Penetrační testování
Neděláme jen OWASP Top 10 checky a generické reporty. Začneme pochopením vaší aplikace — co dělá, jaká data zpracovává a co by způsobilo největší škodu, kdyby selhala. Uděláme rychlý threat model, identifikujeme use cases, které váš byznys trápí nejvíc, a pak tyto scénáře otestujeme do hloubky. Výsledek: přesně víte, kde by vás útočník mohl nejvíc zranit.
Co je zahrnuto
Business-Driven hodnocení hrozeb
Před sáhnutím na klávesnici pochopíme vaši aplikaci, datové toky a největší obavy. Rychlá session modelování hrozeb k identifikaci use cases, které mohou způsobit největší byznys škodu — ty testujeme první a nejhlouběji.
Penetrační testování webových aplikací
Za hranicemi OWASP Top 10 — testujeme chyby obchodní logiky, obcházení autentizace, eskalaci oprávnění a vícekrokové útočné řetězce specifické pro to, jak vaše aplikace funguje. Vlastní testovací případy odvozené z threat modelu.
Testování bezpečnosti API
REST, GraphQL, gRPC — testované na broken access control, injection, nadměrnou expozici dat a zneužití obchodní logiky. Testujeme API způsobem, jakým s ním interagují skuteční útočníci, ne jen dokumentované endpointy.
Infrastrukturní a síťový penetrační test
Externí a interní hodnocení sítě. Obcházení firewallu, útočné cesty přes Active Directory, eskalace oprávnění, simulace laterálního pohybu a validace segmentace.
Sociální inženýrství
Phishing, vishing a testování fyzického přístupu. Testujeme vaše lidi, nejen technologie. Často kombinované s technickým pentestem pro realistické vícevektorové scénáře.
Detailní report a osobní debrief
Manažerské shrnutí pro vedení, technické nálezy s CVSS a reálným byznys dopadem pro inženýry, postupné pokyny k nápravě a osobní debrief s vaším týmem. Možnost retestu v ceně.
Jak to funguje
Scoping a Threat Model
Pochopení aplikace, její architektury a byznysového kontextu. Rychlé modelování hrozeb pro identifikaci nejvíce rizikových use cases. Definice rozsahu, pravidel a komunikačních kanálů.
Průzkum
Pasivní a aktivní sběr informací. Mapování attack surface z pohledu útočníka — před zahájením exploitace.
Cílená exploitace
Nejdřív testujeme vysoce rizikové scénáře z threat modelu. Pak systematické pokrytí standardních útočných vektorů. Každý krok kontrolovaný, bezpečný a zdokumentovaný.
Post-exploitace a dopad
Jak daleko se dostaneme? Jaká data jsou přístupná? Na jaké systémy se dá přesunout? Demonstrujeme skutečný byznys dopad — ne jen technickou závažnost.
Report a osobní debrief
Komplexní report s nálezy prioritizovanými podle byznys dopadu. Sedneme si s vaším týmem, projdeme každý nález a společně probereme přístupy k nápravě.
Pro koho je to určeno
Související služby
Jste připraveni začít?
Domluvte si bezplatné posouzení a probereme vaše bezpečnostní potřeby.
Domluvit bezplatné posouzení