Penetračné testovanie

Čo to znamená

Penetračné testovanie je riadený pokus prelomiť zabezpečenie systému so súhlasom jeho vlastníka. Cieľom nie je zoznam teoretických rizík, ale dôkaz, čo sa útočníkovi naozaj podarí a s akými následkami.

Rozsah sa dohaduje vopred: externá sieť, webová aplikácia, interná sieť, sociálne inžinierstvo. Výsledkom je správa s nálezmi zoradenými podľa závažnosti a s konkrétnymi krokmi na nápravu.

Penetračný test nie je to isté ako automatický sken zraniteľností ani kontrola nastavení firewallu. Sken nájde známe chyby a vypíše ich zoznam, tester skúša slabiny spájať za sebou tak, ako by postupoval útočník, a až tak sa ukáže, či drobná chyba vedie k celej databáze.

Ako to funguje v praxi

Pre bežnú firmu je najprínosnejší test webu a e-shopu, kde sú zákaznícke dáta a platby, a kontrola vzdialených prístupov. Predchádza mu základná hygiena: aktualizácie, riadené prístupy a dvojfaktorová autentifikácia.

Podmienkou je písomný súhlas s rozsahom a časom - bez neho ide o neoprávnený prístup do systému. Nálezy sa preverujú opakovaným testom po oprave, inak sa nevie, či je problém vyriešený.

Kto má e-shop na prenajatej platforme, môže testovať len to, čo sám vlastní, a na zvyšok potrebuje súhlas poskytovateľa podľa jeho pravidiel. Výsledky testu sa hodia aj pri uzatváraní kybernetického poistenia, lebo poisťovne sa v dotazníku pýtajú, ako firma svoje zabezpečenie preveruje.

Na čo si dať pozor

Test je snímka v čase: platí pre stav v deň jeho vykonania, nie natrvalo. Po výraznej zmene aplikácie alebo infraštruktúry sa opakuje, a nálezy so zásahom do osobných údajov treba posúdiť aj optikou GDPR.

Test na produkčnom systéme môže spôsobiť výpadok alebo zmeniť dáta, najmä pri formulároch a platbách. Pred začiatkom sa preto dohodne časové okno, kontaktná osoba na oboch stranách a overí sa aktuálna záloha dát, aby sa prípadná škoda dala rýchlo vrátiť späť.