Zjistěte, kam až se útočník reálně dostane — dřív, než to zkusí doopravdy
V autorizovaném a řízeném testu se ve smluveném rozsahu pokusíme prolomit obranu vaší sítě stejně jako skutečný útočník — a ukážeme vám konkrétní cestu dovnitř i to, kam až vede. Dostanete důkaz, ne domněnku: co reálně selže, jak vážný to má dopad a v jakém pořadí to opravit. Vše se souhlasem, na základě smlouvy a NDA, bez výpadku provozu.
V čem je problém
Většina firem nastaví firewall, VPN a Wi-Fi a věří, že obrana drží — jenže nikdo to nikdy reálně nevyzkoušel z pohledu útočníka. Otevřený port, zapomenutý účet, slabé heslo do VPN nebo plochá síť bez segmentace vypadají na papíře neškodně, dokud nezjistíte, že přes ně vede cesta od jednoho zařízení až ke sdíleným diskům a serverům. Útočník nehledá teorii — hledá první díru, kterou se dostane dovnitř, a pak se v síti šíří dál. Penetrační test tuhle cestu projde za vás, řízeně a bezpečně, abyste ji zavřeli dřív než někdo, kdo vás o to nepožádá. A na rozdíl od auditu, který zkontroluje nastavení a řekne, co by mohlo selhat, vám pentest v praxi doloží, co reálně selže. Důvodů přibývá: odběratel nebo dodavatelský řetězec po vás chce doložit, že jste se otestovali; kybernetická pojišťovna to bere jako podmínku; u regulovaných firem to očekává nový zákon o kybernetické bezpečnosti (NIS2); a často je za tím prostá a oprávněná obava, že na ransomware dojde i na vás.
Co konkrétně uděláme
- Externí penetrační test — z internetu, z pozice útočníka zvenčí: prověříme vše, co máte vystavené ven (firewall, VPN, poštu, e-shop, vzdálené přístupy) a pokusíme se najít a využít cestu dovnitř, vždy jen ve smluveném rozsahu.
- Interní penetrační test — z pozice útočníka nebo zaměstnance uvnitř sítě: simulujeme, co dokáže napadený notebook nebo někdo, kdo se dostal za firewall — jak daleko se rozšíří, k jakým systémům a datům se dostane a kde ho zastaví (nebo nezastaví) segmentace.
- Test zabezpečení Wi-Fi — ověříme šifrování a sílu hesel, oddělení hostů od firemních systémů, dosah signálu mimo budovu a možnost přeskočit z hostovské sítě do firemní.
- Phishingová simulace na zaměstnance (volitelně) — po dohodě rozešleme neškodný cvičný phishing a změříme, kolik lidí klikne nebo zadá údaje; výstupem je číslo a podklad pro školení, ne hon na konkrétní osoby.
- Ověření cesty útoku a dopadu — u nalezených zranitelností bezpečně potvrdíme, že jsou skutečně zneužitelné, a ukážeme řetězec kroků od prvního průniku až k tomu nejcitlivějšímu, kam se dá dostat — bez destruktivních zásahů.
- Vše striktně v autorizovaném a smluveném rozsahu — co testujeme, kdy a jak hluboko, je předem písemně domluvené; testujeme jen systémy, které vlastníte nebo k jejichž testování máte prokazatelné oprávnění. Citlivé nebo potenciálně rušivé kroky schvalujete předem a provoz nepokládáme.
- Návrh nápravy ke každému nálezu — nejen 'tady je díra', ale konkrétně jak ji zavřít a čím začít, seřazené podle reálné závažnosti.
Jak to probíhá
- 1
Domluva rozsahu, souhlas a NDA
Společně přesně vymezíme, co se testuje (které IP adresy, systémy, lokality, varianty), co je mimo hru a jak hluboko smíme jít. Vše stvrdíme smlouvou, písemným souhlasem (autorizací) a NDA. Bez vašeho podpisu nic nezačínáme — testujeme jen to, co je výslovně schválené.
- 2
Příprava a načasování
Domluvíme termín a okno tak, aby test nenarušil provoz, určíme kontaktní osoby pro obě strany a 'nouzovou brzdu' pro okamžité zastavení. Připravíme nástroje a postup a předem označíme kroky, které je třeba zvlášť odsouhlasit.
- 3
Řízený test
Ve smluveném okně provádíme samotný test — hledáme a bezpečně ověřujeme cesty dovnitř. Postupujeme řízeně a opatrně, vyhýbáme se zásahům, které by mohly položit provoz; cokoli citlivějšího nejdřív odsouhlasíme. Vážný nález hlásíme okamžitě, nečekáme na report.
- 4
Report s cestou útoku
Sepíšeme, co jsme zkusili, kam jsme se dostali a jak — s konkrétními zranitelnostmi, důkazy (screenshoty, logy), reálným dopadem a prioritou. Součástí je manažerské shrnutí pro vedení i technické detaily pro toho, kdo bude opravovat.
- 5
Společné probrání a náprava
Výsledky vám osobně projdeme, vysvětlíme, co která díra znamená provozně, a poradíme, čím začít. Po opravě umíme klíčové nálezy znovu otestovat (re-test) a potvrdit, že je cesta útoku skutečně zavřená.
Spravujeme a dohlížíme i vzdáleně
Penetrační test ukazuje stav v daném okamžiku a ve smluveném rozsahu — síť i hrozby se ale mění. Proto má smysl test po větších změnách opakovat a po nápravě nálezů provést cílený re-test, který potvrdí, že je cesta útoku skutečně zavřená. Na test obvykle přirozeně navazuje náprava slabin a nepřetržitý vzdálený dohled, aby se nové díry odhalily dřív, než je najde někdo jiný.
Co dostanete
- Report s konkrétními nalezenými zranitelnostmi — co přesně je zranitelné, kde a proč, ne obecné fráze.
- Popis reálné cesty útoku: krok za krokem od prvního průniku až k tomu nejcitlivějšímu, kam jsme se ve smluveném rozsahu dostali.
- Důkazy ke každému závažnému nálezu (screenshoty, výpisy, logy) — abyste viděli, že to není teorie, ale skutečně ověřený průnik.
- Prioritizace nálezů podle reálné závažnosti a zneužitelnosti — víte, co hoří, co řešit brzy a co je doporučení do budoucna.
- Konkrétní doporučení nápravy ke každému nálezu — jak díru zavřít a čím začít, v řeči provozu, ne jen seznam CVE.
- Manažerské shrnutí na jednu stranu — srozumitelné pro vedení a majitele, použitelné i jako doklad pro odběratele, kybernetickou pojišťovnu nebo k NIS2.
- Osobní výklad výsledků a prostor na dotazy — nedostanete jen PDF přes e-mail.
Pro koho je služba
Časté dotazy
Je to bezpečné? Nepoložíte nám provoz?
Test je řízený a vedeme ho tak, abychom provoz nenarušili. Postupujeme opatrně, vyhýbáme se zásahům, které by mohly způsobit výpadek, a cokoli citlivějšího nebo potenciálně rušivého s vámi předem odsouhlasíme a načasujeme. Po celou dobu máme domluvené kontaktní osoby a 'nouzovou brzdu' — na jeden pokyn test okamžitě zastavíme. Cílem je najít díry, ne nadělat škodu.
Čím se penetrační test liší od bezpečnostního auditu?
Audit je kontrola — projdeme nastavení a stav a řekneme, co je špatně nastavené, otevřené nebo zastaralé, tedy co by mohlo selhat. Penetrační test je aktivní ověření — ve smluveném rozsahu se reálně pokusíme dostat dovnitř a ukážeme konkrétní cestu útoku a její dopad, tedy co skutečně selže. Audit i pentest se ideálně doplňují: audit jako vstup, který odhalí slabá místa, pentest jako důkaz, že (ne)jsou zneužitelná. Když si nejste jistí, kterým začít, ozvěte se — u většiny firem dává smysl nejdřív audit a pentest jako navazující ověření.
Potřebujeme k tomu smlouvu a souhlas?
Ano, a je to zásadní. Penetrační test děláme výhradně jako autorizovaný test se souhlasem zákazníka, ve smluveném rozsahu, na základě smlouvy, písemné autorizace a NDA. Testujeme jen systémy, které vlastníte nebo k jejichž testování máte prokazatelné oprávnění, a jen to, co je výslovně schválené. Nikdy 'nehackneme kohokoliv' — bez podpisu nic nezačínáme.
Co když něco najdete?
To je smysl testu — a je to dobrá zpráva, protože díru najdeme my, ne útočník. Vážné nálezy hlásíme okamžitě, nečekáme na finální report. Vše pak dostanete sepsané s důkazy, prioritou a konkrétním návrhem nápravy a osobně to spolu projdeme. Po opravě umíme klíčové věci znovu otestovat a potvrdit, že je cesta útoku zavřená. S nálezy nakládáme důvěrně podle NDA.
Jak často se má test opakovat?
Orientačně jednou ročně a vždy po větší změně — nový firewall nebo VPN, stěhování, větší rozšíření sítě, nová vystavená služba nebo e-shop. Po nápravě nálezů dává smysl cílený re-test, který ověří, že opravy zabraly. Jednorázový test je fotka stavu k danému dni; bezpečnost je ale průběžná.
Kolik penetrační test stojí?
Cena se odvíjí od rozsahu — kolik systémů a lokalit se testuje, které varianty (externí, interní, Wi-Fi, phishing) a jak hluboko se má jít. Orientačně začíná na 35 000 Kč za menší externí test; přesnou cenu stanovíme předem podle rozsahu, bez paušálu naslepo. Proto začínáme krátkým vyjasněním rozsahu nebo dotazníkem. Ozvěte se a navrhneme rozsah, který dává pro vaši firmu smysl.
Penetrační test a simulovaný útok
Začneme nezávazným vyjasněním rozsahu a souhlasu. Test je autorizovaný, řízený a ve smluveném rozsahu — cenu i termín domluvíme předem, provoz nepokládáme.