Frekvence hackerských útoků každoročně stoupá o stovky procent. Stále důležitější význam tak získává kybernetická bezpečnost. Obstojí ale vaše zabezpečení vůči kybernetickým útočníkům? To vám pomohou odhalit penetrační testy nebo zkráceně pentesty.
Penetrační testy (někdy označované jako „etické hackování“) jsou jednou z metod IT testů zabezpečení. Provádějí se na systémech podniků nebo organizací a zahrnují různé metody navržené k identifikaci potenciálních zranitelností a testování k ověření bezpečnosti IT systémů.
Pentesty jsou skvělým způsobem, jak identifikovat zranitelnosti, které existují v systému nebo síti, ale i. Skládají se útočných postupů prováděných důvěryhodnými odborníky, které podobně používají kybernetičtí útočníci nebo hackeři. Můžeme tedy konstatovat, že penetrační testy jsou jakýmsi simulovaným a kontrolovaným hackerským útokem. Jejich výstupem je analýza bezpečnosti IT systémů, včetně doporučení kroků k nápravě odhalených zranitelností.
Proč penetračních testy?
Proč byste se měli pro pentesty rozhodnout? Existují dva hlavní důvody:
- Identifikace konkrétních zranitelností v architektuře kybernetické bezpečnosti takovým způsobem, aby je bylo možné opravit. A to včetně případných nedostatků v plánu reakce na bezpečnostní incidenty.
- Zvýšení povědomí o kybernetické bezpečnosti ve vrcholovém vedení vaší firmy, což může iniciovat navýšení rozpočtu na kybernetickou bezpečnost. Spadá sem i bezpečnostní vzdělávání, školení atp.
Pamatujte ale, že hlavně přínos penetračních testů (zlepšení bezpečnosti počítačů) se projeví až po jejich pravidelném opakování. Jak často byte měli penetrační testy opakovat? Záleží na tom, jak velká je vaše organizace, jak často do sítě přidáváte nový software nebo hardware a na konkrétních předpisech kybernetické bezpečnosti, kterými se vaše odvětví řídí. Svoji roli také hrají různé přístupy a metody penetračního testování.
Metody penetračního testování
Důvěryhodnému testerovi poskytnete potřebné informace o vašem IT zabezpečení a systémech a nejvyšší stupeň přístupových práv. Test sice přímo neodpovídá reálnému hackerskému útoku, ale odpovídá spíše důkladnému přezkoumání systému na úrovni zdrojového kódu. I když je tato metoda velmi důkladná (a zvláště účinná pro předcházení vnitřním hrozbám), nemusí rozpoznat zranitelnosti, které by byl útočník schopen zneužít zvenčí pomocí nekonvenčních taktik. Tento přístup nazýváme „white box“.
Další metodou nebo přístupem k penetračnímu testování je tzv. „black box“. Provádí se bez znalosti cílové sítě nebo systémů. Tester navíc neví nic o interním kódu nebo softwaru, ani nemá k dispozici přístupové údaje nebo citlivé informace. Tato forma testování je realistická, protože nutí testera při hledání zranitelností si počínat jako při hackerském útoku. Tester má ovšem omezenou dobu na získání přístupu, zatímco skutečný hacker nemá podobná omezení a mohl by identifikovat slabiny, které nejsou okamžitě zřejmé.
Existuje ještě další metoda, „gray box“, která je mixem obou předchozích přístupů. Tester tedy má určité základní znalosti o systému, jako např. přihlašovací údaje nižší úrovně, mapa síťové infrastruktury nebo diagramy aplikační logiky. Test stále poskytuje velmi realistické výsledky, protože mnoho hackerů se ani nepokusí zahájit útok bez informací o cílovém prostředí. Tento pentest se provádí rychleji a s konkrétním cílením na bezpečnost systémů, o kterých je již známo, že jsou rizikové.
Tip: Přečtěte si o tom, jak pentesty ochrání vaše podnikání.
Výsledky penetračních testů
Výstupy testů zahrnují řadu zpráv, které odhalují, jak byly bezpečnostní problémy identifikovány a potvrzeny během testu. Po dokončení penetračního testu zpráva odhalí seznam všech zranitelností, které se během testů objevily. Ve většině případů zpráva poskytne doporučení, jak problémy vyřešit.
Report penetrační testů obsahuje zpravidla kompletní zhodnocení projektu, techniky a metodiky použité během testu, úrovně bezpečnostních rizik v pořadí priorit, doporučení pro řešení problémů a návrhy na zpřísnění IT zabezpečení jako celku.
Obvykle obdržíte také zprávu pro vedení společnosti, která netechnickým způsobem vysvětluje, jak mohou uvedená rizika ovlivnit kontinuitu podnikání a potenciální finanční ztráty, které by vznikly v důsledku porušení zabezpečení. Tato část zprávy může také zahrnovat investice do IT, které mohou být nezbytné pro zlepšení stávajícího zabezpečení.
Prevence vždy výhodnější než likvidace škod
Pravidelné provádění penetračních testů považujte za jakousi prevenci škod způsobených hackerskými útoky nebo vnitřními hrozbami. Finanční ztráty v důsledku rozsáhlejšího kompromitování firemních dat vedou v 60 % případů až k ukončení činnosti malých a středních podniků. Stejně jako jistě nepodceňujete prevenci v oblasti např. požární ochrany, obdobně přistupujte i k prevenci hackerských útoků a narušení kybernetické bezpečnosti. Vaše firemní data vám za to stojí.
