Pentesting i henhold til Open Source Security Testing Methodology Manual
Open Source Security Testing Methodology Manual (OSSTMM) er en offentlig tilgjengelig standard for strukturert sikkerhetstesting. Den vedlikeholdes av ISECOM og følger en sterkt formalisert, akademisk orientert tilnærming med mål om å gjøre sikkerhet målbar og sammenlignbar.
OSSTMM ser på sikkerhet helhetlig på tvers av flere kanaler, blant annet menneskelig sikkerhet, fysisk sikkerhet, trådløse nettverk, telekommunikasjon og datanettverk. Standarden beskriver en omfattende modell for å vurdere sikkerhet på ulike angrepsflater.
I praksis brukes OSSTMM først og fremst som en akademisk og konseptuell referanseramme. Fokuset på mål, objektivitet og reproduserbarhet gir en teoretisk modell, mens konkrete tekniske testprosedyrer og angrepsdybde bare er delvis definert.
På grunn av kompleksitet og høy overhead brukes OSSTMM sjelden fullt ut. Ved virkelige penetrasjonstester er team vanligvis avhengige av mer pragmatiske metoder og praktisk erfaring.
Exfilion verdsetter den strukturerte tankegangen bak OSSTMM, men har tydelig fokus på praktisk gjennomføring og virkelige angrepsscenarier. Det avgjørende er ikke formell målbarhet, men teknisk validering gjennom reell kompromittering.
OSSTMM definerer en modell. Det avgjørende er praktisk utnyttbarhet.
Kompetanse
Exfilions testere leverer dokumentert offensiv kapasitet, ikke teori. Teamet vårt består av erfarne hackingeksperter med praktiske sertifiseringer som
OSCP (Offensive Security Certified Professional),
CRTO (Certified Red Team Operator) og
BACPP (Binsec Academy Certified Pentest Professional).
Til sammen forener Exfilion-teamet tiårsvis av erfaring med offensive vurderinger, red teaming og dyp teknisk analyse. Denne erfaringen er bygget under virkelige forhold, ikke i laboratoriemiljøer.
Pentest-retningslinjer
Standarder er utgangspunktet. Exfilion går mye lenger.
Standarder og regelverk definerer minimumet. De sier hva som må testes, men ikke hvor langt et ekte angrep kan gå. De gir struktur, men ikke sikkerhet.
Mange vurderinger stopper akkurat der kravene er oppfylt. Sjekklistene er avkrysset og kontrollene markert som etterlevde. Det er her blindsonene oppstår — for ekte angripere følger ikke standarder, de følger mulighetene.
Exfilion bruker standarder som utgangspunkt, ikke som grense. Gjennom erfaring, teknisk dybde og kreative offensive tilnærminger går vi bevisst utover dem for å avdekke såbarheter som forblir usynlige i konvensjonelle vurderinger.
Din leverandør av OSSTMM Pentest
Exfilion står for dyp teknisk, manuell penetrasjonstesting på elitenivå med tydelig fokus på virkelige angrepsbaner. Vi arbeider ikke etter sjekklister eller i stil med tradisjonelle pentestleverandører. Målet vårt er å kompromittere systemer reelt under realistiske forhold og avdekke deres virkelige angrepsflate. Exfilion er den spesialiserte leverandøren i Europa for OSSTMM penentrasjonstesting på elitenivå. Vi utarbeider gjerne et individuelt OSSTMM Pentest-tilbud.
Typiske spørsmål
På teknisk nivå bruker begge de samme teknikkene: utnyttelse, privilegieeskalering, lateral bevegelse. Forskjellen ligger ikke i verktøyene, men i målet.
En hacker opererer uten autorisasjon. Målet er tilgang, kontroll, dataeksfiltrering eller økonomisk gevinst. Ingen regler, ingen hensyn til konsekvenser, ingen åpenhet. Et vellykket angrep er et som forblir uoppdaget.
En elite-leverandør av penetrasjonstesting som Exfilion bruker samme angrepsmentalitet — men kontrollert og autorisert. Systemer testes under tydelig definerte vilkår med full sporbarhet. Hvert trinn dokumenteres, hvert funn er reproduserbar.
Den avgjørende forskjellen er nytteverdi. En ekte angriper forårsaker skade. Exfilion leverer innsikt. Vi viser ikke bare at et angrep er mulig, men hvordan det virker, hvor langt det når og hva som må fikses.
Elite-penetrasjonstesting betyr: tenk som en angriper, opptred som en partner — med mål om å avdekke reell risiko før den blir utnyttet.
Begrepene black box, grey box og white box definerer ikke kvaliteten på en pentest, men angriperens utgangspunkt. Den avgjørende forskjellen er hvor mye informasjon og tilgang testeren har, og hvilket angrepsscenario som simuleres.
En black box-pentest simulerer en ekstern angriper uten forkunnskap. Ingen credentials, ingen intern dokumentasjon — bare den eksponerte angrepsflaten. Målet er å vurdere om og hvordan en organisasjon kan kompromitteres utenfra. Fokuset er på rekognosering, enumerering og initial access.
En grey box-pentest speiler et mer realistisk scenario. Testeren får begrenset informasjon eller tilgang, for eksempel en standardbrukerkonto. Dette tilsvarer vanlige virkelige situasjoner som phishing eller lekkasje av innlogginger. Fokus skifter til privilegieeskalering, lateral bevegelse og utvidelse av kontroll i miljøet.
Ved en white box-pentest arbeider Exfilion med full innsikt i målsystemene. Arkitektur, kildekode eller konfigurasjoner er tilgjengelige. Dette muliggjør dyp teknisk analyse av kompleks logikk, skjulte såbarheter og ikke-selfselvbudende angrepsbaner. White box betyr ikke mindre realistisk — det betyr maksimal dybde.
I prakses ser ikke Exfilion disse modellene som isolerte tilnærminger. Vi kombinerer dem bevisst for å replikere virkelige angrepsbaner. Det som teller er ikke etiketten, men resultatet: hvor langt en angriper kommer under realistiske forhold — og hva det betyr for virksomheten din.
Automatiserte pentester og vulnerability-scanner gir fart. Angripere bruker logikk.
Verktøy oppdager kjente såbarheter, sjekker versjoner og utfører forhåndsdefinerte tester. Dette er effektivt — men begrenset. De opererer på mønstre, ikke forståelse. Alt utenfor disse mønstrene forblir usynlig.
Ekte angrep fungerer annerledes. De kombinerer små svakheter til effektive angrepsbaner. De utnytter forretningslogikk, feil i tilganger og uventede systeminteraksjoner. Det er her automatiserte tilnærminger feiler.
En “automatisert pentest” er i praksis ikke en ekte penetrasjonstest, men en avansert skanning med rapportering. Det som mangler, er kjernen: en angriper som tar beslutninger, danner hypoteser og aktivt ser etter eskaleringsbaner.
Exfilion er manuelt fra design. Vi analyserer systemer i kontekst, utfordrer antakelser og lenker funn sammen til ekte angrep. Ikke hver såbarhet er kritisk — men riktig kombinasjon er det.
Forskjellen er fundamentalt: automatisering viser kjente problemer. Exfilion viser hvordan et system faktisk kompromitteres.
Kort svar: nei. AI kan bistå — men kan ikke erstatte en ekte penetrasjonstest.
Nåværende AI- og LLM-baserte verktøy er effektive på å gjenkjenne mønstre, generere payloads eller analysere eksisterende funn. De fremskynder bestemte oppgaver. Det de mangler, er ekte systemforståelse.
Ekte angrep er ikke en rekke isolerte forespørsler eller funn. De drives av beslutninger: hvilket spor er verdt å følge, hvordan man kombinerer tilganger, hvor eskalering er mulig og hva den reelle konsekvensen er. Disse beslutningene kan ikke automatiseres.
Mange “AI-pentestverktøy” er i bunn og grunn avanserte skannerer med et smartere grensesnitt. De produserer mer output, men ikke nødvendigvis mer dybde. Feil i forretningslogikk, komplekse autentiseringsflyter og flertrinns angrepsbaner overses typisk.
Exfilion utnytter moderne verktøy, inkludert AI der det gir mening — men strengt som støtte. Kjernejobben forblir manuell: dan hypoteser, forstå systemer og bygg virkelige angrepsbaner.
Det er forskjellen: AI kan foreslå. En erfaren tester avgjør om det fører til et ekte kompromiss.
Profesjonell europeisk security boutique for elite-penetrasjonstesting, red teaming og exploit development.