K hackerským útokům dochází průměrně téměř dvakrát za minutu. Frekvence a promyšlenost útoků navíc každým rokem strmě vzrůstá. Kybernetická bezpečnost počítače a obecně bezpečnost IT systémů tak hrají stále zásadnější roli. Jedním ze způsobů, jak odhalit zranitelnosti v zabezpečení počítačů, představují penetrační testy nebo zkráceně pentesty. Přečtěte si, jak vám mohou pomoci.
Penetrační testy představují jakousi analogii hackerského útoku. Jejich cílem však není získat nebo ohrozit vaše data. Výsledkem penetračních testů je podrobná analýza bezpečnosti IT systémů, resp. odhalení jejich zranitelností a slabých míst. Pentesty se však mohou týkat i zabezpečení mobilních systémů, budov a dokonce vašich zaměstnanců.
Typy penetračních testů
Specializované společnosti obvykle nabízejí několik typů pentestů. Můžeme je rozdělit do tří základních kategorií:
- black-box pentest – tester simuluje hackerský útok z pozice útočníka, který nezná vaše IT zabezpečení a nemá žádné podrobné informace o vašich systémech. Tento typ penetračního testu nejlépe odpovídá realitě (skutečnému hackerskému útoku). Mezi jeho slabší stránky však patří možné vynechání některého testovacího cíle.
- white-box pentest – testerovi poskytnete všechny potřebné informace o vašem IT zabezpečení, infrastruktuře a architektuře vašich IT systémů. Test sice přímo neodpovídá reálnému hackerskému útoku, ale obvykle je efektivnější a jde více do hloubky.
- grey–box pentest – jedná se o kombinaci výše uvedených přístupů, kdy testerovi poskytnete pouze částečné informace a o další vás požádá, pokud během testování najde podezření na zranitelnost bezpečnosti systému.
Průběh penetračních testů
Ať už se rozhodnete pro jakoukoliv z výše uvedených variant, průběh pentestů je obvykle stejný:
- Sestavení pentestu – jde o přípravnou fázi, ve které se s testerem dohodnete na rozsahu a cíli testování, plánu průběhu a dalších parametrech.
- Testování – tester zkoumá ve vzájemně dohodnutých mantinelech bezpečnost systému, aplikací a zařízení. Obvykle se můžete dohodnout na testování za plného provozu vaší firmy.
- Report testování – tester vám předá vyhodnocení celého penetračního testu. To má obvykle podobu písemné zprávy pro váš management i IT odborníky. Ve zprávě najdete konkrétní kroky pro odstranění nebo zmírnění pravděpodobnosti zneužití nalezených zranitelností.
Tip: Přečtěte si o tom, jak penetrační testy chrání vaše podnikání.
Efektivita penetračních testů
Předpokládejme, že jste si nechali pentest provést a držíte v rukou závěrečnou zprávu. Pokud se to v ní jenom hemží nejrůznějšími zranitelnostmi, setřete si nejspíše studený pot z čela a urychleně se pustíte do realizace doporučených kroků k nápravě.
Je ale důvodem k radosti zpráva, která nic neodhalí? Jak si ale můžete být jistí, že testerům nic důležitého neuniklo? Byl test skutečně důkladný a efektivní? V každém případě se řiďte těmito kroky:
- Srovnávací analýza – pokud jste už pentest v minulosti absolvovali, porovnejte obě závěrečné zprávy. Ověřte, jestli jste napravili všechny nálezy z předchozí zprávy a jestli něco nechybí v rozsahu testu.
- Buďte aktivní – pokud si nebudete jistí, ptejte se. Všem nalezeným rizikům byste měli rozumět, včetně pravděpodobností zneužití zranitelností. Prodiskutujte s testery každé zjištění a ujistěte se, zda není falešně pozitivní.
- Buďte flexibilní – učte se a spolupracujte s vaším IT bezpečnostním týmem. Snažte se porozumět výsledkům i zavedení nápravných opatření.
Pokud to s kybernetickou bezpečností myslíte vážně, měli byste provedení penetračních testů přinejmenším zvážit. Stejně jako by vás nejspíš ani nenapadlo ušetřit firemní prostředky vynecháním povinných revizí elektrických spotřebičů nebo hasicích přístrojů, na firemní data pohlížejte podobně. Není náhodou, že data hackeři nazývají „ropa 22. století“. Odhalte, kde váš „ropný vrt“ snadno napíchnou útočníci, než to dříve či později udělají.
