Penetrační testování

Penetrační testy ověřují zabezpečení vaší IT infrastruktury, systémů a aplikací prostřednictvím simulace hackerského útoku. Využíváme přitom postupy a nástroje jako při reálném útoku, penetrační testy však mají jasně definován předmět testování a často jsou vyloučeny akce, které by mohly poškodit testovaný systém. Při testování se řídíme vhodnými standardy, jako jsou OSSTMM, PTES a OWASP a používáme nástroje jako Qualys nebo Burp Suite. Jako výsledek získáte komplexní zprávu, která obsahuje manažerské shrnutí i podrobný rozbor jednotlivých zjištění, a zejména nápravná opatření pro každou bezpečnostní hrozbu. 

Nejprve je potřeba domluvit se na průběhu testování tak, aby co nejlépe odpovídalo vašim požadavkům. Samotný průběh penetračního testu se potom odvíjí od toho, co je předmětem testování. Jedná se o podobné postupy jako při skutečném kybernetickém útoku. Důraz klademe hlavně na manuální testování, které využívá znalostí a zkušeností etických hackerů. Na rozdíl od skenování zranitelností, které zde slouží jen jako možný zdroj informací, mohou být při penetračních testech odhaleny komplexnější zranitelnosti a přesněji ohodnocena jejich závažnost. 

Penetrační testování si můžeme zjednodušeně rozdělit na několik fází: 

• Předrealizační fáze spočívá především v přípravě projektu a komunikaci se zákazníkem. 
• Sběr informací  obnáší skenování sítě a identifikaci aktivních služeb, v některých případech se může jednat i o tzv. OSINT analýzu, kdy jsou na internetu dohledávány potenciálně užitečné informace (emailové adresy, subdomény či uniklé přihlašovací údaje). 
• Analýza zranitelností obnáší zejména skenování známých zranitelností prostřednictvím automatizovaného nástroje. 
• Využití nalezených zranitelností simuluje další fázi útoku spočívající ve snaze o průnik do testovaného systému, rovněž dochází k eliminaci falešně pozitivních nálezů vzešlých ze skenu zranitelností a ručnímu dohledání dalších hrozeb. 

• Identifikace dopadů znamená zjištění, čeho by mohl útočník při úspěšném zneužití zranitelnosti dosáhnout, a následné ohodnocení závažnosti. To může např. obnášet další průnik to testovaného systému prostřednictvím eskalace privilegií, získání přihlašovacích údajů do dalších systémů nebo ovládání dalších zařízení v síti. Pokud by při tom došlo k nahrání nástrojů na další počítače nebo tvorbě nových účtu, jsou tyto artefakty před dokončením testování smazány. 
• Zpracování závěrečné zprávy, která obsahuje jak stručné manažerské shrnutí zjištěného stavu, tak podrobnější technickou část s popisem zjištěných zranitelností, možným postupem jejich zneužití a doporučeními pro provedení nápravných opatření. V případě potřeby s námi může zákazník konzultovat případné nejasnosti či další postup. 
• Retest je volitelnou součástí, která ověřuje, že skutečně došlo k odstranění zranitelnosti v důsledku zavedení nápravného opatření.