Penetrační test webu vs. interní sítě: jaký je rozdíl a který potřebujete

Test webu se ptá, jestli se útočník dostane dovnitř zvenku. Test interní sítě se ptá, kam až dojde, když už uvnitř je. Obě otázky dávají smysl a každá má obvykle jiného opravce: chyby v kódu řeší vývojář, chyby v síti a jejích službách správce. V režimu vyšších povinností chce vyhláška č. 409/2025 Sb. penetrační test z vnitřní i vnější sítě (§ 24 odst. 5), takže tam se obojímu nevyhnete. Vyhláška č. 410/2025 Sb. penetrační test nezmiňuje.

Jedno upřesnění, které se v názvech testů ztrácí. „Web“ říká, co se testuje. „Interní“ říká, odkud tester útočí. Průvodce PCI SSC proto u vnějšího i vnitřního testu chce prověřit aplikaci i síť. Když tohle víte, nabídky dodavatelů se čtou líp.

Dvě pozice, dvě různé práce

Test webu a aplikací zvenku

NIST popisuje vnější test jako pohled z internetu. Tester začne veřejnými údaji, třeba o doménách, a pak zkouší služby, které firma pouští ven. Nejdřív ty běžné: web, poštu, přenos souborů. NCSC k testu vlastního softwaru dodává, že výsledkem musí být zpětná vazba pro vývojáře, jak podobné chyby příště nevyrobit.

Co přesně se hledá, ukazuje seznam OWASP Top 10:2025, který OWASP nazývá standardním přehledem pro vývojáře a pro ochranu webu. V čele stojí Broken Access Control, tedy chyby v tom, kdo smí vidět co. Za ním jde Security Misconfiguration, v první pětce je i Injection. Celkem má seznam 10 položek.

Jedna věc potěší firmy s hotovým e-shopem nebo redakčním systémem. Průvodce PCI SSC říká, že u hotové aplikace, za jejíž kód firma neodpovídá, obvykle stačí test sítě. Tester ověří, že aplikace správně běží, je správně přenastavená a má aktuální bezpečnostní aktualizace. Plný test kódu patří aplikacím, které firma napsala nebo nechala napsat. Pokud se do aplikace přihlašujete, testují se podle PCI SSC všechny role a u systému pro víc zákazníků se zkouší, jestli zákazník nevidí cizí data.

Test interní sítě zevnitř

Interní test začíná tam, kde první obrana selhala. NIST uvádí, že tester vystupuje jako důvěryhodný uživatel nebo jako útočník, který perimetr prošel, a zkouší zvýšit práva: z uživatele na správce, ze správce na správce celé domény. Zaměřuje se na to, jak jsou aplikace a služby nastavené, na přihlášení, řízení přístupu a zpevnění systémů.

Odborně se tomu říká lateral movement. MITRE ATT&CK ho popisuje tak, že útočník přeskakuje mezi systémy a účty a často používá platná hesla a běžné nástroje systému, což může být nenápadnější než cizí škodlivý kód. Jedna drobná chyba vedle druhé pak vede dál, než by vedla kterákoli z nich sama (NIST: spojené zranitelnosti dosáhnou víc než jedna).

NCSC doporučuje vybrat scénáře podle toho, co se vám už stalo. Jmenuje například ztracený notebook, cizí zařízení zapojený do vnitřní sítě nebo napadený server v zóně mezi internetem a vnitřní sítí. U každého scénáře se ptáte: co by tam útočník dostal?

Který test a v jakém pořadí

Pokud děláte oba a testují je stejní lidé, NIST radí začít zvenku. Jinak by tester předem znal vnitřek sítě a výsledek by byl příznivější, než jaký uvidí cizí útočník. Pokud vybíráte jen jeden, ptejte se, kde je větší škoda. Tržby z e-shopu mluví pro web, citlivá data na sdílených discích pro interní test. NIST k tomu poznamenává, že kvůli ceně a dopadu může stačit test jednou za rok.

V režimu vyšších povinností rozhoduje vyhláška 409/2025 Sb.: penetrační test z obou stran, alespoň jednou za 2 roky, a sken zranitelností z obou sítí alespoň jednou ročně. Podrobně včetně retestu to rozebírá článek o retestu . Sken penetrační test nenahradí: podle NIST skener jen zjistí, že chyba možná existuje, kdežto test ji zneužije a potvrdí. Co tester dostane při startu, ukazuje článek o black, grey a white boxu.

Co udělat ve firmě o dvaceti lidech

1. Sepište, co je vidět z internetu: web, e-shop, API, vzdálený přístup, poštu. To je rozsah vnějšího testu.
2. U každého kusu zjistěte, jestli ho psala firma, nebo jde o hotovou aplikaci. Hotová aplikace potřebuje hlavně kontrolu, jak je nastavená a jestli má aktualizace (PCI SSC).
3. Vyberte dva nebo tři scénáře z NCSC: ztracený notebook, cizí zařízení v síti, napadený server. To je zadání pro vnitřní test.
4. Zkontrolujte si, zda spadáte do režimu vyšších povinností podle zákona č. 264/2025 Sb. Jestli ano, plánujte obojí.
5. Začněte vnějším testem a vnitřní přidejte po něm. Příprava je u obou stejná a popisuje ji článek o přípravě.

Chyby, které se opakují

• Otestuje se jen web. Útočník, který se dostane dovnitř jinudy, web mine. Interní test ukáže, co ho čeká potom.
• Hotová aplikace dostane test kódu. PCI SSC píše, že u ní obvykle stačí test sítě a toho, jak je aplikace nastavená.
• Interní test bez scénáře. Tester pak zkouší všechno a nic konkrétního. NCSC radí vybrat scénáře podle dřívějších incidentů.
• Sken se zamění za test. Sken najde možnou chybu, test ji zneužije. Vyhláška 409/2025 Sb. oba rozlišuje.

Zdroje

• PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017, oddíly 2.2 a 2.3: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf
• NIST Special Publication 800-115, září 2008, oddíly 2.4.1, 5.2.1 a 5.2.2: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
• NCSC, Penetration testing, zveřejněno 8. 8. 2017, přezkoumáno 10. 1. 2022: https://www.ncsc.gov.uk/guidance/penetration-testing
• OWASP, Top 10:2025, zobrazeno 25. 10. 2026: https://owasp.org/Top10/2025/
• MITRE ATT&CK, Lateral Movement (TA0008), upraveno 11. 8. 2025: https://attack.mitre.org/tactics/TA0008/
• Vyhláška č. 409/2025 Sb., § 24, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410
• PCI DSS v4.0, SAQ D for Merchants, duben 2022, požadavky 11.4.2 a 11.4.3: https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf