Penetrační testování

Co je penetrační testování a proč je důležité

Penetrační testování (pen-test) je řízený, povolený a metodicky vedený pokus o prolomení bezpečnostních opatření organizace s cílem odhalit a kvantifikovat zranitelnosti dříve, než je zneužijí útočníci. Nejde o „hacking pro zábavu“, ale o systematickou bezpečnostní disciplínu, která poskytuje manažersky srozumitelné výstupy, technické důkazy i konkrétní doporučení k nápravě. Pen-test doplňuje procesní bezpečnost (ISMS), řízení rizik i pravidelné skeny zranitelností a je klíčovou součástí zralého přístupu k bezpečnosti, compliance a odolnosti organizace.

Terminologie a vymezení vůči jiným aktivitám

• Penetrační test: řízený a časově omezený útok proti dohodnutému rozsahu, s jasnými cíli a pravidly.
• Red teaming: širší, scénářově orientovaná simulace protivníka (APT) přes delší období, často s minimem informací a multidoménově (fyzická bezpečnost, lidský faktor, kyber).
• Bug bounty: kontinuální crowdsourcovaný hon na chyby s veřejně/privátně definovanými pravidly a odměnami.
• Vulnerability assessment: automatizované i manuální vyhledávání zranitelností bez aktivního zneužití a post-exploitation.
• Purple teaming: kooperace red (útočníci) a blue (obránci) týmů za účelem zlepšování detekcí a reakcí v reálném čase.

Typy penetračních testů a modely znalostí

• Black-box: testér nemá interní informace; simuluje vnějšího útočníka. Rychle ověřuje „externí hygienu“.
• Grey-box: omezené informace (uživatelský účet, topologie). Vyvážený poměr realismu a efektivity.
• White-box: detailní dokumentace, přístup ke zdrojovým kódům, architektuře. Vhodné pro bezpečnostní audit aplikací a CI/CD.

• Externí testy (internetové perimetry, weby, VPN, cloudové edge služby)
• Interní testy (síť LAN/WLAN, AD/IdP, segmentace, serverové služby, uživatelské stanice)
• Testy aplikací (web, API, mobilní, tlustý klient, mikro-služby, serverless)
• Bezdrátové/IoT/OT (Wi-Fi, BLE, Zigbee, průmyslové protokoly, embedded zařízení)
• Sociální inženýrství (phishing, vishing, pretexting; pouze s explicitním souhlasem)

Metodiky a standardy: rámce pro kvalitu

• PTES (Penetration Testing Execution Standard) – strukturuje celý životní cyklus testu, od scopu po reporting.
• OWASP – pro web a API: ASVS, MASVS, Testing Guide, Top 10 a API Top 10.
• NIST SP 800-115 – technická metodika testování a hodnocení bezpečnosti.
• OSSTMM – otevřená metodika pro testování bezpečnosti sítě, procesů i lidí.
• PCI DSS – vyžaduje pravidelné pen-testy a segmentační testy u systémů zpracovávajících platební karty.
• ISO/IEC 27001/27002 – pen-test podporuje řízení rizik a účinnost kontrol v ISMS.

Životní cyklus penetračního testu

1. Scoping a právní rámec: rozsah, cíle, metody, čas, prostředí, povolené techniky, kontakty pro incidenty, krizové scénáře.
2. Průzkum a enumerace: pasivní OSINT, aktivní skenování, mapování služeb a verzí, identifikace útokových ploch.
3. Analýza zranitelností: korelace nálezů, pravděpodobnost, dopad, předvýběr vektorů útoku.
4. Exploatace: cílené ověření zneužitelnosti s minimalizací dopadu; důsledné logování a sběr důkazů.
5. Post-exploitation: udržení přístupu, laterální pohyb, eskalace privilegií, exfiltrace vzorkových (ne citlivých) dat dle scopu.
6. Reporting: manažerské shrnutí, technické detaily, důkazy, repro kroky, mitigace a priorizovaný plán nápravy.
7. Remediace a re-test: ověření opravy, aktualizace skóre rizik a uzavření nálezu.

Právní, smluvní a etické aspekty

• Písemný souhlas a pověření vlastníka systémů; definované „Rules of Engagement“.
• NDA, zacházení s daty, retenční lhůty, mazání dat a logů po ukončení.
• GDPR a soukromí: minimalizace osobních údajů, pseudonymizace vzorků, logging přístupů k datům.
• Bezpečnost provozu: okna údržby, koordinace s provozem/SOC, zákaz DoS mimo schválený rozsah.
• Evidence a řetězec důkazů (chain of custody) pro auditovatelnost.

Techniky a vektory útoků v praxi

• Síťová vrstva: Nmap/naabu pro port-scany, fingerprinting; zneužití slabých protokolů (SMBv1, LLMNR/NBNS), MITM, VLAN hopping (pouze se souhlasem).
• Active Directory: Kerberoasting, AS-REP roasting, útoky na delegace, zneužití špatných ACL; graf analyzovaný nástroji BloodHound.
• Web a API: injekce (SQLi, NoSQLi), XSS, SSRF, IDOR, broken auth, chybné CORS; fuzzing parametrů, testování rate-limitů a logiky.
• Cloud: chybné identity/přístupové politiky, veřejné buckety, metadata služby, privilegované role, útoky na CI/CD secret management.
• Bezdrátové: slabé WPA/WPA2-PSK, rogue AP, evil twin; segmentace mezi WLAN a LAN.
• Endpoint: neaktualizované agenty, nechráněné lokální secret store, DLL hijacking, neomezené makra.
• Sociální inženýrství: phish kampaně s řízeným scopingem, měření míry kliku, zachování etiky a školení po testu.

Nástrojový ekosystém (příklady)

• Průzkum a skenování: Nmap/Zenmap, Masscan, Nessus/OpenVAS, nuclei.
• Web/API: Burp Suite (Proxy, Repeater, Intruder), OWASP ZAP, Postman, mitmproxy.
• Exploatace: Metasploit, sqlmap, Impacket, Rubeus, CrackMapExec.
• AD a post-exploitation: BloodHound/SharpHound, Mimikatz, Seatbelt.
• Analýza provozu: Wireshark, tcpdump, Zeek (pasivní analýza).
• Cloud: ScoutSuite, Prowler, Steampipe, pacu (AWS), azucar/Cloud splnitelné kontroly.

Hodnocení rizik a priority nápravy

Každý nález musí mít jasně definovaný dopad a pravděpodobnost. Prakticky se používá CVSS pro technické skóre, doplněný obchodním kontextem (expozice, regulace, citlivost dat). Užitečné je párovat nálezy na konkrétní hrozby (např. MITRE ATT&CK techniky), aby SOC mohl upravit detekční pravidla a playbooky.

Specifika pen-testu aplikací a API

• Model hrozeb: datové toky, trust boundary, autentizace a autorizace, správa relací, škálování a rate-limiting.
• Testování logiky: obchodní pravidla, závody (race conditions), výjimky a edge-cases, testy multi-tenant izolace.
• API: ověření schémat (OpenAPI), Broken Object/Function Level Authorization, validace vstupů, deserializace.
• Mobilní aplikace: storování tajemství, root/jailbreak detekce, MITM, bezpečnost transportní vrstvy, interakce s backendem.

Penetrační testování v cloudu a moderní architektuře

• Shared responsibility model: test cílí na konfiguraci služeb, identity a přístup, nikoliv na spravovanou infrastrukturu poskytovatele mimo povolený rámec.
• Bezpečnost IaC: kontrola Terraform/ARM/CloudFormation šablon, politika minimálních oprávnění, rotace klíčů.
• Kontejnery a orchestrátory: izolace namespaces, admission controllery, secret management, supply chain v CI/CD.

Integrace do SDLC a DevSecOps

• Shift-left: hrozby a bezpečnostní požadavky již ve fázi návrhu; statická/dynamická analýza a SCA v pipeline.
• Pen-test jako kontrolní bod před releasem kritických systémů a pravidelně po významných změnách.
• Ticketizace nálezů (Jira, Azure Boards), SLA podle závažnosti, automatické testy, které brání regresi.

Metriky a reportování pro management

• MTTR/MTRR (čas do opravy/retestu), podíl kritických nálezů uzavřených do SLA.
• Trend zranitelností mezi cykly, distribuce podle kořenové příčiny (konfigurace, kód, procesy).
• Pokrytí testů vůči kritickým aktivům a hrozbám; mapování na rámce (OWASP, ATT&CK).

Šablona kvalitního výstupního reportu

• Executive summary: rozsah, datumy, hlavní rizika, business dopad, top doporučení.
• Metodika a limity: použité standardy, nástroje, omezení testu.
• Detailní nálezy: identifikátor, popis, důkaz (screenshot/hash), dopad, reprodukce krok za krokem, zmírnění, reference.
• Přílohy: seznam cílů/IP/DNS, časová osa, artefakty, hash souborů, soulad s pravidly.

Časté chyby při pen-testech a jak se jim vyhnout

1. Nejasný scope a cíle: výsledkem jsou spory a chybějící hodnotné závěry. Řešení: workshop scopu a písemné RoE.
2. Pouze automatizace bez manuální validace: vysoký šum a falešné nálezy. Řešení: manuální ověření a kontext.
3. Ignorování bezpečnosti testu: výpadky, ztráta dat. Řešení: okna údržby, zálohy, limitované testy destruktivních technik.
4. Nedostatečný reporting: bez repro kroků a prioritizace. Řešení: standardizovaná šablona a kontrola kvality.
5. Bez re-testu: nálezy přetrvávají. Řešení: plán oprav a povinný re-test.

Bezpečnostní kultura a kontinuita

Penetrační test není jednorázová „check-box“ aktivita. Skutečnou hodnotu přináší v kombinaci s průběžným řízením zranitelností, threat-intelligence, bezpečnostním monitoringem a školením zaměstnanců. Cílem je snižovat pravděpodobnost úspěšného útoku a současně zkracovat dobu detekce i reakce.

Checklist před spuštěním pen-testu

• Definovaný a schválený scope, kontakty a okno testu.
• Podepsané RoE a NDA, proces eskalace incidentů.
• Zálohy a rollback pro kritické systémy, monitoring připraven logovat testovací aktivity.
• Vytyčené zakázané techniky (např. DoS), povolené účty a přístupy pro white/grey-box.
• Domluvený formát reportu, metriky a termín re-testu.

Závěr: Pen-test jako katalyzátor zlepšování

Kvalitně naplánované a provedené penetrační testování poskytuje organizaci ověřitelný obraz odolnosti vůči relevantním hrozbám a přináší konkrétní kroky ke zlepšení. V kombinaci s procesy DevSecOps, řízením rizik a bezpečnostní kulturou se z něj stává průběžný mechanismus zvyšování bezpečnosti i compliance, nikoliv jednorázová kontrola.