// OFENZIVNÍ BEZPEČNOST
Testujeme webové aplikace a API, hledáme cestu k doménovému adminovi ve vaší síti a posíláme vašim lidem phishing dřív, než ho pošle někdo jiný.
// 01 · SLUŽBY
Hackeři se k vám dostanou přes aplikace a API, přes slabé místo v infrastruktuře nebo přes lidi. Test aplikace najde zranitelnosti. Red team ověří, jestli si jich někdo všimne. Phishingová kampaň ukáže, jak zareagují lidé. Konzultace řeší architekturu dřív, než ji postavíte. Audit projde konfigurace celé infrastruktury, na místě zdokumentuje, co u vás máte, a navrhne bezpečnostní vylepšení.
// 02 · TÝM
Co-founder · Red Team Lead
Vede red team operace a testy infrastruktury a drží šest certifikací: CRTO a CRTL pro red teaming, CPTS a CNPen pro penetrační testování, CCPenX-AWS pro cloud a C-AI/MLPen pro systémy s AI. V MikroTik RouterOS našel integer overflow ve funkci unflatten(), který vyšel v databázi NVD jako CVE-2026-39042 s hodnocením CVSS 7.5 (High).
Celý profil Patrika Žáka →
Co-founder · Penetration Tester
Testuje webové aplikace a API: od chyb v autorizaci po byznysovou logiku, kterou skener sám neoznačí. Věnuje se také bezpečnosti IoT zařízení a průmyslových systémů OT. Drží čtyři certifikace: CRTO, CNPen, CAPenX a WEB1, poslední dvě míří přímo na bezpečnost aplikací.
Celý profil Juraje Daniše →// 03 · JAK PRACUJEME
Na úvodním hovoru projdeme, co se bude testovat: kolik aplikací a rolí, jaký rozsah IP, jestli test běží z internetu, nebo zevnitř sítě. Výstupem je zadání s rozsahem a termínem prací, které podepíšeme před prvním packetem. Než se ozvete, můžete si projít orientační rozsahy a z čeho se skládá cena.
Automat používáme na mapování povrchu, zranitelnosti hledáme rukama. Skener nezná, co má která role ve vaší aplikaci vidět, takže chyby v autorizaci a v byznysové logice zůstávají na člověku. Postupujeme podle PTES a OWASP, kroky red teamu mapujeme na MITRE ATT&CK.
Report má dvě části: shrnutí pro vedení s dopadem a pořadím oprav, technickou část s postupem reprodukce, důkazy a konkrétním doporučením. Nález se závažností Critical vám ale hlásíme okamžitě.
Po opravách projdeme nálezy znovu a ověříme, jestli oprava drží i proti pokusu ji obejít. Dostanete aktualizovaný report se stavem každého nálezu. Tím se dá náprava doložit klientovi i auditorovi, který kontroluje, co po firmách chce nový zákon o kybernetické bezpečnosti.
// 04 · BLOG
Rozbory zranitelností, cesty k doménovému adminovi v Active Directory a phishingové techniky, které zrovna procházejí přes filtry. Píše je celý tým, pod každým článkem je podepsaný autor. Newsletter Security Sunday vydává náš Red Team Lead Patrik Žák každou neděli na LinkedInu.
// Kde nás citovali
// KONTAKT
Napište nám, co chcete otestovat. Ozveme se a domluvíme si hovor, na kterém upřesníme rozsah, termín i cenu.