Když padne slovo penetrační test, lidem se vybaví jedna věc. Ve skutečnosti jsou dva hlavní druhy a každý odpovídá na jinou otázku. Test webu se ptá „dostane se útočník dovnitř zvenku?". Test interní sítě se ptá „co když už uvnitř je?". Potřebujete znát obě odpovědi, ale začít se dá u té, kde je riziko větší.
Penetrační test webu a aplikací
Tady se testuje to, co je vidět z internetu: web, e-shop, webová aplikace, API, přihlašování. Testér se chová jako útočník zvenku a hledá, kudy prolomit ochranu. Obcházení přihlášení, přístup k datům jiného uživatele, podstrčení škodlivého vstupu, chyby v logice aplikace. Tohle je nejčastější první krok, protože web je brána, kterou vidí každý.
Penetrační test interní sítě
Interní test začíná z pozice někoho, kdo už je uvnitř. Třeba zaměstnance, nebo útočníka, který se dostal přes phishing. Zkoumá, jak daleko se z jednoho počítače dá dojít. K serverům, k databázím, ke sdíleným diskům, k účtům s vyššími právy. Ukazuje, jak by vypadal skutečný průnik potom, co selže první obrana. A právě zřetězení drobných chyb tady bývá nejnebezpečnější.
Který potřebujete
Ideálně oba, protože odpovídají na jiné otázky. V praxi se ale začíná tam, kde je riziko největší. Máte e-shop nebo aplikaci, na které stojí tržby? Začněte webem. Máte citlivá data a hodně interních systémů? Přidejte interní síť. Rozsah a pořadí je právě to, co doporučíme na úvodní konzultaci.
Jak to spolu souvisí
Oba testy vycházejí ze stejné metodiky a stejných fází, které popisujeme v článku o průběhu penetračního testu. Liší se výchozí pozicí a rozsahem, což ovlivňuje i cenu. Dohromady dávají úplný obraz: jak jste odolní zvenku i zevnitř.
Časté dotazy
Stačí otestovat jen web?
Na začátek často ano, hlavně když je web hlavní rizikový bod. Ale útočník, který se dostane dovnitř přes zaměstnance, web mine úplně. Proto se interní test dřív nebo později vyplatí.
Jak často testy opakovat?
Obecně jednou ročně a po každé větší změně systému. Nová funkce nebo nový server může otevřít cestu, která předtím neexistovala.
Co si z toho odnést
Test webu prověří obranu zvenku, test interní sítě to, co se stane, když už je útočník uvnitř. Obě odpovědi jsou důležité. Kde začít, rozhoduje to, kde máte největší riziko.
Děláme penetrační testy webu i interní sítě. Nevíte, čím začít? Rezervujte si nezávaznou konzultaci a doporučíme rozsah podle vaší situace.
