Externí penetrační test infrastruktury

Externí penetrační test infrastruktury simuluje kybernetický útok vedený z internetu na vaše veřejně dostupné systémy. Cílem je odhalit zranitelnosti, chybné konfigurace nebo vystavené služby, které by mohl útočník zneužít k průniku do vaší infrastruktury.

Rozsah testu obvykle zahrnuje všechny veřejně dostupné systémy organizace, například veřejné IP adresy, domény, VPN brány, webové služby, cloudovou infrastrukturu nebo další zařízení dostupná z internetu.

Za běžných okolností ne. Penetrační test provádějí zkušení etičtí hackeři řízeným a kontrolovaným způsobem tak, aby nedošlo k výpadkům ani omezení provozu testovaných systémů.

Pokud to charakter prostředí umožňuje, lze testování provést v testovacím nebo staging prostředí, čímž se případný dopad na produkční systémy ještě více minimalizuje. Po celou dobu testování s vámi komunikujeme a v případě odhalení kritické zranitelnosti nebo jiného závažného problému vás okamžitě informujeme.

Před samotným pentestem je potřeba si vyjasnit rozsah testu, motivaci a co od testu očekáváte. Se vším vám pomohou naši konzultanti. Poté je dobrou praxí uzavření NDA, buď samostatně nebo jako součást smlouvy.

Závěrečná zpráva obsahuje přehled zjištěných zranitelností a doporučení pro jejich odstranění z pohledu bezpečnostního auditora. Jednotlivé nálezy jsou hodnoceny podle mezinárodně uznávaného standardu CVSS 3.1 (Common Vulnerability Scoring System), který vyjadřuje jejich technickou závažnost.

Rozhodnutí o způsobu řešení jednotlivých nálezů je vždy na organizaci, zpravidla ve spolupráci s manažerem kybernetické bezpečnosti (MKB). Pokud zranitelnost představuje pro organizaci nepřijatelné riziko, doporučuje se její odstranění. V některých případech lze místo odstranění zavést kompenzační bezpečnostní opatření, která sice zranitelnost neodstraní, ale významně sníží pravděpodobnost jejího zneužití nebo dopad případného incidentu.

U méně závažných nálezů může organizace na základě analýzy rizik rozhodnout, že jejich riziko je vzhledem k charakteru podnikání akceptovatelné. V takovém případě není nutné přijímat další opatření, rozhodnutí by však mělo být řádně zdokumentováno v rámci procesu řízení rizik.

Po odstranění nálezů doporučujeme provést re-test, který ověří jejich skutečné odstranění. Re-test není součástí ceny penetračního testu a naceňujeme jej samostatně.

Ano. Součástí penetračního testu je bezpečné ověření, zda lze nalezené zranitelnosti skutečně zneužít. Testování probíhá kontrolovaným způsobem tak, aby nedošlo k narušení provozu produkčního prostředí.

Ano. Externí penetrační test lze provádět jak v on-premise prostředí, tak v cloudu nebo hybridní infrastruktuře. Test zohledňuje specifika cloudových služeb i dynamicky se měnící veřejně dostupné prostředky.

Výsledky penetračního testu slouží jako důkaz, že organizace aktivně ověřuje bezpečnost svých veřejně dostupných systémů a řídí kybernetická rizika. Penetrační test tak pomáhá plnit a doložit požadavky norem a regulací, jako jsou ISO 27001, ZoKB, SOC 2 nebo DORA, a zároveň poskytuje podklady pro interní i externí audity.

Externí penetrační test doporučujeme provádět alespoň jednou ročně a ideálně také po každé významné změně veřejně dostupné infrastruktury. Typicky po nasazení nových internetových služeb, změně síťové architektury, migraci do cloudového prostředí nebo významných změnách firewallů, VPN či dalších bezpečnostních prvků.

Externí penetrační test se zaměřuje na systémy dostupné z internetu a simuluje útok vedený z vnějšího prostředí. Cílem je odhalit zranitelnosti, které by mohl zneužít útočník bez předchozího přístupu do vaší sítě.

Interní penetrační test naopak hodnotí bezpečnost interní infrastruktury a systémů. Simuluje situaci, kdy útočník získal přístup do vnitřní sítě, například prostřednictvím kompromitovaného uživatelského účtu, malware nebo úspěšného útoku na veřejně dostupný systém. Cílem je odhalit slabiny, které by mu umožnily další pohyb v síti, eskalaci oprávnění nebo přístup k citlivým datům.

Automatické skenery, například Nessus Professional, umí rychle odhalit známé zranitelnosti, často ale generují falešně pozitivní výsledky nebo nedokážou posoudit jejich skutečný dopad. Penetrační test jde mnohem dál. Odborník ověřuje, zda je možné nalezené slabiny skutečně zneužít, a hodnotí jejich reálné riziko z pohledu útočníka.

Penetrační testování je navrženo tak, aby ověřilo odolnost systémů vůči běžně známým metodám útoků a identifikovalo zranitelnosti, které mohou být reálně zneužity. Nejde však o bezpečnostní výzkum, jehož cílem je objevování dosud neznámých (zero-day) zranitelností.

Pokud by během testování byla taková zranitelnost odhalena, budeme postupovat v souladu se zásadami Coordinated Vulnerability Disclosure. To znamená, že o nálezu nejprve informujeme zákazníka i výrobce dotčeného produktu a poskytneme jim dostatečný čas na odstranění zranitelnosti před případným zveřejněním informací.