01
Objective-Led Testing
Každý engagement stavíme na konkrétním business cíli. Může to být průnik do core-banking systémů nebo převzetí domain administration.
Reálné simulace útoků a penetrační testy. Obcházíme bezpečnostní prvky a řetězíme zranitelnosti, abyste viděli skutečný dopad na firmu dřív, než ho dojde vyzkoušet útočník.
Report ze scanneru není důkaz. Určíme cíl, exploit sestavíme ručně a předáme PoC, který si váš technik pustí sám.
Každý engagement stavíme na konkrétním business cíli. Může to být průnik do core-banking systémů nebo převzetí domain administration.
Reportujeme exploitovatelnost. Low-severity nálezy ručně řetězíme, dokud z nich nevznikne kompromitace s reálným dopadem.
Naše metodiky penetračního testování a red teamingu jsou striktně sladěny pro splnění compliance mandátů dle DORA, NIS2, ISO 27001 a TIBER-EU.
Dva výstupy z každého engagementu: manažerský souhrn pro vedení a reprodukovatelné PoC s prioritizovaným opravným kódem pro vývojáře.
Bezpečnostní testování a audity v rozsahu, na který se reálně dívá regulátor i útočník
Každý ofenzivní engagement jde stejným vymezeným sledem. Opakuje se na webu, v síti, v cloudu i u red teamu a končí reportem, který přečte i vedení.
Pasivní OSINT, mapování útočné plochy a sladění threat modelu se stakeholdery. Definujeme rules of engagement, eskalační cesty a přesný rozsah dopadu ještě před vysláním jediného paketu.
Autentizovaná i neautentizovaná enumerace, cílený fuzzing a hunting podle hypotéz. Nálezy validujeme proof-of-concept a třídíme podle exploitovatelnosti.
Řízená exploitace, eskalace oprávnění a řetězené útočné cesty. Každý krok logujeme, jde vrátit zpět a drží se schválených rules of engagement. Živá data z prostředí neodnášíme.
Důkazy persistence, rekonstrukce laterálního pohybu a mapování dopadové plochy. Ukážeme, co by útočník udělal dál a kde vaše detekce, kontroly a segmentace drží.
Manažerský souhrn, technický rozbor s reprodukovatelnými PoC, prioritizovaný plán nápravy a bezplatný re-test kritických nálezů. Reporty obhájitelné před auditorem.
Přímé odpovědi na to, na co se nás ptáte nejčastěji.
Penetrační test hledá zranitelnosti ve vymezeném rozsahu a v dohodnutém časovém okně. Výstupem je seznam nálezů s důkazem zneužitelnosti a s návrhem opravy ke každému z nich. Red team dostane místo seznamu cílů zadaný cíl útoku, postupuje technikami popsanými v MITRE ATT&CK a měří se dobou, než si ho obrana všimne. Liší se i tím, kdo o testu ví. O pentestu se provozní tým dozví dopředu. O red teamu obvykle ví jen několik lidí ve vedení. Rozlišuje je i regulace. Článek 26 nařízení DORA předepisuje threat-led penetration testing, tedy formalizovaný red team pod dohledem regulátora. Techniky jsou popsané na attack.mitre.org, znění DORA na EUR-Lex.
Threat-Led Penetration Testing je test řízený zpravodajstvím o útočnících, kteří konkrétní organizaci reálně ohrožují. Jejich techniky se pak simulují proti živému produkčnímu prostředí. Povinnost zavádí článek 26 nařízení DORA (2022/2554). Určené finanční subjekty musí TLPT absolvovat nejméně jednou za tři roky a test musí pokrýt kritické nebo důležité funkce včetně těch, které pro ně zajišťuje dodavatel. Které subjekty to jsou, určuje příslušný orgán dohledu podle systémového významu a rizikového profilu, takže povinnost nevyplývá z velikosti firmy. Mimo finanční sektor je TLPT dobrovolný a dává smysl tam, kde by úspěšný útok zastavil provoz. Znění nařízení je na EUR-Lex, rámec TIBER-EU vydává ECB.
Roční perioda je minimum, se kterým dnes počítá většina auditorů, a druhým spouštěčem je významná změna. PCI DSS 4.0 to má v požadavcích 11.4.2 a 11.4.3 napsané přímo. Interní i externí test musí proběhnout nejméně jednou za 12 měsíců a po každé významné změně infrastruktury nebo aplikace. ISO/IEC 27001:2022 periodu nestanovuje, ale kontroly A.8.8 a A.8.29 očekávají řízené testování a doložitelnou nápravu. Určené finanční subjekty mají navíc TLPT podle článku 26 DORA jednou za tři roky. V praxi to znamená jeden plánovaný test ročně a kratší cílené testy po větších změnách. Požadavky PCI najdete na pcisecuritystandards.org, znění DORA na EUR-Lex.
Ne. Rozsah, časové okno a rules of engagement domlouváme dopředu. Destruktivní techniky, tedy DoS nebo exploity s rizikem pádu služby, používáme jen s písemným souhlasem a obvykle proti staging prostředí. Cílem je dopad prokázat, ne způsobit.
Ano. Směrnice NIS2 (2022/2555) žádá v článku 21 odst. 2 písm. e) bezpečnost při pořizování, vývoji a údržbě systémů včetně zvládání zranitelností a v písmenu f) postupy pro hodnocení účinnosti přijatých opatření. Test je nejpřímější způsob, jak tuto účinnost doložit měřením. ISO/IEC 27001:2022 míří na totéž kontrolami A.8.8 a A.8.29. V Česku obojí dopadá přes zákon č. 264/2025 Sb. a jeho prováděcí vyhlášky pro režim vyšších a nižších povinností. Report proto strukturujeme tak, aby auditor našel rozsah, metodiku, datum a stav nápravy na jedné straně. Znění NIS2 je na EUR-Lex, české předpisy na zakonyprolidi.cz.
Postavte senior ofenzivní tým proti své architektuře dřív, než to udělá reálný útočník. Rozsah vedený cílem, reprodukovatelné PoC, manažerský souhrn. Rozsah testu si můžete domluvit hned.
Jeden provozní model napříč všemi disciplínami. Podívejte se, jak do sebe zapadá zbytek portfolia Kybit.
Nepřetržitě hlídáme vaše systémy a útok zastavíme dřív, než z něj bude výpadek nebo únik dat. Podklady pro audit NIS2, DORA i ZoKB dostanete hotové, rovnou k předání auditorovi.
Zero Trust segmentace, IAM nad Keycloakem, EntraID nebo AD a PKI, která běží v produkci. Mapováno na NIST CSF, ISO 27001 a SABSA.
Navrhujeme a stavíme moderní IT infrastrukturu. Manuální konfigurace nahrazujeme plnou automatizací přes Infrastructure as Code (Terraform, Ansible).
Nasazujeme a ladíme SIEM, XDR a SOAR. Detekční obsah jde do produkce jako kód, mapovaný na MITRE ATT&CK a kvartálně revidovaný.
Expertní podpora pro váš SOC včetně Threat Huntingu, Incident Response a CTI.
Chybí vám kapacity? Začleníme naše certifikované inženýry a architekty přímo do vašeho interního týmu pro strategické projekty.