Kybernetická bezpečnost

Penetrační testy

Odhalte slabá místa dřív, než je zneužije útočník.

Odhalte s námi bezpečnost vašich systémů, aplikací a infrastruktury a získejte tak výstup s konkrétními nálezy a doporučením k nápravě.

Nechejte se otestovat podle uznávaných metodik, a získejte srozumitelné výstupy a konkrétní doporučení.

Konzultace zdarmaNaše projekty
Etický hacker při penetračním testu

Typy penetračních testů

Otestujeme každé místo, kde může vzniknout riziko. Od aplikací po průmyslové systémy. Vyberte typ, který vás zajímá.

Metodika a přístupy k testování

Testujeme podle uznávaných metodik (OWASP, PTES, OSSTMM, MITRE ATT&CK, NIST) a kombinujeme manuální techniky s automatizací. Vždy s nezávislým peer-review každého nálezu. Kolik toho tester ví na začátku, určuje „box“:

  • Black box

    Tester nemá žádné interní informace – vychází jen z toho, co je veřejně dostupné. Nejvěrněji simuluje útočníka zvenčí, ale část času padne na průzkum místo na hledání chyb.

  • Grey box

    Tester dostane vybrané informace: dokumentaci, běžný uživatelský účet nebo seznam aktiv. Čas jde rovnou na hledání chyb. U webových aplikací nejsmysluplnější volba – ověří i část za přihlášením.

  • White box

    Stejný přístup jako grey box, navíc zdrojový kód a konfigurace. Tester ověří příčinu chyb přímo v kódu a odhalí i to, co zvenčí nejde vidět – klíče v kódu, slabou kryptografii nebo zranitelné knihovny.

Který přístup zvolit, je kompromis mezi realističností útoku a hloubkou pokrytí. Poradíme vám podle vašeho cíle.

Poptat konzultaci

Proč dělat penetrační testování?

Jediné slabé místo může ohrozit vaše data, provoz i důvěru zákazníků. Penetrační testování odhalí, kudy by mohl útočník proniknout do vašich systémů a jaké škody by mohl způsobit.

Získáte přehled o skutečných rizicích, konkrétní doporučení k nápravě i podklady pro bezpečnostní audity. Díky jasným prioritám budete vědět, co řešit nejdříve.

  • Ochrana dat a reputace

    Slabiny najdeme dřív než útočník — bez incidentu, pokuty a mediální stopy.

  • Přehled o aktuálních rizicích

    Víte, co je reálně zneužitelné a co je jen teoretický nález ze skeneru.

  • Plnění NIS2, DORA a ISO 27001

    Doklad o testování bezpečnosti pro regulátora, auditora i zákazníka.

  • Snížení rizika reálného útoku

    Prioritizovaná náprava a retest, který potvrdí, že nálezy skutečně zmizely.

Compliance: NIS2, DORA, ISO 27001 a PCI DSS

Penetrační test je nejběžnější způsob, jak doložit, že bezpečnost skutečně testujete — nejen popisujete v dokumentaci.

  • NIS2

    Řízení rizik a testování bezpečnosti u povinných subjektů — pentest je běžně přijímaný důkaz.

  • DORA

    Testování digitální operační odolnosti finančních subjektů, včetně testů kritických systémů.

  • ISO/IEC 27001

    Technické hodnocení souladu (A.8.8, A.8.29) — pravidelné testy a evidence nápravy.

  • PCI DSS

    Povinné penetrační testy a segmentační testy prostředí zpracovávajícího platební karty.

Nevíte jaký model zvolit? Rádi vám poradíme.

Poptat konzultaci

Jak probíhá penetrační testování

  1. Úvodní schůzka a rozsah

    Probereme vaše potřeby, technologie, senioritu, rozsah spolupráce, rozpočet a termín nástupu.

  2. Kick-off a nastavení součinnosti

    Oslovíme specialisty z naší sítě a podle potřeby zapojíme cílené vyhledávání.

  3. Identifikace zranitelností

    Ověříme technické znalosti, dostupnost a očekávání. Představíme vám vhodné kandidáty.

  4. Exploitace a analýza dopadu

    Po vašem výběru doladíme smlouvy, administrativu a zahájení spolupráce.

  5. Reportování a konzultace

    Probereme vaše potřeby, technologie, senioritu, rozsah spolupráce, rozpočet a termín nástupu.

  6. Retest a potvrzení nápravy

    Oslovíme specialisty z naší sítě a podle potřeby zapojíme cílené vyhledávání.

Kolik stojí penetrační testování?

Přesnou cenu nelze jednoznačně určit bez víc informací, jsou zde proto pouze orientačně, pro přesnější odhad lze využít naší unikátní kalkulačku TrustScope.

TrustScope je unikátní interaktivní kalkulačka, která vám během pár minut sestaví orientační cenový odhad na míru. Vyberete typ testu, rozsah, přístup a další parametry. Poté okamžitě uvidíte, jak se cena skládá. Žádný obchodní tlak, jen transparentní odhad, který si můžete vzít s sebou.

  • Infrastruktura (externí/interní)

    Od 210 000 Kč

  • Webová aplikace a API

    Od 140 000 Kč

  • Mobilní aplikace

    Od 90 000 Kč

  • Wi-Fi síť

    Od 60 000 Kč

  • Cloudová konfigurace

    Od 100 000 Kč

  • OT / ICS prostředí

    Od 140 000 Kč

Co obsahuje report

Technická část

  • Popis každého nálezu s důkazem a kroky k reprodukci
  • Hodnocení dle CVSS 4.0 a reálného dopadu
  • Konkrétní doporučení k nápravě pro IT a vývoj

Manažerské shrnutí

  • Stav bezpečnosti bez technického žargonu
  • Hlavní rizika a jejich dopad na provoz a compliance
  • Prioritizovaný plán nápravy s termíny
Zobrazit vzorový report

Proč testovat s námi

  • Manuální testování

    Automatizaci používáme jako podporu. Zranitelnosti řetězíme a ověřujeme reálný dopad.

  • Certifikovaný tým

    OSCP, CRTP, eJPT a průběžné vzdělávání v ofenzivní bezpečnosti.

  • Kvalitní reporty

    Manažerský souhrn, technické detaily, CVSS 4.0 a konkrétní kroky k nápravě.

  • Retest v ceně

    Po nasazení oprav znovu ověříme, že nálezy skutečně zmizely.

  • Podpora vývojářů

    Nálezy vysvětlíme, projdeme s týmem a pomůžeme s prioritizací.

  • Nenarušíme provoz

    Rizikové techniky plánujeme dopředu a odsouhlasíme rozsah i pravidla.

Certifikace a metodiky

Náš tým drží uznávané ofenzivní certifikace a testujeme podle standardů OWASP, OSSTMM, PTES, MITRE ATT&CK a ISA/IEC 62443.

Firemní

ISO/IEC 27001ISO 9001ISA/IEC 62443AWS Security - Specialty

Etický hacking

OSCPeWPTC-APIPENCRTPCHFICEH

Řízení a audit

OWASP WSTGOSSTMMPTESMITRE ATT&CKMITRE ATT&CK for ICSNIST SP 800-115

Co dělat mezi testy

Penetrační test je snímek stavu v jednom okamžiku. Prostředí se ale mění denně — přidá se služba, unikne heslo, vyjde nová zranitelnost. Tyto dvě průběžné služby mezeru mezi testy zavírají.

  • CredLeak — monitoring uniklých přihlašovacích údajů

    Průběžně sledujeme, zda se přihlašovací údaje spojené s vašimi doménami neobjevily v uniklých databázích nebo v datech z infostealer malwaru. Při nálezu upozorníme odpovědné osoby včetně doporučeného postupu.
    Více o CredLeak

  • Průběžné skenování zranitelností

    Pravidelné skenování infrastruktury na platformě Tenable, nové zranitelnosti, chybějící aktualizace a nebezpečné konfigurace. Buď jako licence s nasazením, nebo jako řízená služba, kde nálezy filtruje náš tým. Zavedený proces řízení zranitelností je zároveň požadavkem ZoKB a NIS2.
    Více o průběžném testování

Časté otázky k penetračním testům

Co je penetrační test?

Řízený simulovaný útok na vaše systémy. Etický hacker se chová jako reálný útočník — hledá slabiny, řetězí je a ověřuje, co s nimi jde skutečně dokázat. Výstupem je report s nálezy, dopadem a konkrétní nápravou.

Jak dlouho test trvá a co potřebujete od nás?

TODO: odpověď ve Figmě chybí.

Kdy můžete začít?

TODO: odpověď ve Figmě chybí.

Jaký je rozdíl mezi penetračním testem a skenem zranitelností?

TODO: odpověď ve Figmě chybí.

Jak často testovat?

TODO: odpověď ve Figmě chybí.

Podle jakých standardů testujete?

TODO: odpověď ve Figmě chybí.

Ovlivní test provoz?

TODO: odpověď ve Figmě chybí.

Je retest součástí ceny?

TODO: odpověď ve Figmě chybí.

Máte zájem o poptávku nebo dotaz?

Ozveme se vám do jednoho pracovního dne.