Eviden: Poptávka po penetračních testech roste, zkušených pentesterů je nedostatek

Tisíce nových regulovaných subjektů, stovky chybějících odborníků, desítky nových úkolů. To vše s sebou přinese transpozice evropské směrnice NIS2 do české legislativy. I přesto, že stanovený říjnový termín dle předpokladu Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) nebude v Česku dodržen, firmy na zajištění své kyberbezpečnosti v mnoha případech již pracují. Potvrzují to experti ze společnosti Eviden, podle kterých firmy posilují svou obranu také z důvodu množících se hackerských útoků. Vysokou poptávku zaznamenávají hlavně v oblasti penetračního testování, které dokáže odhalit slabá místa. Poptávka zde vzrostla meziročně o 80 %. Výzvou je ale nedostatek zkušených odborníků.

„Penetrační testování je nezbytnou součástí hodnocení odolnosti organizace vůči kybernetickým hrozbám. A uvědomují si to i firmy, není potřeba je přesvědčovat. S novým kyberzákonem to navíc pro spoustu z nich bude povinnost. Problém nastává spíše v dostupnosti. Skutečných odborníků je totiž málo, v České republice jsou jich řádově desítky. Do jisté míry mohou penetrační testy zajistit automatizované nástroje obsluhované proškolenými lidmi. Ty ale zdaleka neodhalí vše,“ Tomáš Hlavsa, specialista na kyberbezpečnost ze společnosti Eviden, která pro penetrační testování využívá svůj mezinárodní tým odborníků z Česka, Rumunska, Polska, Německa či Rakouska a budoucí odborníky si vybírá také z řad studentů, které postupně vzdělává.

Kradená data se mohou velmi jednoduše objevit na dark webu

Cílem penetračního testování je proniknout do systému, aplikace či infrastruktury, identifikovat a posoudit zde slabá místa. Zranitelnosti, které mohou vést k různým kybernetickým útokům, jsou kritické. S těmito zranitelnostmi je na dark webu možné obchodovat za značné částky, od tisíce až po statisíce dolarů. I to ale dokáží odborníci dohledat. „Na klienta, jehož data bychom na dark webu neobjevili, jsme zatím nenarazili. Jde o skutečnou hrozbu,“ dodává Tomáš Hlavsa. Etičtí hackeři neboli pentesteři, poskytují cenné informace o připravenosti organizace v oblasti kybernetické bezpečnosti.

Důvěřujte svému pentesterovi

Při vyhledávání služeb penetračního testování či etického hackingu je nezbytné jasně definovat cíle, specifikovat zadání a vybrat si dodavatele, ve kterého máte důvěru. Penetrační testeři musí dodržovat etické zásady a rozsah působnosti organizace. Pokud objeví potenciální zranitelnost mimo původní rozsah, musí o tom okamžitě informovat klienta, aby bylo zajištěno etické a legální testování. Pentester provádí vícevektorové „útoky“ a využívá různé techniky k narušení obrany organizace, napodobuje metody používané útočníky v reálném světě. Techniky zahrnují phishingové útoky, sociální inženýrství, útoky hrubou silou (brute-force), různé útoky typu odepření služby (DoS) a nasazení zranitelností nultého dne (zero-day vulnerability), pokud jsou objeveny. Z hlediska znalosti IT prostředí firmy se penetrační testy v zásadě dělí na tři druhy: black-box, white-box a grey-box. Black-box testy simulují útok zvenčí, kde útočník zná pouze vstupy a výstupy aplikace, ale ne její vnitřní strukturu. White-box testy vyžadují jistou znalost architektury a zdrojového kódu aplikace či sítě. Grey-box testy kombinují výhody obou přístupů. Využívají znalosti vnitřní logiky aplikace, ale testují z pohledu uživatele nebo útočníka.

Zdroj: Eviden