Penetrační testování
V dohodnutém rozsahu prověříme, zda lze zranitelnosti vašich systémů skutečně zneužít a jaký by měly dopad na data a provoz.
Co to je a k čemu slouží
Penetrační test simuluje postup útočníka v předem dohodnutém rozsahu a za jasných pravidel. Neomezuje se na seznam zranitelností: ověřuje jejich zneužitelnost a popisuje skutečný dopad na data a provoz.
Výsledkem je zpráva, kterou využije vedení pro rozhodování i technický tým pro nápravu: každý nález má popis, dopad, závažnost a doporučený postup řešení.
Základní parametry služby
- Metodika vychází z OWASP a OSSTMM.
- Vhodná zjištění doplňujeme o mapování na MITRE ATT&CK.
- Typická délka testu je 3–6 týdnů podle rozsahu.
- Retest po nápravě se objednává samostatně.
Na co se test může zaměřit
Konkrétní rozsah stanovíme společně. Nejčastěji testujeme webové aplikace, externí a interní infrastrukturu nebo bezdrátové sítě. Sociální inženýrství zařazujeme jen na základě výslovné dohody a schváleného scénáře.
Odborný detail
Metodika a míra znalostí (black / grey / white-box)
Testování vedeme podle OWASP Web Security Testing Guide a OSSTMM. Podle domluvy pracujeme bez předchozích informací (black-box), s omezenými informacemi (grey-box), nebo s plným přístupem k dokumentaci a účtům (white-box). Volba ovlivňuje hloubku i délku testu.
Průběh testu
- Příprava — rozsah, pravidla, kontaktní osoby, časové okno, řešení incidentů.
- Sběr informací a mapování povrchu útoku.
- Identifikace zranitelností kombinací nástrojů a ruční práce.
- Řízené ověření zneužitelnosti — jen v dohodnutém rozsahu.
- Vyhodnocení dopadu a sestavení zprávy.
Podoba výstupu
Zpráva má manažerské shrnutí a technickou část. U každého nálezu uvádíme popis, postup reprodukce, dopad, závažnost a doporučení k nápravě. Kde je to vhodné, doplníme souvislost s MITRE ATT&CK. Součástí je celkové zhodnocení a doporučené pořadí kroků.
Retest po nápravě
Po odstranění nálezů ověříme, zda byly opravy účinné a nevznikly nové problémy. Retest je samostatná služba, kterou je vhodné naplánovat s odstupem potřebným na nápravu.
Potřebujete se poradit?
První konzultace je nezávazná. Kontaktujte nás.