Penetrační test – hackeři ve vašich službách

Penetrační testování je skvělý způsob, jak odhalit slabá místa vašich IT systémů. Jak takový test probíhá? A není nebezpečný?

Množství kybernetických útoků každoročně stoupá o stovky procent. Objem uchovávaných dat je stále větší, systémy stále složitější a firmy mají stále větší problém své IT řádně zabezpečit. Chcete-li si být jisti, že jsou vaše systémy skutečně v bezpečí, nechte si je prověřit tzv. penetračním testem.

Co obnáší penetrační test?

Penetrační test, zvaný také pen-test, je vlastně simulací reálného hackerského útoku.  Žádného nebezpečí se obávat nemusíte, odborná firma, která test provádí, vás o data nepřipraví. Výsledkem tohoto tzv. etického hackingu bude podrobná zpráva o stavu vašich bezpečnostních systémů a k ní doporučení, kde systémy posílit či jak zapracovat na kybernetické bezpečnosti. Pravidelné pen-test audity jsou již u velkých bezpečnostně vyspělých organizací běžnou součástí IT řešení. Jak takový test probíhá a čím vaši firmu obohatí?

Co všechno můžete testovat?

Testování kybernetické bezpečnosti se týká všech oblastí, v nichž hrají roli informační technologie. Můžete nechat testovat kompletní IT infrastrukturu, její architekturu, operační systémy i aplikace. Předmětem však může být i zabezpečení budov nebo odolnost a informovanost vašich zaměstnanců. V neposlední řadě můžete testovat i mobilní zařízení, která jsou oblíbenou vstupní branou k podnikovým datům i procesům.

Metodika penetračního testování

Testování je možné provádět různými způsoby podle toho, kolik informací o vašem systému potenciální útočník má.

• Black-box testing

Test simuluje útočníka, který nemá o konkrétním systému hlubší znalosti. Této situaci čelí firemní IT infrastruktury nejčastěji, test tudíž věrně odráží realitu.

Hlavní nevýhodou je vyšší pravděpodobnost opomenutí některého z možných cílů testování.

• White-box testing

Tester je vybaven dobrou interní znalostí cílového systému nebo aplikace. Zná např. architekturu aplikace, prostředí, v němž je provozována, může mít i přístup k jejímu zdrojovému kódu. Tento druh testování je důkladnější a výrazně efektivnější.

• Grey-box testing

Kombinuje přístupy obou předchozích testů. Tester má k dispozici částečnou znalost systému, do dokumentaci či zdrojových kódů může nahlédnout, pokud má podezření na slabinu v daném místě.

Jak testování probíhá?

V přípravné fázi společně s poskytovatelem služby se definuje rozsah a cíl penetračního testu. „Hacker“ dostane jasné zadání, po čem půjde. Jeho cíle mohou být různé – od získání konkrétních dat přes vlomení se do systému až po fyzické proniknutí do určeného objektu.

Určíte si rovněž mantinely, v nichž se bude útočník pohybovat. Některé části systému stejně jako některé časové úseky mohou být z testu vyjmuty.

Během samotného testování si tester postupně vybírá cíle, které podrobuje zkoumání pomocí automatických, semi-automatických nebo manuálních metod.  Pokud je u aplikací nalezeno nežádoucí chování, které poukazuje na možnou přítomnost zranitelnosti, následuje většinou další série testů s cílem ověřit možnost jejího zneužití. Tester zjistí, jestli zde hrozí únik dat nebo vniknutí do systému.

Po důkladném provedení penetračního testu následuje vyhodnocení. Jeho součástí je manažerské shrnutí, které managementu společnosti srozumitelně vysvětlí nalezené bezpečnostní mezery, jejich rizikovost a možnosti jejich řešení. Bezpečnostním odborníkům a vývojářům je určena technická část s podrobným popisem bezpečnostních mezer. Jejich seznam je obvykle řazen podle velikosti bezpečnostního rizika. Logickým vyústěním reportu je doporučení dalších opatření návazných na konkrétní nálezy. Ve zprávě jsou navrženy konkrétní kroky pro odstranění dané zranitelnosti nebo pro snížení pravděpodobnosti jejího zneužití

Berete-li kybernetickou bezpečnost ve své firmě vážně, penetrační testy jsou pro vás nezbytnou součástí péče o systém. Data jsou vaším nejcennějším vlastnictvím a jejich ochrana by pro vás měla být na prvním místě. Naštěstí na českém trhu existuje celá řada odborníků, kteří vám poskytnou všechny potřebné informace i služby.