Fogalomtár › Biztonság

behatolásteszt

angolul: penetration testing

Megrendelt, engedéllyel végzett próbatámadás, amelyben szakemberek megpróbálnak betörni egy informatikai rendszerbe, hogy a gyenge pontokat a valódi támadók előtt találják meg.

Érthetően

Képzeld el, hogy felbérelsz egy megbízható lakatost: próbáljon meg bejutni a házadba, ahogy egy betörő tenné. Nem visz el semmit, de a végén elmondja, hogy a pinceablakon két perc alatt bent volt. A behatolásteszt ugyanez, csak számítógépes rendszerekkel: weboldalakkal, mobilalkalmazásokkal, céges hálózatokkal.

A tesztelő – más néven etikus hekker – ugyanazokat az eszközöket és trükköket használja, mint a bűnözők. A különbség az írásos engedély, az előre rögzített keret és az, hogy a végén javítási javaslatokat ad, nem váltságdíjat kér.

Attól más, mint egy egyszerű biztonsági ellenőrzés, hogy nem csak felsorolja a lehetséges hibákat, hanem ki is próbálja, mire lehet velük jutni. Így derül ki, hogy egy aprónak tűnő hiba valójában az egész ügyféladatbázishoz vezet-e.

Az AI két irányból is megjelent itt. Egyrészt AI-agentek már önállóan is keresnek és próbálnak ki sebezhetőségeket, másrészt magukat az AI-rendszereket is tesztelni kell, például hogy rá lehet-e venni őket ügyes szöveges utasítással valamire, amit nem szabadna megtenniük.

Hogyan működik

1. Megbízás és keretek: a megrendelő és a tesztelő írásban rögzíti, mit szabad támadni, mikor, milyen módszerekkel, és mit tilos (például éles rendszert leállítani).
2. Felderítés: a tesztelő összegyűjti, mi látszik a rendszerből kívülről – szerverek, programverziók, nyilvános e-mail-címek, elfelejtett tesztoldalak.
3. Sebezhetőségek keresése: automatikus eszközökkel és kézi vizsgálattal feltérképezi a gyenge pontokat, például elavult szoftvert, gyenge jelszót vagy hibás beállítást.
4. Kihasználás: ellenőrzött módon megpróbál tényleg bejutni, majd megnézi, meddig lehet onnan továbbjutni – eléri-e például az ügyféladatokat vagy a rendszergazdai jogokat.
5. Jelentés és újrateszt: a megrendelő részletes leírást kap a hibákról súlyosság szerint rangsorolva, javítási javaslatokkal; a javítás után a tesztelő újra ellenőrzi őket.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• Csak írásos engedéllyel jogszerű: ha engedély nélkül „teszteled” más rendszerét, az jó szándékkal is bűncselekmény lehet.
• Időben és terjedelemben korlátozott, ezért nem bizonyítja a hibák hiányát, csak azt, hogy a megtaláltak léteznek.
• Az eredmény minősége erősen függ a tesztelő tudásától; egy pusztán automata eszközzel készült olcsó „teszt” hamis biztonságérzetet adhat.
• Az AI-agentekkel végzett tesztelés gyorsabb és olcsóbb lehet, de az agent tévedhet, nem létező hibát jelezhet, túllépheti a kijelölt keretet, és ugyanez a technika a támadók kezében is ott van.

Hasonló, de nem ugyanaz

• sérülékenységvizsgálat – Az jórészt automatikus átfésülés, amely listát ad a lehetséges hibákról, míg a behatolásteszt ki is próbálja, hogy tényleg be lehet-e jutni rajtuk.
• red teaming – A red teaming hosszabb, rejtett, célvezérelt támadásszimuláció, amely a szervezet észlelési és védekezési képességét is méri, nem csak egy kijelölt rendszer hibáit keresi.
• bug bounty program – Ott folyamatosan, nyílt felhívásra, találatonként fizetve keresnek hibát független kutatók, míg a behatolásteszt egy megbízott csapat határidős, szerződéses munkája.

Kapcsolódó fogalmak

Röviden a története

A számítógépes rendszerekbe való „behatolás” (penetration) kérdését 1967-ben, egy amerikai számítástechnikai konferencián vetették fel először szélesebb szakmai körben. Ezt követően az amerikai kormányzat megbízásából úgynevezett tigriscsapatok kezdték módszeresen próbára tenni a rendszerek védelmét.

Hol tart most

2026 végén a behatolásteszt bevett, sok ágazatban kötelező gyakorlat. Az EU-ban például a pénzügyi szektorra vonatkozó, 2025 januárja óta alkalmazandó DORA-rendelet rendszeres biztonsági tesztelést ír elő, a jelentős intézményeknek pedig legalább háromévente valós támadást utánzó, úgynevezett fenyegetésalapú behatolástesztet. Az újdonság, hogy a munka egyre több részfeladatát AI-agentek végzik emberi felügyelettel, és maguk az AI-rendszerek is tesztelendő célponttá váltak.

Állapot: 2026. november

Más nevei

behatolásteszt · behatolási teszt · behatolásvizsgálat · betörésteszt · pentest · penteszt · penetration test · etikus hekkelés

Források

• Wikipedia: Penetration test
• NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
• OWASP Web Security Testing Guide

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.