Služby

Segmentace sítě a to, kam se lze z jednoho připojeného zařízení dostat. Sdílené složky a jejich oprávnění. Zastaralé a neaktualizované systémy. Protokoly, které lze zneužít k zachycení přihlašovacích údajů. Lokální oprávnění na pracovních stanicích.

Připojím se do sítě u vás v budově nebo přes vzdálený přístup, podle domluvy. Začínám bez jakýchkoli přihlašovacích údajů a postupuji tak, jak by postupoval útočník, který se dostal k jedné zásuvce nebo k jednomu notebooku.

Report se seznamem zjištění, u každého hodnocení závažnosti podle CVSS 3.1, doložený postup zneužití a konkrétní doporučení. Součástí je popis cest, kterými jsem se dostal k vyšším oprávněním, a pořadí, ve kterém je uzavírat.

Vychází se z předpokladu, že útočník už uvnitř je — má účet běžného zaměstnance nebo jeho stanici. Testuje se, kam se odtud dá dojít: oprávnění uživatelů a skupin, servisní účty, delegace, zásady pro hesla a možnosti eskalace až na správce domény.

Dostanu od vás účet běžného uživatele, tedy přesně to, co má kterýkoli zaměstnanec. Odtud hledám cesty k vyšším oprávněním a každý krok si ověřuji v praxi, ne jen z konfigurace. Nečeká se na to, jestli se dovnitř dostanu — ten čas se věnuje tomu, co následuje potom.

Mapu cest, kterými lze získat kontrolu nad doménou, s uvedením, kde je řetěz nejsnazší přerušit. K tomu konkrétní opatření a pořadí, ve kterém je nasazovat.

Všechny služby dostupné z internetu: webové servery, VPN, poštovní servery, vzdálená správa. Zastaralé verze se známými zranitelnostmi, chybné konfigurace, výchozí a slabá hesla. Součástí je i dohledání systémů, o kterých firma neví, že jsou vystavené.

Nejdřív zmapuji, co vám na internetu skutečně běží — často je toho víc, než čekáte. Potom u každé nalezené služby ověřuji, co s ní jde udělat zvenčí, bez jakýchkoli přihlašovacích údajů.

Přehled vašeho povrchu, tedy seznam všeho, co je z internetu vidět, a report se zjištěními, která jsou zvenčí skutečně zneužitelná — ne seznam teoretických nálezů ze skeneru.

Přihlašování a správa relace, oprávnění a přístup k cizím datům, zpracování vstupů, nahrávání souborů, rozhraní API. Vycházím z metodiky OWASP.

Testuji jak bez přihlášení, tak z účtu běžného uživatele — právě přechody mezi úrovněmi oprávnění bývají nejčastější slabinou. Potřebuji od vás testovací účty a informaci, jestli se testuje na produkci, nebo na kopii.

Report se zjištěními, u každého postup, kterým se dá ověřit, a doporučení mířené na vývojáře — tedy co v aplikaci změnit, ne odkaz na obecnou příručku.

Způsob ověřování do podnikové sítě, zabezpečení návštěvnické sítě a jejich vzájemné oddělení. Možnost podvržení přístupového bodu a zachycení přihlašovacích údajů.

Testuji zvenčí budovy i zevnitř — z parkoviště, z recepce, z návštěvnické sítě. Zajímá mě hlavně to, jestli se návštěvník nebo někdo v dosahu signálu dostane dál, než má.

Report se zjištěními a doporučením, jak sítě oddělit a jaké ověřování nasadit, aby dosah signálu přestal být vstupní branou.

Reakce zaměstnanců na podvodnou zprávu: kolik lidí ji otevře, kolik klikne, kolik vyplní přihlašovací údaje. Podle domluvy i telefonický kontakt nebo pokus o vstup do budovy.

Scénář a rozsah domluvíme předem, včetně toho, kdo o kampani ví. Zprávy odesílám z vlastní infrastruktury, sběr dat je omezen na to, co je pro vyhodnocení nutné — hesla se nikde neukládají.

Souhrnné výsledky za organizaci a útvary, ne jmenný seznam. K tomu použitý scénář a doporučení, na co zaměřit školení.

Jak dnes vypadá podvodná zpráva, podle čeho se pozná a co dělat, když na ni někdo klikne. Zacházení s hesly a s daty mimo firemní síť.

Pro zaměstnance bez technického zaměření, s ukázkami skutečných útoků. Pokud předcházela phishingová kampaň, vychází výklad z jejích výsledků.

Proškolené lidi a podklady, které jim zůstanou. Školení má smysl opakovat, ne odbýt jednou.

Posouzení návrhu sítě, plánovaných opatření nebo nabídky jiného dodavatele — nezávisle na tom, kdo je bude realizovat.

Projdeme, co provozujete a co plánujete. Když test v dané situaci nedává smysl, řeknu to.

Písemné shrnutí s doporučeným postupem a pořadím kroků.