01 / Rozsah
Dohodneme cíle a bezpečný postup
Cíle, identity, časová okna a zakázané akce určíme ještě před zahájením autorizovaného testu.
Autorizovaný penetrační test
Důkaz v předem dohodnutém rozsahu
Test má jasné hranice a každý nález doložený důkaz. Retest po opravě může navazovat, pokud je součástí nabídky.
02 / Důkaz
Zdokumentujeme ověřitelný výsledek
Každý nález spojuje podmínky, kroky a minimální důkaz s dopadem. Nejde o nepřetržitý útok.
03 / Retest
Po opravě může navazovat retest
Pokud je retest součástí zadání, ověří původní podmínky a pojmenuje případné zbývající riziko nebo nové omezení.
Kde je riziko skutečné, ne jen teoretické
Blackhat test spojuje pohled útočníka se znalostí obrany. Nejde o co nejdelší seznam chyb, ale o slabiny, které mohou vaší organizaci skutečně uškodit.
Rozsah navrhneme podle vašeho prostředí a cíle. Předem si ujasníme, co budeme technicky ověřovat, které organizační otázky posoudíme a co test pokrývat nebude.
- Zmapování vystavených služeb a typických cest útoku.
- Ověření vybraných slabin v dohodnutém rozsahu.
- Posouzení souvisejících procesů a obranných opatření.
- Doporučení seřazená podle dopadu a náročnosti nápravy.
Blackhat test, pentest, nebo sken?
Blackhat test
Širší pohled na hlavní rizika organizace. Vhodný jako první krok a podklad pro další rozhodnutí.
Penetrační test
Do hloubky ověří, co lze zneužít v konkrétní aplikaci, API nebo infrastruktuře. Rozsah je přesně vymezený.
Automatizovaný sken
Rychle vyhledá potenciální známé zranitelnosti. Nenahradí ruční ověření, kontext ani test obchodní logiky.
Bezpečný průběh a srozumitelný výstup
Před testem potvrdíme cíle, povolené systémy, časová okna, zakázané techniky a kontakty pro eskalaci. Pokud se tak dohodneme, kritické zjištění vám oznámíme hned, nečeká na závěrečný report.
Report má dvě úrovně: shrnutí pro vedení a technické podrobnosti pro správce. U každého nálezu uvádíme důkaz, dopad, doporučenou nápravu a omezení provedeného ověření.
