Martin Hořický
Partner • Digital Services
Penetrační testování infrastruktury představuje klíčovou metodu pro odhalení technických a konfiguračních zranitelností v rámci síťových, serverových a virtualizačních prostředí. Tato forma testování pomáhá organizacím ověřit odolnost jejich systémů proti útokům zvenčí i zevnitř a zajistit, že implementovaná bezpečnostní opatření fungují v praxi.
Přínosy penetračního testování infrastruktury
- Identifikace zranitelností v síťové architektuře, serverech, firewallech a dalších prvcích.
- Ověření účinnosti segmentace, přístupových politik a detekčních mechanismů.
- Prevence úspěšného zneužití chyb, které by mohly vést k eskalaci oprávnění
nebo kompromitaci sítě. - Pomoc při naplnění požadavků regulatorních rámců (DORA, NIS2, ISO 27001).
- Získání objektivního přehledu o technické odolnosti prostředí včetně třetích stran.
Hlavní cíle penetračního testování infrastruktury
- Prověřit hranice síťové bezpečnosti (externí IP, DMZ, VPN, veřejně exponované služby).
- Otestovat odolnost proti laterálnímu pohybu v interní síti.
- Identifikovat chyby v konfiguracích, zastaralé systémy a neaktualizované služby.
- Získat přístup k cílovým systémům pomocí autentizovaných i neautentizovaných metod.
- Vyhodnotit detekční a reakční schopnosti bezpečnostních nástrojů.
Typické útoky a rozdíly mezi vektory napadení
| Název útoku či zranitelnosti | Vektor | Kategorie | Popis |
|---|---|---|---|
| Otrava SMB Relay / LLMNR | Interní síť | Laterální pohyb | Zneužití nedostatečného zabezpečení Windows prostředí |
| Útoky hrubou silou na VPN / obcházení MFA | Perimetr | Přístupové slabiny | Získání přístupu k síti přes nezabezpečené přihlášení |
| Eskalace oprávnění | Server / OS | Lokální útok | Získání oprávnění administrátora díky zranitelnosti OS |
| Špatně nakonfigurovaná pravidla firewallu | Síťová vrstva | Konfigurační chyba | Nežádoucí otevření portů/služeb do vnitřního prostředí |
| Zastaralý serverový software | Aplikační vrstva | Technická zranitelnost | Systémy bez aktualizací zranitelné proti známým CVE |
Jaké jsou požadavky na testovací týmy?
- Pokročilá znalost síťových protokolů, správy serverových platforem a segmentace infrastruktury
- Schopnost provádět odposlouchávací útoky, eskalace privilegií a cílené testy detekce
- DORA neukládá konkrétní certifikace, ale vyžaduje odpovídající odbornost týmu
- Zkušenost s testováním hybridních prostředí (on-premise, cloud, virtualizace, kontejnerizace)
- Nezávislost testovacího týmu na vývojovém týmu, provozním IT oddělení a dodavatelích infrastruktury
- Dokumentace testu včetně relevantních forenzních výstupů a reportu splňujícího požadavky regulátorů a auditních standardů
Jaké požadavky stanovuje DORA v souvislosti s penetračním testováním infrastruktury?
01
Pravidelné provádění penetračních testů minimálně 1× ročně, případně po významných změnách infrastruktury.
02
Dokumentování zranitelností, návrh nápravných opatření a ověření jejich implementace.
03
Zaměření na systémy, které podporují kritické nebo důležité obchodní funkce.
04
Testování i u prostředí provozovaných třetími stranami, pokud jsou součástí ICT ekosystému.
Proč spolupracovat s BDO?
BDO poskytuje penetrační testy infrastruktury jako součást ucelené bezpečnostní strategie. Pomáháme organizacím odhalit a opravit technické slabiny dříve, než je zneužijí reální útočníci. Využíváme kombinaci manuálních testů, automatizace a znalosti reálných útokových technik
01 Technická odbornost a zkušenosti
Náš tým má rozsáhlé zkušenosti s testováním infrastruktury v bankovnictví, telekomunikacích, průmyslu i státní správě. Provádíme externí, interní i hybridní penetrační testy, simulace útoků na servery, sítě, zařízení i infrastrukturu třetích stran.
02 Znalost regulatorního rámce
BDO rozumí požadavkům DORA, NIS2 i souvisejícím rámcům kybernetické bezpečnosti. Pomáháme s integrací testovacích výstupů do systému řízení ICT rizik a kontinuálního zlepšování odolnosti. Výsledky našich testů lze efektivně využít při auditech, inspekcích i bezpečnostním reportingu vedení.
03 Nezávislost a důvěryhodnost
Jako nezávislá poradenská firma nejsme technologicky ani procesně napojeni na provozní části organizace. Nabízíme objektivní a důvěryhodné výsledky, které respektují technické, obchodní i regulatorní požadavky. Naši klienti nás vnímají jako dlouhodobého bezpečnostního partnera, ne jen dodavatele služeb.
04 Certifikovaný tým s expertní praxí
Naši specialisté jsou držiteli certifikací OSCP, CRTP, CEH, CCISO, CISSP, CompTIA PenTest+, BSCP, CRTP, CREST CPSA, MTCNA, CCNA, které potvrzují jejich schopnosti v oblasti technického testování, síťového průzkumu a pokročilých technik zneužití.
