Každý systém má slabé místo. Rozdíl je v tom, kdo ho najde jako první. Chováme se jako najatý útočník, ale hrajeme na vaší straně. Simulujeme reálný útok, odhalíme konkrétní cesty dovnitř a dáme vám přesný plán, co opravit.
Nejkratší cesta dovnitř vede přes formulář, přihlášení nebo API.
Vaše webová aplikace je často nejkratší cesta dovnitř. Stačí jedna chyba v přihlášení, formuláři nebo API a útočník se může dostat k datům, účtům i interním systémům.
Stará pravidla, zapomenuté přístupy a cesty, kudy se dá nenápadně postupovat dál.
Síť bývá plná starých pravidel, zapomenutých přístupů a míst, odkud se dá nenápadně postupovat dál. Test ukáže, jak snadno by se útočník mohl dostat k důležitým systémům.
Cloud není bezpečný jen proto, že běží u velkého poskytovatele.
Cloud není bezpečný jen proto, že běží u velkého poskytovatele. Nejčastější problémy vznikají až ve chvíli, kdy je něco špatně nastavené, otevřené moc lidem nebo viditelné víc, než by mělo být.
Slabě chráněná komunikace nebo úložiště dá útočníkovi víc, než by měl.
Mobilní aplikace často pracují s účty, citlivými daty i klientskými informacemi. Když je slabě chráněná komunikace, úložiště nebo logika aplikace, může útočník získat víc, než by měl.
Tady nejde jen o data, jde o samotný provoz.
Tady nejde jen o data, ale o samotný provoz. Test prověřuje, jestli jsou provozní systémy opravdu oddělené a jak snadno by se k nim dalo dostat z běžného IT prostředí.
Stačí dobrý e-mail, telefonát nebo člověk, který vypadá důvěryhodně.
Ne každé napadení začíná technickou chybou. Často stačí dobře mířený e-mail, telefonát nebo návštěva člověka, který vypadá důvěryhodně.
Cíle a pravidla testu
Na začátku si vyjasníme rozsah, cíle i pravidla testu. Zaměříme se na to, co má reálný dopad na vaše data, provoz a byznys.
Recon & OSINT
Zjišťujeme, co je o vašem systému vidět zvenčí. Tedy přesně to, co si o vás umí zjistit i útočník ještě před prvním pokusem o průnik.
Exploitation
Simulujeme reálný útok a ověřujeme, kudy by se dalo dostat dovnitř. Kombinujeme manuální testování s nástroji, aby nám neunikly ani méně nápadné chyby.
Post-exploitation
Zkoumáme, co by útočník zvládl po prvním průniku. Jestli by se dostal dál, k citlivým datům, vyšším oprávněním nebo důležitým systémům.
Nálezy, priority a náprava
Dostanete jasný výstup s nálezy, prioritami a doporučením nápravy. Tak, aby z něj vědělo IT, co opravit, a vedení, co to znamená pro byznys.
Penetrační testy jsme dělali pro banky, výrobní firmy, nemocnice i startupy. Útočník neřeší velikost, a ani my ne.
Pavlova kyber školení mají tempo jako hokejový zápas – svižné, praktické a plné zapojení. Účastníci nejsou jen diváci, ale i aktivní hráči. Žádná nuda, jen jasné poznatky použitelné ihned v praxi.
S Pavlem spolupracujeme jako Accolade již několik let. Díky jeho proaktivnímu přístupu je jeho školení v naší společnosti jedno z nejoblíbenějších a s největší účastí. Zaujmou publikum napříč generacemi.
S BOIT dlouhodobě spolupracujeme na přednáškách o informační bezpečnosti. Pavel kombinuje špičkovou odbornost s vtipným podáním. Za 10+ let organizace odborných akcí patří BOIT k nejlepším partnerům. Doporučuji.
Cenu vám řekneme do 24 hodin po první konzultaci. Záleží na rozsahu, ale nikdy neplatíte za čas navíc.
Nejde o teoretické příklady, ale o scénáře, které se v praxi opakují. Podívejte se, co typicky řešíme ve vašem segmentu.
Ve výrobě se ten samý problém opakuje pořád dokola: kancelářské IT a provozní technologie spolu komunikují víc, než by měly. A když se útočník dostane do firemní sítě, cesta k výrobě bývá kratší, než si firmy myslí.
Ve zdravotnictví nejde jen o ochranu dat, ale i o dostupnost péče. Na jedné síti se často potkávají administrativní systémy, zdravotnické přístroje i zálohy. A jedna slabina pak může znamenat mnohem víc než jen IT incident.
Školy a univerzity řeší složitou kombinaci otevřeného prostředí, velkého množství uživatelů a citlivých dat. Vedle sebe tu běží studentské sítě, interní systémy, sdílené disky i učitelské stanice. A právě tahle směs často vytváří slabá místa, která se dlouho neřeší.
E-shopy pracují s tím nejcitlivějším, co zákazník svěřuje online byznysu: osobními údaji, objednávkami, účty i platebními procesy. A protože se vše rychle vyvíjí, bezpečnost často nestíhá tempo nových funkcí, kampaní a integrací.
Poradenské firmy pracují s tím nejcennějším, co jim klient svěří: dokumenty, přístupy, strategií i interními daty. A protože konzultanti běžně přeskakují mezi klienty, systémy a zařízeními, bývá právě tady jedna slabina vstupem k mnohem většímu průšvihu.
Klient nás oslovil kvůli compliance požadavku. Během tří dnů jsme prošli od phishingového e-mailu na recepci až po přímý přístup k řídícímu systému výrobní linky. Nikdo z IT to nevěděl.
"Mysleli jsme, že IT/OT máme oddělené. Ukázali nám tři cesty, kudy to přejít. Jedna šla přes e-mail recepce. Teď to máme opravené a víme, na co se zaměřit dál."
Dostanete jasně popsané nálezy, jejich dopad na byznys i doporučený postup nápravy.
Každý nález dostanete popsaný tak, aby s ním vaše IT nebo dodavatel mohli rovnou pracovat: CVSS skóre, PoC, popis dopadu a konkrétní doporučení k nápravě.
Čitelný souhrn pro vedení: co jsme našli, jaký to má dopad a co řešit přednostně.
Výsledky s vámi projdeme a zasadíme do kontextu. Bez další faktury navíc.
Po opravě klíčových nálezů ověříme, že jsou skutečně vyřešené. V ceně.
Náš tým testuje ručně s porozuměním kontextu. Nepouštíme jen nástroje.
Nenakopíme to do reportu za týden. Pokud narazíme na průšvih, zavoláme hned. Protože každá hodina prodlevy má cenu.
Rozumíme lokálnímu prostředí: česká legislativa, NIS2, české dodavatelské řetězce. Žádný překlad z anglického reportu.
Ano. Ale vždy si nejdřív řekneme, co to má přinést. Blackbox dává smysl v konkrétních situacích, ne vždy je nejlevnější způsob, jak odhalit nejvíc.
Obvykle 2–5 dnů testu + 2–3 dny pro zpracování reportu. Záleží na rozsahu. U webové aplikace bývá kratší, u infrastruktury delší.
Záleží na rozsahu. Neprodáváme "balíčky" s fixní cenou. Cenu řekneme po první konzultaci, obvykle do 24 hodin. Zavolejte nebo napište.
Ano. Pentest je jeden z požadovaných důkazů pro obě normy. Výstup z testu použijete přímo jako podklad pro auditora.
Ano: AWS, Azure, Google Cloud. A reálně, ne podle návodu z blogu. Víme, jak funguje shared responsibility model a kde jsou hranice pro testování.
Záleží na dohodě. Standardně testujeme tak, abychom provoz neovlivnili. Pokud chcete i zátěžové scénáře, domlouváme se na maintenance window.