Nechte si prověřit síť dřív, než vám ji prověří útočník.
A přesně s tím vám můžu pomoct. Projdu vaši infrastrukturu jako skutečný útočník a najdu slabiny, které by útočníkům mohly umožnit vyřadit vás z provozu nebo převzít kontrolu nad vašimi systémy.
Nikdo si vás nemusí vybrat
Spousta útoků není cílená. Automat projíždí internet a hledá, co je otevřené nebo neaktualizované. Že jste malá firma, není ochrana — je to jen jedna položka v seznamu.
Menší firmy to mají těžší
Jeden správce na všechno, systémy, které běží roky beze změny, a žádné testování. Útočník nepotřebuje nic sofistikovaného, stačí mu to, co zůstalo nedodělané.
Vedete k někomu dalšímu
Přístupy k zákazníkům, sdílené systémy, faktury a komunikace. I když u vás není co ukrást, jste použitelní jako cesta k tomu, kdo něco má.
A „vyplatíte“ se
Za útoky většinou stojí lidé, kterým jde o peníze. U menší firmy nemusí být zisk velký, zato bývá snadný — a to jim stačí.
Otázka tedy nezní, jestli o vás někdo stojí, ale jak daleko se dostane, až to zkusí. Jak takový útok probíhá krok za krokem
Čím začít
Šest otázek, ze kterých vyjde, co má u vás smysl prověřit a v jakém pořadí. Nic se neodesílá a nemusíte o sobě nic vyplňovat.
Tady se objeví doporučené pořadí a proč zrovna takhle. Je to orientační, ne nabídka.
Poptat testSlužby
Rozsah domluvíme podle toho, co provozujete, a nabídku můžete dostat i ve více variantách. Po úvodním hovoru dostanete pevnou cenu. Podrobně, co která služba obsahuje
Interní penetrační test
Testuji interní systémy v dohodnutém rozsahu — servery, síťová zařízení a pracovní stanice. Výstupem je přehled zranitelností a doporučení, jak je odstranit.
Co test obsahujeAssumed breach test
Vycházím z toho, že útočník už má účet běžného zaměstnance, a hledám, kam se z něj dá dojít — oprávnění, servisní účty, delegace a cesty k převzetí domény.
Co test obsahujeExterní penetrační test
Testuji systémy a služby dostupné z internetu v dohodnutém rozsahu IP adres a domén. Testuji ručně, nástroje používám jen k prvotnímu zmapování.
Co test obsahujeTestování webových aplikací
Testuji aplikace a jejich rozhraní podle metodiky OWASP — z pohledu návštěvníka, případně i přihlášeného uživatele, podle domluvy.
Co test obsahujeBezdrátové sítě
Prověřuji způsob ověřování, oddělení návštěvnické sítě od podnikové a to, jestli se dá přejít z jedné do druhé — z firmy i z jejího okolí.
Co test obsahujePhishing a sociální inženýrství
Připravím řízenou kampaň a ukážu, jak zaměstnanci reagují na skutečný pokus o vylákání údajů. Výstupem je podklad pro školení, ne seznam viníků.
Co test obsahujeBezpečnostní povědomí
Školím zaměstnance bez technického zaměření na příkladech útoků, kterými se firmy kompromitují nejčastěji.
Co test obsahujeKonzultace
Posoudím návrh sítě, plánovaná opatření nebo nabídku jiného dodavatele — nezávisle na tom, kdo je bude realizovat.
Co test obsahujeMetodika
Pracuji podle vlastní metodiky postavené na uznávaných rámcích a průběžně ji upravuji podle toho, co v praxi potkávám.
Žádný z rámců sám nepokrývá infrastrukturu menších firem tak, jak ve skutečnosti vypadá. Vlastní postup mi dovoluje zachovat jejich úplnost a přitom se zaměřit tam, kde se vážné problémy objevují nejčastěji.
Každé zjištění hodnotím podle CVSS 3.1, takže závažnost není můj dojem, ale číslo, které si můžete ověřit. U každého je postup, jak ho zopakovat, a doporučení přímo pro vaše prostředí.
Report má dvě části: shrnutí pro vedení a technickou část pro ty, kdo budou věci opravovat. Zjištění jsou seřazená podle toho, co řešit nejdřív.
O mně
Jmenuji se Tomáš Belien. Bezpečnosti se věnuji od roku 2021 — nejdřív jako analytik, potom jsem vedl security tým. Dnes dělám hlavně penetrační testy infrastruktury.
Předtím jsem několik let spravoval firemní systémy. Vím proto, jak vypadá report, se kterým se dá pracovat, a jak ten, který skončí v šuplíku.
Ve volném čase jsem postavil NetworkSim, simulátor síťových topologií pro výuku sítí.
Kontakt
Napište stručně, co provozujete a co potřebujete prověřit. Ozvu se s návrhem rozsahu — nebo vám řeknu, že test teď nedává smysl, a proč.