Penetrační testování infrastruktury

Externí test simuluje útočníka z internetu, který o vás nic neví a začíná od domény. Interní test simuluje útočníka, který už je uvnitř, typicky přes zaměstnance, který otevřel přílohu. Externí odpovídá na otázku, jak těžké je se dovnitř dostat. Interní na otázku, co se stane potom, a ta je nepříjemnější.

Oba testy dávají smysl, ale ne najednou. Když jste nikdy netestovali, začněte externím perimetrem, je levnější a nálezy se opravují rychleji. Interní test má smysl hned potom, protože právě on ukáže, jestli se jedna kompromitovaná stanice zastaví u jednoho počítače, nebo skončí u doménového admina. Kdo chce konfigurace nejdřív projít a uklidit společně a teprve pak zkoušet útok, tomu slouží přehled a náprava konfigurací před testem.

Interní test nevyžaduje, abychom k vám jezdili. Stačí virtuální stroj v síti nebo notebook, který připojíte do zásuvky v kanceláři a předáte nám vzdálený přístup. Umístění stanice je součástí scopingu: jiný obrázek dá pozice v kancelářské síti a jiný v serverovém segmentu.

Tomuhle způsobu zadání se v oboru říká assume breach: přeskočíme průnik zvenčí a začneme rovnou zevnitř, jako by se útočník dovnitř už dostal. Výchozí bod volíte podle scénáře, který chcete prověřit, buď kompromitovanou stanici, nebo předaný běžný doménový účet bez zvláštních oprávnění. Rozepisujeme, co přesně assume breach znamená, v samostatném hesle.

Do vnitřní sítě přitom nevede jen phishing. Wi-Fi jako další cesta do vnitřní sítě dá útočníkovi z okolí budovy stejnou výchozí pozici jako kompromitovaná stanice, jen bez kliknutí na přílohu.

Začínáme inventurou, ne skenem. Z veřejných zdrojů složíme seznam domén, subdomén, IP rozsahů a certifikátů a porovnáme ho s tím, co za svoje považujete vy. Rozdíl mezi těmi dvěma seznamy je nejcennější výstup první fáze. Každou položku, která v něm zůstane, pak ověřujeme zvlášť: zapomenutou testovací instanci, starou VPN, tiskárnu s veřejnou IP.

Pak přichází mapování služeb a ruční ověření. Automat oznámí zranitelnou verzi, tester ověří, jestli je opravdu využitelná v téhle konfiguraci, a teprve potom to jde do reportu. Tímhle krokem odpadnou nálezy, které by jinak zbytečně vytížily vaše administrátory.

Dvě místa na perimetru kontrolujeme pokaždé: rozhraní pro správu vystavené do internetu bez omezení zdrojové adresy a účty bez vícefaktorového ověření na vzdáleném přístupu. Obojí se opravuje v řádu hodin a zavře to nejkratší cestu dovnitř. Samotné aplikace, které na tom perimetru běží, testujeme zvlášť, protože jejich chyby jsou v kódu, ne v konfiguraci sítě.

Active Directory je adresářová služba, ve které jsou účty, počítače a oprávnění celé firmy. Když ji útočník ovládne, ovládl všechno ostatní. Proto jde interní test právě po ní a hledá cesty, které vedou z běžného uživatelského účtu k účtu správce domény.

Konkrétně: Kerberoasting (MITRE ATT&CK T1558.003), tedy vytažení hashe ze servisního účtu a jeho offline lámání. Zneužitelné šablony certifikátů v AD CS, kde si žadatel sám určí, na koho certifikát zní (scénář označovaný ESC1). Hesla zapomenutá ve skriptech a na sdílených discích, kam vidí každý zaměstnanec. Nadměrná oprávnění delegovaná před lety kolegovi, který už ve firmě nepracuje.

Tyhle cesty popisujeme podrobně v článku pět cest k doménovému adminovi včetně toho, jak se každá zavírá. Na testu je navíc to, že u vás ověříme, které z nich fungují, a v jakém pořadí se je vyplatí opravit.

Tři proměnné: počet živých IP adres v rozsahu, počet lokalit a počet domén v Active Directory. Ne počet zaměstnanců, ten s pracností nesouvisí. Sto adres v jedné ploché síti je méně práce než třicet adres ve třech oddělených segmentech s vlastními pravidly.

Externí perimetr obvykle zabere jeden až dva týdny, interní síť s jednou doménou dva až tři. Podrobně rozepisujeme, z čeho se počítá cena testu sítě, včetně toho, co rozsah zvedá a co ne.

Cloudové účty do tohohle rozsahu nepatří. Oprávnění a role v AWS testujeme jako samostatnou službu, protože se počítají podle jiných proměnných a platí pro ně vlastní pravidla poskytovatele.

Do rozsahu nepatří ani průmyslová vrstva: průmyslové systémy testujeme zvlášť, protože OT a ICS se v provozu prověřují opatrně a jinými technikami než drátová IT síť.

Zranitelnost CVE-2026-39042 je nález našeho týmu, ohlášený výrobci cestou responsible disclosure a od té doby vedený jako veřejný záznam se svým číslem: integer overflow v jádrové IPC knihovně MikroTik RouterOS, konkrétně ve funkci unflatten() v libumsg.so. Umožňuje vzdálenému útočníkovi bez přihlášení shodit službu, tedy způsobit odepření služby, a záznam v NVD z 13. 7. 2026 jí dává hodnocení CVSS 7.5 (High). Týká se verzí 7.21.x před 7.21.4 a 7.22.x před 7.22.2. Zmiňujeme to proto, že na síťovém prvku skener sám od sebe uvidí jen verzi firmwaru. Chyba tohohle druhu se najde až tam, kde někdo čte, co protokol dělá s vstupem.

Klasifikaci nálezů podle CVSS a společný průběh testu a podobu reportu popisujeme na stránce penetračního testování. Tady se liší jen předmět a techniky.