Penetrační test a sken zranitelností: v čem je rozdíl

Zkráceně: sken je průběžná kontrola šířky, test je jednorázová kontrola hloubky. Nejsou to konkurenti a vybírat mezi nimi znamená vzdát se jedné z těch dvou věcí.

Skener vyhraje všude, kde rozhoduje počet. Projde tisíc adres za noc, porovná verze proti databázi známých zranitelností, tedy proti seznamu, ve kterém má každá chyba vlastní označení CVE, a upozorní na chybějící záplatu na desítkách serverů, které by člověk v rozsahu testu nikdy nestihl otevřít. Přesně tuhle práci má dělat nástroj, ne tester.

• Chybějící bezpečnostní záplaty napříč velkým počtem strojů a zařízení.
• Systémy s koncem podpory, na které se zapomnělo při migraci.
• Odchylky od nastavené konfigurace, které vznikly mezi dvěma kontrolami.
• Nově vystavené služby, o kterých nikdo z IT nevěděl.

Sken je zároveň nejlevnější způsob, jak tenhle stav sledovat průběžně. Test ukáže situaci ke dni testování, kdežto pravidelná kontrola perimetru a interní sítě sleduje změny mezi testy.

Skener sám od sebe neví, která operace komu patří. Jestli je přístup oprávněný, plyne z pravidel konkrétní firmy a ta v žádné databázi nejsou. Typický nález tohohle druhu vypadá tak, že běžný uživatel zavolá funkci vyhrazenou správci, protože se oprávnění řeší jen tím, že se v rozhraní schová tlačítko.

Stejně tak nenajde chyby v business logice, tedy v pravidlech, která platí jen ve vaší aplikaci. Příručka OWASP k testování webu to říká natvrdo: tenhle druh zranitelnosti skener nenajde a testuje se ručně. Objednávka jde stornovat i po odeslání zboží, věrnostní body se převedou dvakrát, vratka se proplatí dřív, než se zboží vrátí na sklad. Nástroj tahle pravidla nezná, takže je ani nemůže porušit.

Třetí kategorie je řetězení. Samostatně nezajímavý nález plus zapomenutý testovací účet plus chybějící omezení na správcovském rozhraní dohromady znamenají průnik, i když každá z těch tří položek má ve skenu nízkou závažnost. Tohle spojení udělá jen ruční test, kde nálezy ověřuje člověk.

Rozdíl je vidět i na jediném nálezu. Skener oznámí, že běží stará verze knihovny, a přiřadí jí skóre podle databáze. Tester ukáže, že se přes ni dá stáhnout databáze zákazníků, a doloží to požadavkem a odpovědí serveru. Pro rozhodnutí, co opravit dřív, je to úplně jiná informace.

Sken spotřebuje čas hlavně na vyhodnocení, ne na běh. Nástroj doběhne přes noc, ale někdo musí projít nálezy a oddělit skutečné chyby od falešných poplachů. U velkého prostředí se tahle práce opakuje s každým během a je to důvod, proč se sken vyplatí automatizovat i s tříděním.

Není to náš dojem: příručka NIST k technickému testování řadí skenování mezi činnosti náročné na lidskou práci právě kvůli interpretaci výsledků a upozorňuje, že skenery mají vysokou míru falešných poplachů.

U testu je poměr obrácený. Podstatná část času jde na ruční ověřování a na hledání cest, které nástroj nevidí, a délka roste s počtem uživatelských rolí, prostředí a lokalit. Proto se rozsah testu počítá v člověkodnech, zatímco sken se počítá podle počtu sledovaných systémů.

Sken stačí tam, kde od poslední kontroly přibyly jen záplaty a běžné aktualizace. Penetrační test je potřeba ve chvíli, kdy přibyla funkce, role, integrace nebo celé prostředí, protože to sken sice proskenuje, ale novou logiku neprověří. Nástroj o ní totiž nic neví.

• Zvolte sken, pokud potřebujete průběžný přehled o záplatách a vystavených službách.
• Zvolte test, pokud jste vydali novou verzi aplikace s jiným datovým modelem nebo rolemi.
• Zvolte test, pokud máte doložit stav technických opatření někomu zvenčí.
• Zvolte obojí, pokud provozujete aplikaci s citlivými daty a k tomu vlastní síť.

Česká regulace obojí rozlišuje a v přísnějším ze dvou režimů nepovažuje jedno za náhradu druhého. Vyhláška č. 409/2025 Sb. mluví o skenování zranitelností a o penetračním testování jako o dvou samostatných činnostech a stanovuje pro každou jinou frekvenci, i když se týkají téhož systému; která opatření vyhlášky 409/2025 test prokáže a která ne, rozebírá samostatný článek.

Koho se to týká, v jakém režimu a v jakých lhůtách, je otázka na samostatný výklad. Shrnujeme ho tam, kde patří, tedy v přehledu, co k testování a skenování říká zákon. Úplné znění vyhlášky č. 409/2025 Sb. je veřejné.