Penetračné testovanie (penetration testing, skrátene pentest) je kontrolovaný pokus o prienik do systémov organizácie, ktorý vykonávajú bezpečnostní špecialisti s výslovným súhlasom vlastníka. Cieľom nie je spôsobiť škodu, ale zistiť, ktoré slabiny sa dajú reálne zneužiť a ako ďaleko by sa útočník dostal.

Na rozdiel od automatizovaného skenovania pracuje tester ako skutočný útočník: kombinuje nájdené zraniteľnosti, chybné nastavenia a oprávnenia, skúša ich spájať do útočných ciest a overuje dopad.

Čím sa líši od skenu zraniteľností

  • Sken zraniteľností je automatizovaný, opakovateľný a pokrýva veľa systémov naraz. Povie, kde sú známe slabiny, napríklad podľa CVE.
  • Penetračný test je ručná práca s jasne vymedzeným rozsahom a časom. Ukáže, či a ako sa slabiny dajú zneužiť v kontexte konkrétneho prostredia.

Oba prístupy sa dopĺňajú. Pravidelné skenovanie je súčasťou priebežného vulnerability managementu, penetračný test sa robí spravidla periodicky alebo pred spustením dôležitého systému.

Typy penetračných testov

  • Externý – útok zvonku na systémy dostupné z internetu.
  • Interný – simulácia útočníka, ktorý už má prístup do siete, napríklad cez kompromitovanú stanicu; overuje laterálny pohyb a bezpečnosť Active Directory.
  • Webové a mobilné aplikácie – zameranie na chyby v kóde a logike aplikácie.
  • Sociálne inžinierstvo – napríklad simulovaný phishing.

Podľa množstva informácií, ktoré tester dostane vopred, sa rozlišujú prístupy black box, grey box a white box.

Ako sa pripraviť

  1. Písomne vymedzte rozsah, termín, kontaktné osoby a pravidlá – čo sa testovať smie a čo nie.
  2. Informujte poskytovateľov hostingu alebo cloudu, ak to ich podmienky vyžadujú.
  3. Zabezpečte zálohy a dohodnite postup pre prípad, že test ovplyvní prevádzku.
  4. Po teste si naplánujte odstránenie nálezov a overenie opráv.

Najčastejšia chyba je brať pentest ako jednorazovú „pečiatku“. Hodnotu má až vtedy, keď sa nálezy premietnu do opatrení, napríklad do hardeningu, patch managementu a úpravy oprávnení.

Časté otázky

Ako často robiť penetračné testy?

Zvyčajne periodicky a po významných zmenách v infraštruktúre alebo aplikáciách. Konkrétnu frekvenciu určte podľa rizík a regulačných požiadaviek, ktoré si overte s odborníkom.

Nahradí pentest pravidelné skenovanie?

Nie. Pentest je momentka v čase, skenovanie priebežne zachytáva nové zraniteľnosti.

Ak chcete najprv získať prehľad o zraniteľnostiach a slabinách v Active Directory, prečítajte si, ako PosAm pristupuje k systematickému posilňovaniu kybernetickej odolnosti, a ozvite sa nám s otázkami.