Penetrační testy
Penetrační testy jsou cílené bezpečnostní audity webových nebo mobilních aplikací, které simulují reálný útok z pohledu externího nebo interního útočníka. Cílem je odhalit zranitelnosti, chybné konfigurace a slabiny v implementaci, které mohou vést k úniku dat, neoprávněnému přístupu nebo narušení integrity systému.
Testy probíhají ručně i automatizovaně podle metodik OWASP Testing Guide, OWASP Top 10 a případně dalších relevantních standardů (např. MASVS pro mobilní aplikace).
Pro koho jsou vhodné?
Penetrační testy mají smysl ve čtyřech typických scénářích využití.
- Testování nové aplikace před nasazením do produkce
- Pravidelný bezpečnostní audit aplikací dle interních či legislativních požadavků
- Kontrola po větší aktualizaci systému nebo změně infrastruktury
- Ověření souladu s bezpečnostními rámci (např. GDPR, PCI DSS, ISO 27001)
Co služba zahrnuje
Test pokrývá šest navazujících kroků od úvodní analýzy po volitelný retest.
- Úvodní analýzu aplikace a sběr informací (reconnaissance)
- Ruční i automatizované testování bezpečnostních slabin
- Testování autentizace, autorizace, validace vstupů, logiky aplikace a ochrany dat
- Ověření odolnosti proti nejčastějším útokům
- SQL Injection, XSS, CSRF, IDOR, SSRF, RCE a další
- Závěrečnou zprávu s nálezy, doporučenými opatřeními a kategorizací rizik (např. dle CVSS)
- Volitelně: opakovaný retest po opravách
