en teknisk reference til at udlede testcases og sikre bred dækning. Udførelsen er afgørende. Guiden tilbyder omfattende testtilgange, men ingen klar prioritering eller fastlagt dybde for reel udnyttelse. Exfilion bruger WSTG som teknisk udgangspunkt for webapplikationsvurderinger, men går bevidst videre. I stedet for blot at afkrydse testcases fokuserer vi på at identificere og validere virkelige angrebsveje. Sårbarheder betragtes ikke isoleret, men kombineres og dokumenteres gennem praktisk udnyttelse.
WSTG definerer testcases. Værdien opstår først gennem dybde og kontekst.
Kompetence
Exfilions testere levererer dokumenteret offensiv kapacitet, ikke teori. Vores team består af erfarne hacking-eksperter med hands-on-certificeringer som
OSCP (Offensive Security Certified Professional),
CRTO (Certified Red Team Operator) og
BACPP (Binsec Academy Certified Pentest Professional).
Sammen forener Exfilion-teamet årtiers erfaring med offensive vurderinger, red teaming og dyb teknisk analyse. Denne erfaring er opbygget under virkelige forhold, ikke i laboratoriemiljøer.
Pentest-retningslinjer
Standarder er udgangspunktet. Exfilion går langt videre.
Standarder og regulativer definerer minimum. De angiver, hvad der skal testes, men ikke hvor dybt et reelt angreb kan gå. De giver struktur, men ikke sikkerhed.
Mange vurderinger stopper præcis dér, hvor kravene er opfyldt. Checklister afkrydses, og kontroller markeres som overholdte. Det er her, blindpunkterne opstår, for virkelige angribere følger ikke standarder — de følger muligheder.
Exfilion bruger standarder som udgangspunkt, ikke som grænse. Gennem erfaring, teknisk dybde og kreative offensive tilgange går vi bevidst ud over dem for at afdække sårbarheder, der forbliver usynlige i konventionelle vurderinger.
Din leverandør af Penetrationstest iht. OWASP Testing Guide
Exfilion står for teknisk dyb, manuel penetrationstest på eliteniveau med klart fokus på virkelige angrebsveje. Vi arbejder ikke efter checklister eller som traditionelle pentestudbydere. Vores mål er under realistiske forhold reelt at kompromittere systemer og afdække deres virkelige angrebsflade. Exfilion er den specialiserede udbyder i Europa til penetrationstest på eliteniveau iht. OWASP Testing Guide. Vi udarbejder gerne et individuelt Pentest-tilbud iht. OWASP Testing Guide.
Typiske spørgsmål
På teknisk niveau bruger begge de samme teknikker: udnyttelse, privilege escalation, lateral bevægelse. Forskellen ligger ikke i værktøjerne, men i målet.
En hacker opererer uden autorisation. Målet er adgang, kontrol, dataeksfiltrering eller ekonomisk gevinst. Ingen regler, ingen hensyn til konsekvenser, ingen transparens. Et vellykket angreb er et, der forbliver uopdaget.
En elite-udbyder af penetrationstests som Exfilion anvender samme angrebsmindset — men kontrolleret og autoriseret. Systemer testes under klart definerede betingelser med fuld sporbarhed. Hvert trin dokumenteres, hvert fund er reproducerbar.
Den afgørende forskel er anvendelighed. En rigtig angriber forårsager skade. Exfilion leverer indsigt. Vi viser ikke blot at et angreb er muligt, men hvordan det virker, hvor langt det når, og hvad der skal rettes.
Elite-penetrationstestning betyder: tænk som en angriber, optræd som en partner — med målet at afdække reel risiko, før den udnyttes.
Begreberne black box, grey box og white box definerer ikke kvaliteten af en pentest, men angriberens udgangspunkt. Den afgørende forskel er, hvor meget information og adgang testerens har, og hvilket angrebsscenario der simuleres.
En black box-pentest simulerer en ekstern angriber uden forkendskab. Ingen credentials, ingen intern dokumentation — kun den eksponerede angrebsflade. Målet er at vurdere, hvorvidt og hvordan en organisation kan kompromitteres udefra. Fokus er på reconnaissance, enumerering og initial access.
En grey box-pentest spejler et mere realistisk scenario. Testeren får begrænset information eller adgang, f.eks. en standardbrugerkonto. Dette afspejler almindelige virkelige situationer som phishing eller lækage af credentials. Fokus flyttes til privilege escalation, lateral bevægelse og udvidelse af kontrollen i miljøet.
Ved en white box-pentest arbejder Exfilion med fuldt kendskab til målsystemerne. Arkitektur, kildekode eller konfigurationer er tilgængelige. Dette muliggør dyb teknisk analyse af kompleks logik, skjulte sårbarheder og ikke-indlysende angrebsveje. White box betyder ikke mindre realistisk — det betyder maksimal dybde.
I praksis betragter Exfilion ikke disse modeller som isolerede tilgange. Vi kombinerer dem bevidst for at efterligne reelle angrebsveje. Det afgørende er ikke etiketten, men resultatet: hvor langt en angriber kommer under virkelige betingelser — og hvad det betyder for din forretning.
Automatiserede pentests og vulnerability scans giver hastighed. Angribere anvender logik.
Værktøjer detekterer kendte sårbarheder, tjekker versioner og udfører foruddefinerede tests. Det er effektivt — men begrænset. De opererer på mønstre, ikke forståelse. Alt uden for disse mønstre forbliver usynligt.
Virkelige angreb fungerer anderledes. De kombinerer små svagheder til effektive angrebsveje. De udnytter forretningslogik, fejl i tilladelser og uventede systeminteraktioner. Det er præcis her, automatiserede tilgange fejler.
En “automatiseret pentest” er i praksis ikke en rigtig penetrationstest, men en avanceret scan med rapportering. Det, der mangler, er kernen: en angriber, der træffer beslutninger, danner hypoteser og aktivt søger eskaleringsveje.
Exfilion er manuelt fra design. Vi analyserer systemer i kontekst, udfordrer antagelser og kæder fund sammen til rigtige angreb. Ikke hver sårbarhed er kritisk — men den rette kombination er.
Forskellen er fundament: automatisering viser kendte problemer. Exfilion viser, hvordan et system faktisk kompromitteres.
Kort svar: nej. AI kan hjælpe — men kan ikke erstatte en rigtig penetrationstest.
Nuværende AI- og LLM-baserede værktøjer er effektive til at genkende mønstre, generere payloads eller analysere eksisterende fund. De fremskynder specifikke opgaver. Det, de mangler, er reel systemforståelse.
Virkelige angreb er ikke en sekvens af isolerede requests eller fund. De drives af beslutninger: hvilket spor er værd at forfølge, hvordan man kombinerer adgang, hvor eskalering er mulig, og hvad den reelle konsekvens er. Disse beslutninger kan ikke automatiseres.
Mange “AI-pentestværktøjer” er i bund og grund avancerede scannere med en klogere grænseflade. De producerer mere output, men ikke nødvendigvis mere dybde. Fejl i forretningslogik, komplekse autentifikationsflows og flertrins angrebsveje overses typisk.
Exfilion udnytter moderne værktøjer, herunder AI hvor det giver mening — men strengt taget som støtte. Kerne-arbejdet forbliver manuelt: dan hypoteser, forstå systemer og opbyg virkelige angrebsveje.
Det er forskellen: AI kan foreslå. En erfaren tester afgør, om det fører til et reelt kompromis.
Professionel europæisk securityboutique til elite-penetrationstestning, red teaming og exploit development.