Pentesting Intern IT-infrastruktur
En intern penetrationstest hos Exfilion besvarar den avgörande frågan efter varje första kompromettering: hur långt kommer en angripare egentligen när hen redan har åtkomst till det interna nätverket?
Vi bedömer er miljö utifrån en angripares perspektiv med nätverksåtkomst. Det kan vara en komprometterad klient, en stulen VPN-åtkomst, ett opriviligerat användarkonto eller ett insiderscenario. Det viktiga är inte själva instegen, utan vad angriparen kan bygga vidare på.
Beroende på mål börjar vi antingen i ett blackboxscenari utan inloggningsuppgifter eller med ett opriviligerat användarkonto. I blackboxfallet undersöker vi vilka attackytor som finns i det interna nätverket även utan kända uppgifter. Med ett vanligt användarkonto bedömer vi även typiska behörigheter och begränsningar samt om de kan utnyttjas för laterala rörelser eller behörighetshöjning.
Om så önskas kan bedömningen utökas med en bedömning av fysiskt säkerhet. Vi kontrollerar då om fysiska svagheter öppnar vägen till känsliga zoner eller direkt till det interna nätverket. I verkliga attackscenarier är fysisk åtkomst ofta utgångspunkten för en bredare kompromettering.
Kärnan är systematisk analys av interna attackytor. Typiska mål är Active Directory och identitetsmiljöer, interna tjänster som SMB, RDP, FTP och databaser, interna webbapplikationer och API:er, nätverkssegmentering, brandäggs- och ACL-regler, trådlös infrastruktur samt IoT- och OT-komponenter.
Det verkliga djupet kommer från manuell analys. Vi behandlar inte svagheter som isolerade fynd. Vi kombinerar sårbarheter, felaktiga konfigurationer och förtroenderelationer till realistiska attackvägar. Särskilt aktuella är autentiseringsuppgifter som exponeras, behörighetshöjning, osäkra delegeringar, konfigurationsfel i AD, DNS, SMB, LDAP eller Kerberos samt laterala rörelser mellan system och segment.
När användbara attackvägar framträder validerar vi dem kontrollerat inom överenskommen omfattning. Målet är inte att producera så många fynd som möjligt, utan att tillförlitligt besvara de operativa nyckelfrågorna: kan privilegierad åtkomst övertas, kritiska system nås och känslig data komprometteras?
Metodiskt utgår vi från etablerade standarder såsom OWASP Testing Guide, OSSTMM och Penetration Testing Execution Standard (PTES). Dessa fungerar enbart som utgångspunkt. Det verkliga djupet skapas av vår praktiska, offensiva ansats inriktad på verkliga attacktekniker och faktiska komprometteringsscenarier, inte på formell efterlevnad.
Avslutningsvis finns inte en abstrakt riskanalys, utan en tydlig slutsats: vilka interna attackvägar som finns och hur långt en angripare faktiskt kan ta sig.
Kompetens
Exfilions testare levererar beprövad offensiv förmåga, inte teori. Vårt team består av erfarne hackingexperter med praktiska certifieringar som
OSCP (Offensive Security Certified Professional),
CRTO (Certified Red Team Operator) och
BACPP (Binsec Academy Certified Pentest Professional).
Tillsammans förenar Exfilion-teamet decennier av erfarenhet av offensiva bedömningar, red teaming och djup teknisk analys. Denna erfarenhet har byggts under verkliga förhållanden, inte i labbmiljöer.
Riktlinjer för pentestning
Standarderna är basnivån. Exfilion går mycket längre.
Standarder och regelverk definierar miniminivån. De anger vad som bör testas men inte hur långt en verklig attack kan gå. De ger struktur men inte säkerhet.
Många bedömningar stannar precis där kraven är uppfyllda. Checklistor bockas av och kontroller markeras som efterlevda. Det är här blindfläckarna uppstår, för verkliga angripare följer inte standarder — de följer möjligheter.
Exfilion använder standarder som utgångspunkt, inte som gräns. Genom erfarenhet, tekniskt djup och kreativa offensiva angreppssätt går vi medvetet bortom dem för att upptäcka sårbarheter som förblir osynliga i konventionella bedömningar.
Din leverantör av Intern Pentest
Exfilion står för djupt teknisk, manuell penetrationstestning på elitnivå med tydligt fokus på verkliga attackvägar. Vi arbetar inte efter checklistor eller i stil med traditionella pentestleverantörer. Vårt mål är att faktiskt kompromettera system under verkliga förhållanden och synliggöra deras verkliga attackyta. Exfilion är den specialiserade leverantören i Europa för Intern penetrationstestning på elitnivå. Vi tar gärna fram en individuell Intern Pentestoffert.
Typiska frågor
På teknisk nivå använder båda samma tekniker: exploatering, behörighetshöjning, lateral rörelse. Skillnaden ligger inte i verktygen, utan i målet.
En hackare verkar utan behörighet. Målet är åtkomst, kontroll, dataexfiltrering eller ekonomisk vinst. Inga regler, ingen hänsyn till konsekvenser, ingen öppenhet. En framgångsrik attack är en som förblir oupptäckt.
En elite-leverantör av penetrationstestning som Exfilion tillämpar samma angripsmentalitet — men kontrollerat och behörigt. System testas under tydligt definierade förhållanden med full spårbarhet. Varje steg dokumenteras, varje fynd är reproducerbart.
Den avgörande skillnaden är användbarhet. En verklig angripare orsakar skada. Exfilion levererar insikt. Vi visar inte bara att en attack är möjlig, utan hur den fungerar, hur långt den når och vad som måste åtgärdas.
Elite-penetrationstestning innebär: tänk som en angripare, uppträd som en partner — med målet att synliggöra verklig risk innan den utnyttjas.
Termerna black box, grey box och white box definierar inte kvaliteten på en penetrationstest, utan angriparens utgångsläge. Den avgörande skillnaden är hur mycket information och åtkomst testaren har och vilket attackscenario som simuleras.
En black box-penetrationstest simulerar en extern angripare utan förkunskap. Inga uppgifter, ingen intern dokumentation — bara den exponerade attackytan. Målet är att bedöma huruvida och hur en organisation kan komprometteras utifrån. Fokus ligger på rekognosering, enumerering och initial access.
En grey box-penetrationstest speglar ett mer realistiskt scenario. Testaren får begränsad information eller åtkomst, till exempel ett användarkonto. Detta motsvarar vanliga verkliga situationer som nätfiske eller läckta inloggningar. Fokus skiftar mot behörighetshöjning, lateral rörelse och utökad kontroll i miljön.
Vid en white box-penetrationstest arbetar Exfilion med full insyn i målsystemen. Arkitektur, källkod eller konfigurationer finns tillgängliga. Detta möjliggör djup teknisk analys av komplex logik, dolda sårbarheter och icke-uppenbara attackvägar. White box betyder inte mindre realistiskt — det betyder maximalt djup.
I praktiken ser Exfilion inte dessa modeller som isolerade angreppssätt. Vi kombinerar dem medvetet för att återskapa verkliga attackvägar. Det viktiga är inte etiketten, utan resultatet: hur långt en angripare kommer under realistiska förhållanden — och vad det innebär för din verksamhet.
Automatiserade pentester och sårbarhetsskanningar ger snabbhet. Angripare tillämpar logik.
Verktyg upptäcker kända sårbarheter, kontrollerar versioner och kör fördefinierade tester. Detta är effektivt — men begränsat. De arbetar med mönster, inte förståelse. Allt utanför mönstren förblir osynligt.
Verkliga attacker fungerar annorlunda. De kombinerar små svagheter till effektiva attackvägar. De utnyttjar affärslogik, behörighetsfel och oväntade systeminteraktioner. Det är här automatiserade angreppssätt fallerar.
En “automatiserad pentest” är i praktiken ingen riktig penetrationstest utan en avancerad skanning med rapportering. Det som saknas är kärnan: en angripare som fattar beslut, bildar hypoteser och aktivt söker efter eskaleringsvägar.
Exfilion är manuellt som grundtanke. Vi analyserar system i kontext, utmanar antaganden och länkar samman fynd till riktiga attacker. Inte varje sårbarhet är kritisk — men rätt kombination är det.
Skillnaden är fundamentalt: automatisering visar kända problem. Exfilion visar hur systemet faktiskt komprometteras.
Kort svar: nej. AI kan hjälpa — men kan inte ersätta en verklig penetrationstest.
Nutida AI- och LLM-baserade verktyg är effektiva på att känna igen mönster, generera payloads eller analysera befintliga fynd. De snabbar upp specifika uppgifter. Det de saknar är verklig systemförståelse.
Verkliga attacker är inte en följd av isolerade förfrågningar eller fynd. De drivs av beslut: vilket spår är värt att följa, hur man kombinerar åtkomst, var höjning är möjlig och vad den verkliga konsekvensen är. Dessa beslut kan inte automatiseras.
Många “AI-pentestverktyg” är i grunden avancerade skannerare med ett smartare gränssnitt. De producerar mer utdata, men inte nödvändigtvis mer djup. Fel i affärslogik, komplexa autentiseringsflöden och flerstegs attackvägar missas vanligtvis.
Exfilion använder modern verktyg, inklusive AI där det är motiverat — men strikt som stöd. kärnarbetet förblir manuellt: bilda hypoteser, förstå system och bygga verkliga attackvägar.
Det är skillnaden: AI kan föreslå. En erfaren testare avgör om det leder till en verklig kompromittering.
Professionell europeisk securityboutique för elite-penetrationstestning, red teaming och exploit development.