# Test de penetrare

> Test de penetrare pentru aplicații web, rețea, Active Directory, API și cloud: raport cu CVSS, dovezi și plan de remediere. Cere o ofertă de pentest.

URL: https://secureitsolutions.ro/test-de-penetrare/  
Actualizat: 2026-10-30  
Sursă: secureitsolutions.ro

**Test de penetrare (pentest) pentru aplicații web și infrastructură**

Testul de penetrare este un atac simulat și controlat asupra sistemelor firmei, care arată ce vulnerabilități pot fi exploatate efectiv, cu ce impact și în ce ordine trebuie reparate. Prețul se stabilește după scope.

Preț: La cerere, după stabilirea perimetrului (Prețul depinde de numărul de aplicații, endpoint-uri și adrese IP testate, de abordare (black, grey sau white-box) și de numărul de locații.)

## Ce include

- **Pentest aplicații web.** Site-uri, portaluri și aplicații SaaS: OWASP Top 10, logica de business, autentificare, sesiuni, upload de fișiere și configurări TLS.
- **Pentest infrastructură și rețea.** Perimetru, servere, firewall, segmentare și Active Directory, cu teste externe, interne și de tip assume breach.
- **Pentest API și cloud.** API-uri REST și GraphQL, plus configurările IAM, stocarea și rețeaua din AWS, Azure sau Google Cloud.
- **Aplicații mobile și Wi-Fi.** Aplicații iOS și Android înainte de publicare și rețele wireless corporate, inclusiv separarea rețelei pentru invitați.
- **Social engineering.** Simulări de phishing țintit care arată cum reacționează angajații, ca parte din programul de conștientizare.
- **Raport și re-testare.** Raport executiv și tehnic, cu scor CVSS și dovadă pentru fiecare vulnerabilitate, plus re-testarea gratuită a celor critice după remediere.

## Ce este un test de penetrare

Un pentest este diferit de o scanare automată. Scanerul găsește vulnerabilități cunoscute; specialistul verifică dacă pot fi exploatate și cum un atacator ar combina mai multe slăbiciuni mici într-un atac reușit. Rezultatul nu este o listă cu sute de alerte generice, ci un set restrâns de probleme cu impact dovedit și pași clari de remediere.

Urmăm metodologii recunoscute: OWASP pentru aplicații web, PTES și NIST SP 800-115 pentru infrastructură.

| Aspect | Scanare de vulnerabilități | Test de penetrare |
|---|---|---|
| Cum se face | automat, periodic | manual și automat, punctual |
| Ce găsește | vulnerabilități cunoscute | vulnerabilități și lanțuri de exploatare |
| Confirmă exploatarea | nu | da, cu dovadă |
| Când | lunar sau trimestrial | anual și după schimbări majore |

### Pentest pentru aplicații web

Testăm OWASP Top 10, logica de business (manipularea prețurilor, condiții de cursă, ocolirea limitelor), autentificarea și autorizarea, inclusiv MFA, JWT și IDOR, securitatea API-urilor, cookie-urile și sesiunile, headerele de securitate și upload-ul de fișiere. API-urile din spatele aplicației intră în același scope. Recomandăm abordarea grey-box, cu acces de utilizator obișnuit, ca echilibru bun între acoperire și cost; white-box, cu acces la codul sursă, pentru aplicațiile critice.

### Pentest pentru infrastructură și Active Directory

Verificăm perimetrul (porturi și servicii expuse, VPN, RDP sau SSH deschise), segmentarea rețelei, serverele și Active Directory, ținta principală în majoritatea atacurilor. Testăm și dacă un atacator ar putea ajunge la backup-uri și dacă monitorizarea existentă detectează activitatea. Un pentest extern pentru 5–20 de adrese IP publice durează 5–10 zile, iar unul intern pe 100–500 de endpoint-uri durează 10–15 zile.

## Ce primești și ce urmează

Raportul conține un sumar executiv pentru conducere, lista detaliată a vulnerabilităților cu scor CVSS, dovadă și recomandare, cronologia testelor și maparea la NIS2, ISO 27001 sau GDPR, după caz. Pentru estimarea bugetului, citește [cât costă un audit de securitate cibernetică în România](/blog/cat-costa-audit-securitate-cibernetica-romania/); pentru ce faci după raport, vezi [de ce contează patch management-ul rapid](/blog/vulnerabilitati-critice-de-ce-conteaza-patch-management-ul-rapid/).

După pentest putem prelua protecția continuă prin [securitate cibernetică și continuitate](/securitate-cibernetica-continuitate/) și documentația prin [conformitate NIS2 și GDPR](/conformitate-nis2-gdpr/). Comunicăm direct, în română, și semnăm NDA înainte de discuția de scope, la cerere. [Cere o ofertă de pentest](/#oferta).

## Cum lucrăm

1. **Scope și reguli de angajament.** Stabilim în scris sistemele testate, metodele permise, ferestrele de timp și persoanele de contact pentru urgențe.
2. **Recunoaștere și identificare.** Mapăm suprafața de atac și combinăm scanarea automată cu analiza manuală, ca să eliminăm rezultatele fals pozitive.
3. **Exploatare controlată.** Confirmăm că vulnerabilitățile pot fi exploatate și cât de departe ar ajunge un atacator, fără operațiuni care pot afecta producția.
4. **Raport și debrief.** Prezentăm rezultatele conducerii și echipei IT și re-testăm vulnerabilitățile critice după remediere.

## Întrebări frecvente

### Cât durează un pentest?

Depinde de scope. O aplicație web mică, sub 30 de endpoint-uri, durează 5–7 zile lucrătoare, iar o infrastructură de rețea medie 10–15 zile lucrătoare. La acestea se adaugă 3–5 zile pentru raportare.

### Cât costă un pentest?

Prețul depinde de perimetru: o singură aplicație web mică se testează în câteva zile, iar un audit complet al unei companii medii, cu mai multe locații, durează câteva săptămâni. După discuția despre perimetru primești o ofertă fixă, în euro + TVA.

### Poate pentestul să afecteze sistemele de producție?

Riscul există, dar este controlat. Stabilim dinainte operațiunile interzise, precum atacurile de tip DoS sau fuzzing-ul intens pe servere de producție, și lucrăm în ferestre agreate. Pentru sistemele critice testăm pe o copie sau în afara programului.

### Cât de des trebuie făcut un pentest?

Recomandăm cel puțin o dată pe an, plus după schimbări majore: migrare în cloud, o aplicație nouă, restructurarea Active Directory. Pentru organizațiile vizate de NIS2 sau care urmăresc ISO 27001, frecvența face parte din planul de conformitate.

### Pentestul include și remedierea?

Standard livrăm raportul cu recomandări și re-testăm vulnerabilitățile critice. Remedierea o putem face ca proiect separat sau în cadrul unui contract de securitate cibernetică.

Cere o ofertă: https://secureitsolutions.ro/#oferta