Pentesting enligt Open Source Security Testing Methodology Manual
Open Source Security Testing Methodology Manual (OSSTMM) är en publikt tillgänglig standard för strukturerad säkerhetstestning. Den underhålls av ISECOM och följer ett högt formaliserat, akademiskt inriktat förhållningssätt som syftar till att göra säkerhet mätbar och jämförbar.
OSSTMM ser på säkerhet helhetsmässigt över flera kanaler, bland annat mänsklig säkerhet, fysisk säkerhet, trådlösa nätverk, telekommunikation och datanät. Standarden beskriver en omfattande modell för att bedöma säkerhet över olika attackytor.
I praktiken används OSSTMM främst som ett akademiskt och begreppsmässigt referensramverk. Fokuset på nyckeltal, objektivitet och reproducerbarhet leder till en teoretisk modell, medan konkreta testprocedurer och tekniskt djup bara beskrivs delvis.
På grund av komplexiteten och den höga overheaden tillämpas OSSTMM sällan fullständigt. Vid verklig penetrationstestning förlitar sig team därför vanligtvis på mer pragmatiska metoder och praktisk erfarenhet.
Exfilion värdesätter den strukturerade tankegången bakom OSSTMM men har tydligt fokus på praktiskt utförande och verkliga attackscenarier. Det avgörande är inte formell mätbarhet, utan teknisk validering genom faktisk kompromettering.
OSSTMM definierar en modell. Det avgörande är praktisk utnyttjbarhet.
Kompetens
Exfilions testare levererar beprövad offensiv förmåga, inte teori. Vårt team består av erfarne hackingexperter med praktiska certifieringar som
OSCP (Offensive Security Certified Professional),
CRTO (Certified Red Team Operator) och
BACPP (Binsec Academy Certified Pentest Professional).
Tillsammans förenar Exfilion-teamet decennier av erfarenhet av offensiva bedömningar, red teaming och djup teknisk analys. Denna erfarenhet har byggts under verkliga förhållanden, inte i labbmiljöer.
Riktlinjer för pentestning
Standarderna är basnivån. Exfilion går mycket längre.
Standarder och regelverk definierar miniminivån. De anger vad som bör testas men inte hur långt en verklig attack kan gå. De ger struktur men inte säkerhet.
Många bedömningar stannar precis där kraven är uppfyllda. Checklistor bockas av och kontroller markeras som efterlevda. Det är här blindfläckarna uppstår, för verkliga angripare följer inte standarder — de följer möjligheter.
Exfilion använder standarder som utgångspunkt, inte som gräns. Genom erfarenhet, tekniskt djup och kreativa offensiva angreppssätt går vi medvetet bortom dem för att upptäcka sårbarheter som förblir osynliga i konventionella bedömningar.
Din leverantör av OSSTMM Pentest
Exfilion står för djupt teknisk, manuell penetrationstestning på elitnivå med tydligt fokus på verkliga attackvägar. Vi arbetar inte efter checklistor eller i stil med traditionella pentestleverantörer. Vårt mål är att faktiskt kompromettera system under verkliga förhållanden och synliggöra deras verkliga attackyta. Exfilion är den specialiserade leverantören i Europa för OSSTMM penetrationstestning på elitnivå. Vi tar gärna fram en individuell OSSTMM Pentestoffert.
Typiska frågor
På teknisk nivå använder båda samma tekniker: exploatering, behörighetshöjning, lateral rörelse. Skillnaden ligger inte i verktygen, utan i målet.
En hackare verkar utan behörighet. Målet är åtkomst, kontroll, dataexfiltrering eller ekonomisk vinst. Inga regler, ingen hänsyn till konsekvenser, ingen öppenhet. En framgångsrik attack är en som förblir oupptäckt.
En elite-leverantör av penetrationstestning som Exfilion tillämpar samma angripsmentalitet — men kontrollerat och behörigt. System testas under tydligt definierade förhållanden med full spårbarhet. Varje steg dokumenteras, varje fynd är reproducerbart.
Den avgörande skillnaden är användbarhet. En verklig angripare orsakar skada. Exfilion levererar insikt. Vi visar inte bara att en attack är möjlig, utan hur den fungerar, hur långt den når och vad som måste åtgärdas.
Elite-penetrationstestning innebär: tänk som en angripare, uppträd som en partner — med målet att synliggöra verklig risk innan den utnyttjas.
Termerna black box, grey box och white box definierar inte kvaliteten på en penetrationstest, utan angriparens utgångsläge. Den avgörande skillnaden är hur mycket information och åtkomst testaren har och vilket attackscenario som simuleras.
En black box-penetrationstest simulerar en extern angripare utan förkunskap. Inga uppgifter, ingen intern dokumentation — bara den exponerade attackytan. Målet är att bedöma huruvida och hur en organisation kan komprometteras utifrån. Fokus ligger på rekognosering, enumerering och initial access.
En grey box-penetrationstest speglar ett mer realistiskt scenario. Testaren får begränsad information eller åtkomst, till exempel ett användarkonto. Detta motsvarar vanliga verkliga situationer som nätfiske eller läckta inloggningar. Fokus skiftar mot behörighetshöjning, lateral rörelse och utökad kontroll i miljön.
Vid en white box-penetrationstest arbetar Exfilion med full insyn i målsystemen. Arkitektur, källkod eller konfigurationer finns tillgängliga. Detta möjliggör djup teknisk analys av komplex logik, dolda sårbarheter och icke-uppenbara attackvägar. White box betyder inte mindre realistiskt — det betyder maximalt djup.
I praktiken ser Exfilion inte dessa modeller som isolerade angreppssätt. Vi kombinerar dem medvetet för att återskapa verkliga attackvägar. Det viktiga är inte etiketten, utan resultatet: hur långt en angripare kommer under realistiska förhållanden — och vad det innebär för din verksamhet.
Automatiserade pentester och sårbarhetsskanningar ger snabbhet. Angripare tillämpar logik.
Verktyg upptäcker kända sårbarheter, kontrollerar versioner och kör fördefinierade tester. Detta är effektivt — men begränsat. De arbetar med mönster, inte förståelse. Allt utanför mönstren förblir osynligt.
Verkliga attacker fungerar annorlunda. De kombinerar små svagheter till effektiva attackvägar. De utnyttjar affärslogik, behörighetsfel och oväntade systeminteraktioner. Det är här automatiserade angreppssätt fallerar.
En “automatiserad pentest” är i praktiken ingen riktig penetrationstest utan en avancerad skanning med rapportering. Det som saknas är kärnan: en angripare som fattar beslut, bildar hypoteser och aktivt söker efter eskaleringsvägar.
Exfilion är manuellt som grundtanke. Vi analyserar system i kontext, utmanar antaganden och länkar samman fynd till riktiga attacker. Inte varje sårbarhet är kritisk — men rätt kombination är det.
Skillnaden är fundamentalt: automatisering visar kända problem. Exfilion visar hur systemet faktiskt komprometteras.
Kort svar: nej. AI kan hjälpa — men kan inte ersätta en verklig penetrationstest.
Nutida AI- och LLM-baserade verktyg är effektiva på att känna igen mönster, generera payloads eller analysera befintliga fynd. De snabbar upp specifika uppgifter. Det de saknar är verklig systemförståelse.
Verkliga attacker är inte en följd av isolerade förfrågningar eller fynd. De drivs av beslut: vilket spår är värt att följa, hur man kombinerar åtkomst, var höjning är möjlig och vad den verkliga konsekvensen är. Dessa beslut kan inte automatiseras.
Många “AI-pentestverktyg” är i grunden avancerade skannerare med ett smartare gränssnitt. De producerar mer utdata, men inte nödvändigtvis mer djup. Fel i affärslogik, komplexa autentiseringsflöden och flerstegs attackvägar missas vanligtvis.
Exfilion använder modern verktyg, inklusive AI där det är motiverat — men strikt som stöd. kärnarbetet förblir manuellt: bilda hypoteser, förstå system och bygga verkliga attackvägar.
Det är skillnaden: AI kan föreslå. En erfaren testare avgör om det leder till en verklig kompromittering.
Professionell europeisk securityboutique för elite-penetrationstestning, red teaming och exploit development.