Tato příručka poskytuje vše, co potřebujete k pochopení, rozsahu a provedení tohoto typu testování – s praktickými pokyny, které můžete okamžitě uplatnit.
Testování externí sítě
Externí Penetration Testing hodnotí vaši infrastrukturu přístupnou z internetu z pohledu vnějšího pozorovatele. Tester simuluje útočníka bez interního přístupu, který zkoumá vaše veřejné IP adresy, webové servery, poštovní servery, VPN endpointy, DNS infrastrukturu a veškeré další služby vystavené internetu. Cíl: zjistit, zda může externí útočník prolomit váš perimetr a získat přístup k interním systémům.
Testování interní sítě
Interní Penetration Testing začíná uvnitř vaší sítě – simuluje scénář, kdy útočník již získal opěrný bod, například prostřednictvím phishingu, kompromitovaného endpointu nebo škodlivého insidera. Tester hodnotí, zda může eskalovat oprávnění, pohybovat se laterálně napříč segmenty sítě, přistupovat k citlivým datům, kompromitovat Active Directory a dosáhnout kritických systémů, které by měly být chráněny segmentací.
Testování segmentace
Segmentace sítě je vaše strategie hloubkové obrany – izolace citlivých systémů (jako je vaše prostředí s daty držitelů karet nebo ePHI databáze) od širší sítě. Testování segmentace ověřuje, že tyto hranice skutečně drží. Může se uživatel na host WiFi dostat do vaší produkční databáze? Může kompromitovaná pracovní stanice v marketingu přistupovat k finančnímu serveru? Pro shodu s PCI DSS je testování segmentace povinné.
Zabezpečení Active Directory
Active Directory je páteří většiny podnikových sítí – a primárním cílem pro laterální pohyb a eskalaci oprávnění. Interní pentesting by měl vyhodnotit zásady hesel, zabezpečení Kerberos (Kerberoasting, AS-REP Roasting), chybnou konfiguraci Group Policy, zranitelnosti delegace a cesty, kterými by se útočník mohl dostat od standardního uživatelského účtu k Domain Admin.
Kdy potřebujete obojí
Většina rámců pro dodržování předpisů vyžaduje externí i interní testování. PCI DSS výslovně nařizuje obojí. Auditoři SOC 2 očekávají důkazy, že byly vyhodnoceny obě perspektivy. A z hlediska zabezpečení je testování pouze perimetru a ignorování toho, co se děje po narušení, jako zamknout vchodové dveře, ale nechat všechny pokoje uvnitř dokořán.
Závěrem
Network Penetration Testing vyhodnocuje infrastrukturu, na které závisí vaše aplikace a data – jak z pohledu zvenčí dovnitř, tak z pohledu zevnitř ven. Penetrify pokrývá obě perspektivy s automatizovaným skenováním pro široké pokrytí infrastruktury a manuálním odborným testováním pro útoky na Active Directory, obcházení segmentace a cesty laterálního pohybu, které určují vaše skutečné ohrožení.