Odhaľte zneužiteľné slabiny skôr, ako ich využije útočník.
Automatizovaný skener dokáže nájsť známe technické problémy. Nedokáže však spoľahlivo posúdiť obchodnú logiku aplikácie, kombináciu viacerých slabín ani to, aký reálny dopad môže mať konkrétne zistenie na vaše dáta a prevádzku.
Penetračné testovanie od fsociety kombinuje automatizované nástroje s manuálnym overovaním a odbornou analýzou. Cieľom nie je vytvoriť čo najdlhší zoznam nálezov, ale identifikovať reálne zneužiteľné riziká, vysvetliť ich dopad a pomôcť tímom s prioritami nápravy.
Pre organizácie, ktoré potrebujú pravidelný prehľad, nadväzujeme priebežným skenovaním a riadením zraniteľností. Jednorazový test tak možno zmeniť na opakovateľný proces s vlastníkmi, termínmi a overením odstránenia.
Čo vieme testovať
Rozsah vždy prispôsobujeme architektúre, cieľu testu, dostupnému času a rizikám zákazníka.
- Webové aplikácie, zákaznícke portály a interné systémy.
- Externú sieťovú infraštruktúru a internetovo dostupné služby.
- Interné siete, servery, segmentáciu a prístupové mechanizmy.
- Bezdrôtové siete a vybrané komunikačné rozhrania.
- Cloudové prostredia a bezpečnostné konfigurácie.
- Microsoft 365, Google Workspace a súvisiace identity a prístupy.
- Bezpečnosť po významnej zmene, migrácii alebo nasadení novej aplikácie.
- Pravidelný program skenovania a riadenia zraniteľností.
Čo služba zahŕňa
- Upresnenie cieľov, rozsahu, metódy a pravidiel testovania.
- Zber verejne dostupných informácií a mapovanie útočnej plochy v dohodnutom rozsahu.
- Automatizované skenovanie a manuálna verifikácia zistení.
- Testovanie autentifikácie, autorizácie, správy relácií a obchodnej logiky aplikácie.
- Overovanie zneužiteľnosti zraniteľností a možného reťazenia viacerých slabín.
- Hodnotenie závažnosti s prihliadnutím na technický aj obchodný dopad.
- Technický report, manažérske zhrnutie a prezentácia výsledkov.
- Konzultácia nápravy a retest odstránených zraniteľností.
- Voliteľné pravidelné skenovanie, evidencia, reporting a eskalácia zraniteľností.
Čo zákazník získa
- Zoznam manuálne overených zistení s dôkazmi a reprodukčným postupom.
- Prioritizácia podľa rizika, zneužiteľnosti a dopadu na organizáciu.
- Konkrétne odporúčania pre vývojárov, administrátorov a vlastníkov systémov.
- Manažérske zhrnutie bez zbytočného technického detailu.
- Retest, ktorý overí, či bola náprava vykonaná správne a nevzniklo nové riziko.
- Pri pravidelnej službe prehľad o vývoji zraniteľností, termínoch a otvorených rizikách.
Ako prebieha spolupráca
1. Scoping a pravidlá testovania
Spoločne definujeme testované systémy, účty, povolené metódy, časové okná, kontakty a postup pri zistení kritického rizika.
2. Mapovanie a analýza
Zmapujeme útočnú plochu a identifikujeme potenciálne slabé miesta. Nástroje používame ako podporu, nie ako náhradu manuálnej práce.
3. Manuálne overovanie
Overíme zneužiteľnosť, dopad a možné kombinácie zraniteľností. Pri produkčných systémoch postupujeme podľa dohodnutých bezpečnostných obmedzení.
4. Report a prezentácia
Výsledky rozdelíme podľa závažnosti, systémov a vlastníkov. Technickému tímu vysvetlíme reprodukciu a nápravu, vedeniu reálny dopad a priority.
5. Retest a ďalšie riadenie
Po náprave vykonáme retest. Ak zákazník potrebuje trvalý proces, nastavíme pravidelné skenovanie, reporting a eskaláciu.
Prečo fsociety
fsociety neposiela zákazníkovi neupravený export zo skenera. Automatizované nálezy manuálne overujeme, odstraňujeme falošne pozitívne výsledky a dopĺňame ich o kontext, ktorý pomáha rozhodnúť, čo riešiť ako prvé.
Testovanie dokážeme prepojiť s auditom, riadením rizík, externým CISO, monitoringom a dlhodobým vulnerability managementom. Organizácia tak získava nielen jednorazový report, ale aj mechanizmus na systematické znižovanie technického rizika.
- Manuálne overovanie a zrozumiteľné dôkazy.
- Kombinácia technického a obchodného hodnotenia dopadu.
- Retest odstránených zraniteľností ako štandardná nadväzujúca možnosť.
- Výstupy pre technické tímy aj vedenie.
- Možnosť nadviazať pravidelným riadením zraniteľností.
Najčastejšie otázky
Aký je rozdiel medzi skenovaním zraniteľností a penetračným testom?
Skenovanie automatizovane identifikuje známe technické slabiny a je vhodné na pravidelné pokrytie väčšieho rozsahu. Penetračný test zahŕňa manuálnu analýzu, overovanie zneužiteľnosti, obchodnej logiky a kombinácie viacerých zistení.
Môže testovanie spôsobiť výpadok?
Riziko minimalizujeme scopingom, pravidlami testovania a dohodnutými obmedzeniami. Pri citlivých produkčných systémoch vopred určíme zakázané techniky, časové okná a postup eskalácie.
Potrebujete testovacie účty?
Pri aplikáciách odporúčame účty pre rôzne používateľské roly, aby bolo možné overiť autorizáciu a obchodnú logiku. Konkrétne požiadavky určíme pri príprave testu.
Ako často máme vykonávať penetračné testovanie?
Frekvencia závisí od rizika, regulačných požiadaviek a rýchlosti zmien. Testovanie je vhodné po významnom nasadení alebo zmene a následne pravidelne podľa kritickosti systému.
Čo sa deje po odovzdaní reportu?
Výsledky vysvetlíme, odpovieme na otázky k náprave a po odstránení zraniteľností môžeme vykonať retest. Pri dlhodobej službe sledujeme otvorené riziká a termíny priebežne.
Preverte bezpečnosť skôr, ako sa zo slabiny stane incident
Získajte overené zistenia, jasné priority a odporúčania, ktoré dokáže váš technický tím reálne použiť.
Súvisiace služby: Audit kybernetickej bezpečnosti · Externý CISO a MKB · SOC a SIEM · NIS2 a compliance