Předejděte kyberútokům. Seznamte se s metodami penetračního testování

Ochrana dat a kybernetická bezpečnost jsou dnes prioritním tématem většiny společností. Skvělým způsobem, jak předejít útoku, je znát své slabiny a preventivně se je snažit eliminovat. K odhalení těchto slabin slouží právě penetrační testy.

Co jsou penetrační testy?

Penetrační test, nebo zkráceně pen-test, je simulovaný kybernetický útok na počítačový systém, síť nebo webovou aplikaci, který provádí společnost sama sobě za účelem vyhodnocení bezpečnosti systému. Cílem penetračního testu je identifikovat zranitelnosti, které by mohl zneužít skutečný potenciální útočník a být tak před ním o krok napřed. Často bývá součástí bezpečnostního auditu.

Pen-testy může provádět buď samotná vlastnická společnost, nebo si najme externí specialisty, tzv. etické hackery, kteří tento řízený útok provedou. Tento způsob společnosti přináší relevantnější informace o zranitelnostech, protože externí specialisté, stejně jako potenciální útočníci, nemají interní znalosti o systému.

Etický hacker (tester) samozřejmě reálně neodcizí vaše data ani nesabotuje výrobu, ale najde možnosti, kudy by se mohl dostat do systému a následně vám předá detailní analýzu se všemi odhalenými zranitelnostmi a slabinami. Tyto informace jsou pro vás nesmírně cenné, protože teď můžete začít pracovat na nápravě a zabránit skutečným hackerům, aby vám uškodili.

Metody penetračního testování

Existuje několik metod penetračního testování, které můžeme rozdělit do následujících kategorií:

• Penetrační testování sítě: Testeři při něm hledají zranitelná místa v síti, jako jsou otevřené porty nebo špatně nakonfigurovaná zařízení.
• Penetrační testy webových aplikací: Testuje se zabezpečení webových aplikací, mobilních aplikací a dalšího softwaru.
• Penetrační testy bezdrátových technologií: Zde testeři používají nástroje k identifikaci zranitelností v bezdrátové síti, jako je slabé šifrování a slabá hesla.
• Sociální inženýrství: Tato metoda zahrnuje větší práci s lidmi, konkrétně se zaměstnanci, ze kterých se tester snaží vylákat citlivé informace, jako jsou hesla nebo osobní údaje. Používá k tomu například phishingové e-maily a telefonní hovory.
• Fyzické penetrační testy: Jedná se testování zaměřující se na bezpečnost budovy nebo firemních zařízení pomocí neoprávněného vstupu a následné fyzické krádeže.
• Hybridní metoda: Spočívá v kombinaci výše uvedených metod. Může se jednat třeba o propojení fyzického a síťového testování.

Penetrační testování můžete provést v přístupu „black box“, nebo „white box“ (popř. „grey box“, kombinace obou předchozích metod). V prvním případě má tester malé nebo žádné znalosti o systému a v druhém naopak rozsáhlou znalost systému (například pokud test provádí interní zaměstnanec).

Příprava na penetrační testy

Pokud se rozhodnete do pen-testů pustit sami, měli byste před samotným testováním:

• Definovat rozsah testu. Tedy určit, jaké konkrétní systémy, sítě a aplikace budou předmětem testování.
• Ujistit se, že máte všechna potřebná oprávnění k provedení testu a informovat o něm všechny zúčastněné strany.
• Vytvořit plán celého testování včetně konkrétních metod a technik, které budou během testu použité a jak plánujete analyzovat výsledky.
• Identifikovat všechna aktiva, která je třeba během testu chránit a ujistit se, že jsou řádně zabezpečená.
• Zjistit, jestli máte všechny potřebné nástroje a vybavení.

Především ale mějte připravený plán, jak budete reagovat v případě neočekávaných incidentů, které můžou během testu nastat. Doporučuje se nejprve provést test tzv. „na sucho“, abyste zjistili, zda nejsou nějaké problémy a ujistili se, že test může proběhnout hladce. Před testováním také raději proveďte zálohu systémů.

Možná pro vás ale bude snazší obrátit se na zkušené specialisty, kteří penetrační testy ve vaší firmě provedou za vás.

Zdroj obrázku: Shutterstock