Poptávka po penetračních testech roste, potřebných odborníků je ale v ČR jen několik desítek
Podle expertů ze společnosti Eviden firmy posilují svou obranu také z důvodu množících se hackerských útoků. Vysokou poptávku zaznamenávají hlavně v oblasti penetračního testování, které dokáže odhalit slabá místa. Poptávka zde vzrostla meziročně o 80 %. Výzvou je ale nedostatek zkušených odborníků.
„Penetrační testování je nezbytnou součástí hodnocení odolnosti organizace vůči kybernetickým hrozbám. A uvědomují si to i firmy, není potřeba je přesvědčovat. S novým kyberzákonem to navíc pro spoustu z nich bude povinnost. Problém nastává spíše v dostupnosti. Skutečných odborníků je totiž málo, v České republice jsou jich řádově desítky. Do jisté míry mohou penetrační testy zajistit automatizované nástroje obsluhované proškolenými lidmi. Ty ale zdaleka neodhalí vše,“ uvedlTomáš Hlavsa, specialista na kyberbezpečnost ze společnosti Eviden, která pro penetrační testování využívá svůj mezinárodní tým odborníků z Česka, Rumunska, Polska, Německa či Rakouska a budoucí odborníky si vybírá také z řad studentů, které postupně vzdělává.
Kradená data se mohou velmi jednoduše objevit na dark webu
Cílem penetračního testování je proniknout do systému, aplikace či infrastruktury, identifikovat a posoudit zde slabá místa. Zranitelnosti, které mohou vést k různým kybernetickým útokům, jsou kritické. S těmito zranitelnostmi je na dark webu možné obchodovat za značné částky, od tisíce až po statisíce dolarů. I to ale dokáží odborníci dohledat. „Na klienta, jehož data bychom na dark webu neobjevili, jsme zatím nenarazili. Jde o skutečnou hrozbu,“ dodal Tomáš Hlavsa. Etičtí hackeři neboli pentesteři poskytují cenné informace o připravenosti organizace v oblasti kybernetické bezpečnosti.
Důvěřujte svému pentesterovi
Při vyhledávání služeb penetračního testování či etického hackingu je nezbytné jasně definovat cíle, specifikovat zadání a vybrat si dodavatele, ve kterého máte důvěru. Penetrační testeři musí dodržovat etické zásady a rozsah působnosti organizace. Pokud objeví potenciální zranitelnost mimo původní rozsah, musí o tom okamžitě informovat klienta, aby bylo zajištěno etické a legální testování. Pentester provádí vícevektorové „útoky“ a využívá různé techniky k narušení obrany organizace, napodobuje metody používané útočníky v reálném světě. Techniky zahrnují phishingové útoky, sociální inženýrství, útoky hrubou silou (brute-force), různé útoky typu odepření služby (DoS) a nasazení zranitelností nultého dne (zero-day vulnerability), pokud jsou objeveny. Z hlediska znalosti IT prostředí firmy se penetrační testy v zásadě dělí na tři druhy: black-box, white-box a grey-box. Black-box testy simulují útok zvenčí, kde útočník zná pouze vstupy a výstupy aplikace, ale ne její vnitřní strukturu. White-box testy vyžadují jistou znalost architektury a zdrojového kódu aplikace či sítě. Grey-box testy kombinují výhody obou přístupů. Využívají znalosti vnitřní logiky aplikace, ale testují z pohledu uživatele nebo útočníka.
