// SLOVNÍK

Slovník pojmů z ofenzivní bezpečnosti

Slovníků kybernetické bezpečnosti je v češtině dost, tenhle se od nich liší jednou věcí: hesla píšou lidé, kteří ty techniky používají na zakázkách. U každého pojmu proto stojí, co znamená v reálném testu, a kde to jde, i odkaz na primární zdroj, aby si šlo tvrzení ověřit. Hodí se, když vám přistál report a potřebujete rozumět tomu, co v něm stojí, nebo když píšete poptávku a chcete v ní mít správně pojmenovaný rozsah. Když vás zajímá spíš zapojení než definice, projděte si služby, ve kterých se ty pojmy potkávají nebo články a rozbory na blogu.

Ceny ani rozsahy tady nenajdete, hesla vysvětlují pojmy, neprodávají službu. Kolik práce se za kterým typem testu schovává, rozebíráme v rozpadu zakázky na přípravu, testování a report, a které firmy zákon reguluje a od kdy stojí na samostatné stránce o NIS2 a nZKB.

Penetrační testování

Čtyři hesla, která se hodí přečíst dřív, než začnete psát poptávku. Vysvětlují, co penetrační test je, čím se liší od skenu a od auditu a jaké typy testů existují, aby se vám nestalo, že dostanete sken pojmenovaný jako test. Hodí se, když vám někdo řekl, že máte mít pentest, a potřebujete vědět, co si pod tím představit.

Penetrační test

penetration test

Penetrační test je řízený pokus o průnik do informačního systému, prováděný se souhlasem majitele a v písemně vymezeném rozsahu, jehož cílem je najít a prokázat zneužitelné slabiny dřív než útočník.

Sken zranitelností

vulnerability scan

Sken zranitelností je automatizovaná kontrola systémů proti databázi známých chyb, která hlásí nálezy podle verzí a konfigurace, ale zneužitelnost neověřuje ani neřetězí dílčí slabiny do průniku.

Bezpečnostní audit

security audit

Bezpečnostní audit je systematické ověření, jestli informační systém a jeho správa odpovídají zvolenému rámci pravidel, typicky normě nebo interní směrnici, a jestli existují doklady o tom, že se pravidla dodržují.

Typy penetračních testů

types of penetration tests

Typy penetračních testů se nedělí do jednoho seznamu, ale do tří nezávislých os: podle předmětu testu, podle výchozí pozice testera a podle míry znalosti, se kterou tester začíná.

Standardy OWASP

OWASP vydává víc dokumentů, které se dají snadno zaměnit. Top 10 je seznam rizik, WSTG je testovací příručka a ASVS je katalog požadavků na aplikaci, takže věta o testu podle OWASP může znamenat tři hodně různé rozsahy. Čtěte, když porovnáváte nabídky nebo když chcete mít v zadání napsáno, podle čeho se má testovat.

OWASP Top 10

OWASP Top 10 je seznam deseti kategorií nejzávažnějších bezpečnostních rizik webových aplikací, který vydává nadace OWASP v nepravidelných edicích a staví ho na datech z reálných aplikací.

Rozdíl mezi OWASP Top 10 a WSTG

Rozdíl mezi OWASP Top 10 a WSTG je v účelu: Top 10 pojmenovává deset kategorií nejčastějších rizik webových aplikací, zatímco WSTG popisuje konkrétní postupy, jak ta rizika v aplikaci hledat.

OWASP WSTG

OWASP Web Security Testing Guide

OWASP WSTG, celým názvem Web Security Testing Guide, je metodická příručka pro testování bezpečnosti webových aplikací a API, která pro každou oblast popisuje konkrétní testovací postupy a jejich značení.

OWASP ASVS

OWASP Application Security Verification Standard

OWASP ASVS, celým názvem Application Security Verification Standard, je katalog bezpečnostních požadavků na webové aplikace a API, rozdělený do tří úrovní podle toho, jak citlivá data aplikace zpracovává.

Metodiky a rámce

Sem patří rámce, podle kterých se test vede a podle kterých se pak dokládá. PTES popisuje fáze zakázky, MITRE ATT&CK pojmenovává techniky útočníka, volba mezi black, grey a white boxem rozhoduje o tom, s jakou znalostí tester začíná, a ISO 27001 určuje, co z toho bude chtít vidět auditor. K tomu sem patří certifikace testerů, tedy otázka, co vlastně dokládá zkratka v nabídce dodavatele. Praktický dopad mají hlavně na rozsah a na to, jestli výstup obstojí jako doklad.

Black box, grey box a white box

black box, grey box and white box testing

Black box, grey box a white box jsou tři úrovně znalosti, se kterou tester začíná: od nulových informací přes uživatelské účty a dokumentaci až po přístup ke zdrojovému kódu.

ISO/IEC 27001

ISO/IEC 27001 je mezinárodní norma pro systém řízení bezpečnosti informací, podle které se firmy certifikují a která požaduje řízení technických zranitelností i ověřování účinnosti zavedených opatření.

PTES

Penetration Testing Execution Standard

PTES (Penetration Testing Execution Standard) je otevřený standard, který popisuje průběh penetračního testu v sedmi fázích od domluvy rozsahu přes získávání informací a exploitaci až po report.

MITRE ATT&CK

MITRE ATT&CK je veřejná znalostní báze taktik a technik, které útočníci reálně používají v kampaních, uspořádaná podle cílů útoku a doplněná o postupy detekce a zmírnění dopadu.

Certifikace penetračního testera

Certifikace penetračního testera je doklad, že člověk složil zkoušku u některého vydavatele. Zkoušky se ale zásadně liší formátem: jedny žádají, aby uchazeč reálně prolomil připravené prostředí, druhé jsou test s výběrem odpovědí.

Pojmy z praxe

Pojmy, na které narazíte v reportu nebo ve zprávě o incidentu. CVE pojmenovává konkrétní zranitelnost, CVSS jí přiděluje závažnost a z té se pak skládá pořadí oprav; ostatní hesla pokrývají hlavně dění kolem útoku, od rolí v bezpečnostním cvičení a podob phishingu po průzkum před útokem, už uniklé přístupy a řízení útoku, který právě běží. Hodí se, když čtete výstup z testu a potřebujete vědět, co která zkratka nebo pojem znamená.

// DALŠÍ KROK

Otestujte vaši firmu dřív, než to udělají hackeři.

Napište nám, co chcete otestovat. Ozveme se a domluvíme si hovor, na kterém upřesníme rozsah, termín i cenu.

Nezávazná konzultace Prohlédnout služby