Black box, grey box eller white box: hur mycket ska ni berätta?

Argumentet för black box är realism: en riktig angripare får inga ritningar. Argumentet mot är att en riktig angripare inte heller har en deadline eller en faktura, och asymmetrin ligger i tiden snarare än i kunskapen.

I praktiken går en betydande del av ett black box-uppdrag till att ta reda på sådant ni redan vet. Vilka domäner som finns, vilka tjänster som svarar, hur inloggningen fungerar. Det är arbete ni betalar för att få reproducerat.

Undantaget är när upptäcktsförmågan är det ni vill testa. Om frågan är om er detektion larmar när någon kartlägger er utifrån, då är black box rätt metod, men då är det er övervakning som testas och inte applikationen.

Den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling döms för dataintrång till böter eller fängelse i högst två år.

Grey box tar bort kartläggningskostnaden utan att ta bort uppgiften. Testaren får giltiga konton och en översiktlig arkitekturbild, men får fortfarande själv hitta vägen från den startpunkten till något som inte borde vara åtkomligt.

Det är också det startläge som liknar verkligheten mest. Enligt ENISA började omkring 60 procent av europeiska fall med social manipulation, vilket i praktiken betyder att angriparen redan har ett giltigt konto när det riktiga arbetet börjar. Ett test som förutsätter noll åtkomst testar ett scenario som är mindre vanligt än det ni bör oroa er för.

Be om flera konton med olika roller. Behörighetsfel mellan roller är en av de vanligaste allvarliga fyndklasserna, och de går inte att hitta med ett enda konto oavsett hur skicklig testaren är.

Diskussionen om realism blir enklare med den europeiska incidentstatistiken framför sig. ENISA analyserade 4875 händelser under året till juni 2025, och fördelningen av ingångar pekar entydigt åt ett håll.

Ungefär 60 procent av fallen började med social manipulation, alltså med att någon fick tag på legitima uppgifter. Sårbarhetsutnyttjande utifrån stod för 21,3 procent, botnät för 9,9 procent och skadliga applikationer för 8 procent.

Om nästan två tredjedelar av verkliga angrepp börjar med ett giltigt konto, då är ett testupplägg som förutsätter noll åtkomst en modell av minoritetsfallet. Det är fortfarande värt att täcka, men det är svårt att kalla det det realistiska alternativet.

Based on the analysis of the dataset, social engineering tactics remain the primary entry point for threat actors, with phishing accounting for about 60% of observed cases.

White box ger mest täckning per krona, eftersom ingen tid går till att gissa. Det gör det till rätt val i tre situationer.

Den första är före lansering, när systemet ännu inte har någon angripare och frågan är hur många fel som finns snarare än vilka som är lättast att hitta. Den andra är efter en incident, när ni vill veta om samma klass av fel finns på fler ställen. Den tredje är när koden är komplex nog att en utomstående inte hinner förstå den inom uppdragets ram.

Nackdelen är att resultatet inte säger något om hur svårt det var att hitta. En rapport från ett white box-test blandar fel som en angripare skulle snubbla på direkt med fel som krävde källkodsläsning, och den skillnaden är relevant för prioriteringen. Be därför om att fynden märks med hur de hittades.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

Grey box är ett spann snarare än en nivå, och två uppdrag som båda kallas grey box kan skilja sig kraftigt. Det gör det värt att specificera vad ni lämnar ut i stället för att skriva ordet i beställningen och hoppas att alla menar samma sak.

Minimum är giltiga konton för varje roll som finns i systemet, inklusive den lägst privilegierade. Roller som utelämnas kan inte testas mot varandra, och det är just mellan roller som de allvarliga behörighetsfelen sitter.

Utöver konton är en översiktlig arkitekturbild och en lista över externa integrationer det som ger mest per lämnad uppgift. Källkod hör inte hit; lämnar ni den har ni valt white box, vilket är ett giltigt val men ett annat val.

Tillståndet ser likadant ut i alla tre fallen. Att testaren har fått information om systemet ändrar ingenting juridiskt, eftersom rekvisitet i 4 kap. 9 c § brottsbalken är att åtkomsten sker olovligen och inte att den sker oinformerat.

Kravet på verifiering är också detsamma. En white box-rapport med overifierade fynd är lika lite värd som en black box-rapport med samma brist, och risken är faktiskt större eftersom källkodsläsning genererar fler hypoteser per timme.

Slutligen: nivån ska stå i beställningen tillsammans med vad testaren faktiskt fick. En rapport som säger grey box utan att ange vilka konton och vilken dokumentation som lämnades går inte att jämföra med nästa års rapport.