Vulnerability Assessment vs Penetration Test: Koja je razlika i šta vam treba?

← Blog

Vulnerability Assessment (VA)

Vulnerability Assessment je sistematski proces identifikacije, kvantifikacije i prioritizacije bezbednosnih ranjivosti u sistemu. Cilj je dobiti LISTU svih poznatih ranjivosti sa severity ocenom — ne dokazati da su iskoristive.

Karakteristike VA

• Širok obim: Pokriva čitav sistem, sve komponente, sva zaglavlja, sve ranjivosti iz baze podataka
• Pasivna metodologija: Ne eksploatiše ranjivosti, samo ih identifikuje i klasifikuje
• Automatizovano + manuelno: Kombinacija automatizovanih skenera i manuelne analize
• Rezultat: Lista ranjivosti sa CVSS ocenom, opisom i preporukom za remedijaciju
• Frekvencija: Može i treba da se ponavlja redovno (mesečno, kvartalno)
• Trošak: Nekoliko stotina do nekoliko hiljada eura po proceni

Penetration Testing (Pentest)

Penetration Testing je simulacija napada stvarnog napadača. Tester aktivno pokušava da eksploatiše pronađene ranjivosti, ulančava ih (chaining), pivotira kroz sistem i dokazuje realni uticaj. Cilj je demonstrirati šta napadač može zapravo postići.

Karakteristike Pentesta

• Dubina > širina: Fokus na specifičan scope (web app, API, infrastruktura)
• Aktivna eksploatacija: Tester pokušava da proba i dokaže ranjivosti
• Manuelno vođen: Zahteva kreativnost i znanje napadača, ne može biti potpuno automatizovan
• Rezultat: Narativni izveštaj sa dokazanom eksploatacijom, screenshot-ovima, korakom po korakom
• Frekvencija: Godišnje, ili posle značajnih promena u sistemu
• Trošak: €5.000–€50.000+ zavisno od opsega

Analogija: Doktor vs Hirurg

Vulnerability Assessment je kao sistematski pregled kod doktora: identificira sve potencijalne zdravstvene probleme, daje dijagnozu i preporuke za lečenje. Pentest je kao hirurg koji operativno dokazuje da problem zaista zahteva intervenciju — ali i koji nosi rizik (operacija može imati komplikacije, kao što pentest može prouzrokovati downtime).

Šta svaka metoda otkriva

Samo VA otkriva

• Zastareli software sa poznatim CVE-jevima
• Nedostajuće security headers u celom sistemu
• Pogrešno konfigurisane TLS/SSL postavke
• Izložene admin interfejse i backup fajlove
• SPF/DKIM/DMARC greške

Samo Pentest otkriva

• Lanac ranjivosti: mala ranjivost A + mala ranjivost B = kritičan napad
• Poslovne logičke greške (price manipulation, IDOR bez poznatog CVE-ja)
• Napadi koji zahtevaju kontekst aplikacije (privilege escalation kroz sekvenciju zahteva)
• Zero-day i custom ranjivosti specifične za vašu implementaciju

Red teaming

Red team vežba je proširenje pentesta: tim simulira realnog naprednog napadača (APT) kroz duži period, sa ciljem probijanja cele organizacione odbrane — ne samo jedne aplikacije. Uključuje phishing, social engineering, fizički pristup i lateralno kretanje kroz mrežu. Relevantno samo za zrelije organizacije sa uspostavljenim security programom.

Kako Shieldome Scout uklapa u ovaj okvir

Shieldome Scout pruža automatizovanu, pasivnu vulnerability procenu web aplikacija — VA pristup koji se može pokretati redovno bez rizika disrupcije. Identifikuje OWASP Top 10 ranjivosti, bezbednosne greške konfiguracije i izložene resurse. Pentest od certifikovanog testera dolazi kao sledeći korak za produbljivanje nalaza koje VA identificuje.

← Blog

Vulnerability Assessment (VA)

Vulnerability Assessment is a systematic process of identifying, quantifying, and prioritizing security vulnerabilities in a system. The goal is to get a LIST of all known vulnerabilities with a severity rating — not to prove they are exploitable.

VA Characteristics

• Broad scope: Covers the entire system, all components, all headers, all vulnerabilities from databases
• Passive methodology: Doesn't exploit vulnerabilities, only identifies and classifies them
• Result: List of vulnerabilities with CVSS score, description, and remediation recommendation
• Frequency: Can and should be repeated regularly (monthly, quarterly)
• Cost: A few hundred to a few thousand euros per assessment

Penetration Testing (Pentest)

Penetration Testing is a simulation of an attack by a real attacker. The tester actively tries to exploit found vulnerabilities, chains them, pivots through the system, and proves real impact. The goal is to demonstrate what an attacker can actually achieve.

Pentest Characteristics

• Depth over breadth: Focus on specific scope (web app, API, infrastructure)
• Active exploitation: The tester attempts to probe and prove vulnerabilities
• Manually driven: Requires attacker creativity and knowledge, cannot be fully automated
• Frequency: Annually, or after significant system changes
• Cost: €5,000–€50,000+ depending on scope

What Each Method Discovers

VA Exclusively Finds

• Outdated software with known CVEs
• Missing security headers across the system
• Misconfigured TLS/SSL settings
• Exposed admin interfaces and backup files

Pentest Exclusively Finds

• Vulnerability chains: small vulnerability A + small vulnerability B = critical attack
• Business logic flaws (price manipulation, IDOR without a known CVE)
• Zero-days and custom vulnerabilities specific to your implementation

How Shieldome Scout Fits This Framework

Shieldome Scout provides automated, passive vulnerability assessment of web applications — a VA approach that can be run regularly without risk of disruption. It identifies OWASP Top 10 vulnerabilities, security configuration errors, and exposed resources. A pentest from a certified tester comes as the next step for deepening the findings that VA identifies.