01 / Rozsah
Dohodneme ciele a bezpečný postup
Ciele, identity, časové okná a zakázané akcie určíme ešte pred začatím autorizovaného testu.
Autorizovaný penetračný test
Dôkaz vo vopred dohodnutom rozsahu
Test má jasné hranice a každé zistenie doložený dôkaz. Retest po oprave môže nadviazať, ak je súčasťou ponuky.
02 / Dôkaz
Zdokumentujeme overiteľný výsledok
Každé zistenie spája podmienky, kroky a minimálny dôkaz s dopadom. Nejde o nepretržitý útok.
03 / Retest
Po oprave môže nadviazať retest
Ak je retest súčasťou zadania, overí pôvodné podmienky a pomenuje prípadné zostávajúce riziko alebo nové obmedzenie.
Kde je riziko skutočné, nie len teoretické
Blackhat test spája pohľad útočníka so znalosťou obrany. Nejde o čo najdlhší zoznam chýb, ale o slabiny, ktoré môžu vašej organizácii skutočne uškodiť.
Rozsah navrhneme podľa vášho prostredia a cieľa. Vopred si ujasníme, čo budeme technicky overovať, ktoré organizačné otázky posúdime a čo test pokrývať nebude.
- Zmapovanie vystavených služieb a typických ciest útoku.
- Overenie vybraných slabín v dohodnutom rozsahu.
- Posúdenie súvisiacich procesov a obranných opatrení.
- Odporúčania zoradené podľa dopadu a náročnosti nápravy.
Blackhat test, pentest, alebo sken?
Blackhat test
Širší pohľad na hlavné riziká organizácie. Vhodný ako prvý krok a podklad na ďalšie rozhodnutia.
Penetračný test
Do hĺbky overí, čo sa dá zneužiť v konkrétnej aplikácii, API alebo infraštruktúre. Rozsah je presne vymedzený.
Automatizovaný sken
Rýchlo vyhľadá potenciálne známe zraniteľnosti. Nenahradí manuálne overenie, kontext ani test obchodnej logiky.
Bezpečný priebeh a zrozumiteľný výstup
Pred testom potvrdíme ciele, povolené systémy, časové okná, zakázané techniky a kontakty na eskaláciu. Ak sa tak dohodneme, kritické zistenie vám oznámime hneď, nečaká na záverečný report.
Report má dve úrovne: zhrnutie pre vedenie a technické podrobnosti pre správcov. Pri každom zistení uvádzame dôkaz, dopad, odporúčanú nápravu a obmedzenia vykonaného overenia.
