ielaušanās tests
Pieteikt testu

Ofensīvā drošība

Ielaušanās tests – atrodi vājās vietas pirms uzbrucēja

Ielaušanās tests ir kontrolēts, atļauts uzbrukums tavām sistēmām. Speciālists atrod reālās vājās vietas un parāda, kā tās novērst. Latvijas uzņēmumiem NIS2 tvērumā tas ir arī normatīvs pienākums.

Pieteikt ielaušanās testu Kāpēc testēt
  • A klases sistēmām – reizi 3 gados (MK 397)
  • Balstīts Verizon DBIR un IBM datos
  • Saskaņots tvērums un dokumentēti rezultāti

Kas ir ielaušanās tests

Kontrolēts uzbrukums, kas atklāj reālās vājās vietas

Ielaušanās testā speciālists atļauti un droši uzbrūk tavām sistēmām kā īsts uzbrucējs – bet par atradumiem ziņo tev.

Ielaušanās tests (angļu val. penetration testing, ikdienā arī pentests) ir metode, kurā apmācīts speciālists atļauti un kontrolēti meklē un izmanto sistēmu, lietotņu un tīklu vājās vietas. Mērķis – parādīt, kā uzbrucējs iekļūtu, un kā to novērst.

Atšķirībā no automātiskas ievainojamību skenēšanas, ielaušanās tests pierāda, kuras vājās vietas ir reāli izmantojamas. Tas atšķir teorētiskus riskus no tiem, ar kuriem uzbrucējs tiešām piekļūtu datiem.

Rezultāts ir skaidrs ziņojums: kas atrasts, cik tas bīstams un kā to novērst – sakārtots pēc reālā riska.

Kāpēc testēt

Ko dod ielaušanās tests

Seši ieguvumi, ko tehniskā aizsardzība vien nesniedz.

  • Reālās vājās vietas

    Tests atklāj tiešām izmantojamas vājās vietas, nevis tikai teorētisku sarakstu. Redzi, kur uzbrucējs tiešām iekļūtu.

  • Vairāk nekā skenēšana

    Cilvēks savieno vairākas vājās vietas un atrod loģikas kļūdas, ko rīks neatpazīst.

  • Skaidras prioritātes

    Labs ziņojums pasaka, ko labot vispirms un kāpēc – lai ierobežotais laiks tiek tērēts svarīgākajam.

  • Atbilstība prasībām

    Daudzi noteikumi un standarti (NIS2, ISO 27001) prasa regulāru testēšanu. Tests to apliecina.

  • Pierādījums regulatoram

    Ziņojums un atkārtotais tests dokumentē, ka pārbaude tiešām notikusi. A klases sistēmām to prasa MK noteikumu Nr. 397 131. punkts.

  • Pārliecība partneriem

    Apliecinājums, ka drošība ir pārbaudīta, stiprina klientu un partneru uzticību.

Veidi

Ko var testēt

Testu vērš uz to, kas uzņēmumam ir svarīgākais. Biežākie mērķi:

  • Ārējais tīkls

    Internetā pieejamie pakalpojumi un serveri – uzbrukuma virsma, ko redz uzbrucējs.

    Piemērs: Neaizlāpīts VPN vai publiski pieejams administrācijas panelis.

  • Tīmekļa lietotne

    Tīmekļa lietotņu un API vājās vietas (OWASP).

    Piemērs: Piekļuves kontroles kļūda vai injekcija klientu portālā.

  • Iekšējais tīkls

    Ko uzbrucējs paveiktu, iekļuvis iekšā – kustība tīklā un tiesību paplašināšana.

    Piemērs: No vienas darbstacijas līdz domēna administratora tiesībām.

  • Bezvadu tīkls un citi

    Wi-Fi, mākoņpakalpojumi, mobilās lietotnes un sociālā inženierija pēc vajadzības.

    Piemērs: Vājš Wi-Fi paroles režīms vai nepareizi konfigurēts mākonis.

Kā notiek

Ielaušanās testa soļi

Pārvietojies pa soļiem, lai redzētu, kā tests norit no apjoma līdz ziņojumam.

Interaktīvais soļu skats nav pieejams. Visi testa soļi ir izlasāmi zemāk.

  1. Apjoms un noteikumi

    Vienojas, ko testē, kad un ar kādiem noteikumiem. Tas nodrošina drošību un likumību visā testā.

  2. Izlūkošana

    Apzina mērķus, pakalpojumus un uzbrukuma virsmu – informāciju, kas uzbrucējam būtu pieejama.

  3. Skenēšana un analīze

    Identificē ievainojamības un vājās vietas ar automātiskiem rīkiem un manuālu analīzi.

  4. Izmantošana

    Kontrolēti pierāda, ko ar vājajām vietām reāli var izdarīt – un cik tālu var tikt.

  5. Ziņojums un labošana

    Atradumus sakārto pēc svarīguma un sniedz konkrētus labošanas norādījumus; pēc labojumiem veic atkārtotu testu.

Definēt testa tvērumu

Solis 1 / 5

Apjoms un noteikumi

Vienojas, ko testē, kad un ar kādiem noteikumiem. Tas nodrošina drošību un likumību visā testā.

Definēt testa tvērumu

Sāc ar tvērumu

Uzraksti, kuras sistēmas jātestē – tīmekļa lietotne, tīkls, mākonis vai API. OffSeq palīdzēs noteikt tvērumu un atbildēs ar darba apjomu.

Datus izmantojam tikai atbildei uz šo pieprasījumu. Privātuma politika

Paldies, pieprasījums saņemts.

Atbildēsim uz norādīto e-pasta adresi.

Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.

Cena un ilgums

Kas nosaka testa cenu un ilgumu

Vienotas cenas ielaušanās testam nav, un jebkurš skaitlis bez tvēruma ir tukšs: darbu pārdod cilvēkdienās, un cena ir dienas likme, reizināta ar vajadzīgo dienu skaitu. Tāpēc salīdzināt ir vērts nevis kopsummas, bet to, kas tajās ietilpst.

Kas maina cilvēkdienu skaitu

  • Tvēruma apjoms. Cik sistēmu, domēnu, API galapunktu un lietotāju lomu ietilpst testā. Šis faktors ir lielākais.
  • Pieeja. Melnās kastes testā ievērojama laika daļa aiziet izpētei; pelēkajā un baltajā vairāk laika paliek pašai pārbaudei.
  • Sarežģītība. Individuāli izstrādāta lietotne ar daudzlīmeņu tiesību modeli prasa vairāk laika nekā tipveida infrastruktūra.
  • Vide. Tests darba vidē prasa piesardzīgākas metodes, saskaņotus logus un biežāku saziņu nekā tests atsevišķā testa vidē.
  • Nodevumi. Vadības kopsavilkums, tehniskais ziņojums, atkārtotais tests un rezultātu prezentācija ir atsevišķs darbs, ne visos piedāvājumos iekļauts.
  • Termiņš. Steidzams tests vai darbs ārpus parastā darba laika parasti maksā vairāk.

Kas nosaka kalendāro ilgumu

  • Sagatavošanās. Atļaujas, konti, testa dati un kontaktpersona. Šo posmu nosaka pasūtītājs, un tieši tas visbiežāk aizkavē testu.
  • Pārbaude. Nepārtraukts darbs saskaņotajā testa logā – tā ir tā daļa, ko cilvēki parasti sauc par “testu”.
  • Ziņojums. To raksta pēc pārbaudes, un tam vajadzīgas atsevišķas dienas; kvalitatīvs ziņojums nerodas pēdējā testa dienā.
  • Labošana un atkārtotais tests. Notiek pēc ziņojuma. To ir vērts ieplānot un iecenot jau līgumā, nevis apspriest pēc pusgada.

Ko prasīt piedāvājumā, lai cenas vispār var salīdzināt

  1. Cilvēkdienu skaits un tas, kā tās sadalās starp izpēti, pārbaudi un ziņojumu
  2. Vai atkārtotais tests ir cenā vai maksā atsevišķi
  3. Kādi nodevumi tiek piegādāti un kādā formātā
  4. Testētāja kvalifikācija un neatkarība – to Latvijā nosaka MK noteikumu Nr. 397 132. punkts
  5. Kas notiek, ja kritisku ievainojamību atrod jau testa pirmajā dienā

Vienam un tam pašam tvērumam paņem divus vai trīs piedāvājumus un salīdzini tos pa cilvēkdienām, nevis pa kopsummu. Būtiski atšķirīga kopsumma gandrīz vienmēr nozīmē atšķirīgu tvērumu vai atšķirīgus nodevumus, nevis atšķirīgu cenu par to pašu darbu.

Definēt testa tvērumu

Draudi skaitļos

Kāpēc testēšana atmaksājas

Pētījumi rāda ievainojamību apjomu un incidentu sekas. Testa tvērumu izvēlas pēc konkrētās organizācijas riskiem un sistēmām.

31 %
gadījumu, kuros zināms sākotnējās piekļuves veids, Verizon DBIR 2026 datos sākās ar ievainojamības izmantošanu – biežākais veids, gadu iepriekš 20 %.
Avots: Verizon DBIR 2026
62 %
Verizon DBIR 2026 analizēto datu aizsardzības pārkāpumu ietver cilvēka faktoru; tas neaprobežojas ar pikšķerēšanu.
Avots: Verizon DBIR 2026
247 dienas
vidēji vajadzēja datu aizsardzības pārkāpuma atklāšanai un ierobežošanai IBM 2026 pētījumā. Tas nav testa efektivitātes rādītājs.
Avots: IBM Cost of a Data Breach 2026
4,99 milj. $
bija vidējās datu aizsardzības pārkāpuma izmaksas IBM 2026 pētījumā. Konkrētas organizācijas zaudējumi var ievērojami atšķirties.
Avots: IBM Cost of a Data Breach 2026

Katram rādītājam pievienota atsauce uz oriģinālo avotu.

Uzņēmumiem

A klases sistēmām tests ir pienākums reizi trijos gados

Ja uzņēmums ietilpst Nacionālās kiberdrošības likuma tvērumā, testa biežumu un testētāja kvalifikāciju nosaka Ministru kabineta 2025. gada 25. jūnija noteikumi Nr. 397 “Minimālās kiberdrošības prasības”. Tie nav ieteikumi.

Ielaušanās testus veic šādos gadījumos: A klases informācijas sistēmai: pirms informācijas sistēmas nodošanas ekspluatācijā; vismaz reizi trijos gados informācijas sistēmas ekspluatācijas laikā [..]
MK noteikumu Nr. 397 131. punkts · likumi.lv
Pieteikt ielaušanās testu Pārbaudīt NIS2 tvērumu

  • Reizi trijos gados

    A klases informācijas sistēmai testu veic pirms nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados. Pārējām sistēmām biežumu izvēlas pēc riska – vai arī to pieprasa Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs.

  • Sertifikāts vai divu gadu pieredze

    Noteikumu 132. punkts prasa, lai ārējam testētājam būtu starptautiski atzīts sertifikāts ielaušanās testu jomā (noteikumos kā piemēri minēti CEH un OSCP) vai vismaz divu gadu pieredze ielaušanās testu veikšanā, kas iegūta pēdējo piecu gadu laikā.

  • Neatkarība no izstrādes

    Testētājs – arī paša uzņēmuma darbinieks – pēdējo triju gadu laikā nedrīkst būt bijis iesaistīts testējamās informācijas sistēmas izstrādē vai uzturēšanā.

  • IKT kritiskajai infrastruktūrai stingrāk

    Par ārējo testētāju vajadzīgs Satversmes aizsardzības biroja atzinums, un par testa rezultātiem SAB jāinformē nekavējoties, bet ne vēlāk kā 10 darbdienu laikā (134. punkts).

  • Vadība atbild par uzraudzību

    NIS2 un Nacionālās kiberdrošības likums prasa būtiskiem un svarīgiem subjektiem novērtēt drošības pasākumu efektivitāti, un par to uzraudzību atbild vadība.

Ceļveži

Padziļini zināšanas

Praktiski ceļveži par ielaušanās testēšanu un sagatavošanos tai.

Biežāk uzdotie jautājumi

Īsas, skaidras atbildes

Kas ir ielaušanās tests?

Atļauts un kontrolēts uzbrukums savām sistēmām, kurā speciālists meklē un izmanto vājās vietas kā īsts uzbrucējs – bet par atradumiem un to labošanu ziņo tev.

Cik maksā ielaušanās tests?

Vienotas cenas nav. Darbu pārdod cilvēkdienās, tāpēc cenu nosaka tvēruma apjoms, izvēlētā pieeja, sistēmas sarežģītība un tas, kādi nodevumi un vai atkārtotais tests ir iekļauti. Piedāvājumus salīdzini pa cilvēkdienām, nevis pa kopsummu – kas tieši nosaka cenu.

Cik ilgi notiek ielaušanās tests?

Kalendārais ilgums sastāv no četrām daļām: sagatavošanās (atļaujas, konti, testa dati), pati pārbaude saskaņotajā logā, ziņojuma sagatavošana un pēc labojumiem – atkārtotais tests. Visbiežāk kavējas nevis pārbaude, bet sagatavošanās, un to nosaka pasūtītājs.

Kāda atšķirība starp skenēšanu un ielaušanās testu?

Skenēšana ir automātiska un uzrāda iespējamo vājo vietu sarakstu. Testu veic cilvēks, un tas pierāda, kuras vājās vietas ir reāli izmantojamas, kā arī atrod loģikas kļūdas, ko rīks nepamana.

Cik bieži veikt ielaušanās testu?

Parasti vismaz reizi gadā un pēc būtiskām izmaiņām. Uzbrukuma virsma un ievainojamības mainās, tāpēc regulārums ir svarīgāks par vienreizēju testu.

Kas ir melnās, pelēkās un baltās kastes tests?

Tas raksturo testētājam iepriekš pieejamās informācijas apjomu: melnā kaste – ierobežota informācija, pelēkā – daļēja, baltā – plaša dokumentācija un bieži pirmkods. Pārklājumu un testēšanas mērķi nosaka atsevišķi.

Vai testēšana ir droša darba sistēmām?

Risku nevar pilnībā izslēgt. Tvērumu, atļautās metodes, pārtraukšanas nosacījumus, kontaktus un atjaunošanas iespējas saskaņo pirms testa. Potenciāli ietekmīgas darbības plāno atsevišķi.

Kas notiek pēc testa?

Saņem ziņojumu ar atradumiem, kas sakārtoti pēc svarīguma, un labošanas norādījumiem. Pēc labojumiem bieži veic atkārtotu testu, kas apstiprina, ka vājās vietas ir novērstas.

Vai NIS2 prasa ielaušanās testēšanu?

NIS2 paredz pasākumu efektivitātes izvērtēšanu. Latvijā MK noteikumu Nr. 397 131. punkts A klases informācijas sistēmām nosaka ielaušanās testu pirms ekspluatācijas un vismaz reizi trijos gados tās laikā, bet 132. punkts – prasības testētāja sertifikācijai, pieredzei un neatkarībai. Citām sistēmām pārbaudes izvēlas pēc riska un piemērojamām prasībām.

Uzraksti, ko vēlies testēt

Pastāsti, kādas sistēmas jāpārbauda, kāpēc un līdz kuram datumam. OffSeq atbildēs ar ieteikto tvērumu un darba apjomu.

Datus izmantojam tikai atbildei uz šo pieprasījumu. Privātuma politika

Paldies, pieprasījums saņemts.

Atbildēsim uz norādīto e-pasta adresi.

Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.

Atjaunināts