Penetrační testování interní sítě

Interní penetrační test simuluje situaci, kdy útočník již získal přístup do vaší interní sítě, například prostřednictvím phishingového útoku, kompromitovaného uživatelského účtu, malwaru nebo škodlivého zaměstnance. Cílem je odhalit zranitelnosti a chybné konfigurace, které by útočník mohl zneužít k laterálnímu pohybu v síti, eskalaci oprávnění nebo získání přístupu k citlivým systémům a datům.

Ochrana na perimetru, jako jsou firewally nebo VPN, představuje pouze první obrannou linii. Pokud útočník tuto vrstvu překoná, rozhoduje o dalším průběhu útoku právě úroveň zabezpečení interní infrastruktury.

Interní penetrační test ověřuje, zda vaše bezpečnostní nástroje a procesy fungují i po průniku do sítě. Interní pentest pomáhá odhalit slabá místa a přispívá ke splnění požadavků bezpečnostních standardů, regulací nebo podmínek pojištění kybernetických rizik.

Rozsah testu se vždy přizpůsobuje konkrétnímu prostředí. Nejčastěji zahrnuje pracovní stanice a servery, Active Directory a doménové řadiče, hybridní identitu a návaznost na cloudové prostředí, virtualizační a zálohovací infrastrukturu, sdílená úložiště a databáze, interní aplikace a služby, síťové prvky a jejich administrační rozhraní.

Vedle jednotlivých systémů se zaměřujeme také na konfigurační slabiny, které útočníkovi umožňují postup sítí – nastavení přístupových oprávnění, zneužitelné síťové protokoly a účinnost segmentace, u průmyslových provozů včetně oddělení IT a OT prostředí.

Před samotným pentestem je potřeba si vyjasnit rozsah testu, motivaci a co od testu očekáváte. Se vším vám pomohou naši konzultanti. Poté je dobrou praxí uzavření NDA, buď samostatně nebo jako součást smlouvy.

Ve většině případů ne. Interní penetrační test provádíme tak, aby měl na běžný provoz co nejmenší dopad. Většina testovacích aktivit je navržena tak, aby neovlivnila výkon ani dostupnost testovaných systémů.

Pokud je potřeba provést testy, které by mohly mít vliv na produkční prostředí, vždy se předem domluvíme na jejich rozsahu i vhodném termínu. V případě potřeby je lze naplánovat mimo pracovní dobu nebo během servisního okna. Kde je to možné, využíváme také bezpečné metody ověření zranitelností, které nevyžadují zásah do běžného provozu.

Po celou dobu testování jsou naši penetrační testeři v kontaktu s vaším IT týmem a v případě neočekávaných komplikací můžeme testování okamžitě přerušit.

Výstupem interního penetračního testu je podrobná závěrečná zpráva, která obsahuje:

• shrnutí výsledků pro management (manažerské shrnutí),
• popis metodik, podmínek a limitů testování,
• detailní popis nalezených zranitelností včetně jejich závažnosti,
• technické důkazy umožňující vlastní reprodukci nálezů,
• doporučení k nápravě a zvýšení úrovně zabezpečení.

Součástí dodávky bývá také prezentace výsledků a konzultace s našimi specialisty, během které projdeme jednotlivé nálezy i doporučené kroky k jejich odstranění.

Závěrečná zpráva obsahuje přehled zjištěných zranitelností a doporučení pro jejich odstranění z pohledu bezpečnostního auditora. Jednotlivé nálezy jsou hodnoceny podle mezinárodně uznávaného standardu CVSS 3.1 (Common Vulnerability Scoring System), který vyjadřuje jejich technickou závažnost.

Rozhodnutí o způsobu řešení jednotlivých nálezů je vždy na organizaci, zpravidla ve spolupráci s manažerem kybernetické bezpečnosti (MKB) nebo vlastníkem systému. Pokud zranitelnost představuje pro organizaci nepřijatelné riziko, doporučuje se její odstranění. V některých případech lze místo odstranění zavést kompenzační bezpečnostní opatření, která sice zranitelnost neodstraní, ale významně sníží pravděpodobnost jejího zneužití nebo dopad případného incidentu.

U méně závažných nálezů může organizace na základě analýzy rizik rozhodnout, že jejich riziko je vzhledem k charakteru podnikání akceptovatelné. V takovém případě není nutné přijímat další opatření, rozhodnutí by však mělo být řádně zdokumentováno v rámci procesu řízení rizik.

Po odstranění nálezů doporučujeme provést re-test, který ověří jejich skutečné odstranění. Re-test není součástí ceny penetračního testu a naceňujeme jej samostatně.

Interní penetrační test pomáhá ověřit, že jsou interní systémy a síťová infrastruktura dostatečně chráněny i v případě, kdy útočník získá přístup do vnitřního prostředí. Zároveň poskytuje důkaz, že organizace aktivně identifikuje a řídí kybernetická rizika, což je požadováno řadou bezpečnostních norem a regulací.

Výsledky testu mohou sloužit jako podklad pro doložení plnění požadavků ISO 27001, SOC 2, nového zákona o kybernetické bezpečnosti (ZoKB), DORA a dalších předpisů, které vyžadují pravidelné ověřování účinnosti bezpečnostních opatření a řízení zranitelností. Závěrečná zpráva z penetračního testu zároveň poskytuje cenné podklady pro interní i externí audity.

Doporučuje se alespoň jednou ročně nebo vždy po významných změnách v infrastruktuře, například po nasazení nových významných systémů, migraci do cloudu, reorganizaci sítě nebo akvizici jiné společnosti. Pravidelné testování pomáhá průběžně ověřovat úroveň zabezpečení a reagovat na nově vznikající rizika.

Automatický bezpečnostní sken využívá specializované nástroje k vyhledávání známých zranitelností na základě databází bezpečnostních chyb. Je vhodný pro pravidelnou kontrolu prostředí, nedokáže však posoudit skutečný dopad nalezených zranitelností, často generuje falešně pozitivní výsledky a neumí odhalit složitější scénáře útoku.

Interní penetrační test kombinuje automatizované nástroje s manuálním testováním prováděným zkušenými bezpečnostními specialisty. Ti ověřují, zda lze nalezené zranitelnosti skutečně zneužít, hledají možnosti eskalace oprávnění, propojují více slabin do realistického scénáře útoku a hodnotí jejich skutečný dopad na bezpečnost organizace.

Součástí interního penetračního testu je také ověření důvěryhodných vztahů mezi systémy, účinnosti segmentace sítě nebo možností laterálního pohybu útočníka po kompromitaci interního zařízení či uživatelského účtu. Právě tyto scénáře automatické bezpečnostní skenery samy o sobě nedokážou spolehlivě vyhodnotit.

Penetrační testování je zaměřeno na ověření odolnosti systémů vůči známým technikám útoků a zneužití identifikovaných zranitelností. Jeho cílem není provádět bezpečnostní výzkum ani aktivně vyhledávat dosud neznámé (zero-day) zranitelnosti v používaném softwaru nebo technologiích.

Přesto se může výjimečně stát, že během testování narazíme na dosud neznámou zranitelnost. V takovém případě postupujeme podle zásad koordinovaného odpovědného zveřejnění zranitelností (Coordinated Vulnerability Disclosure). To znamená, že o nálezu nejprve informujeme zákazníka a výrobce dotčeného produktu a poskytneme jim přiměřený čas k nápravě, než budou jakékoliv informace zveřejněny.