Patrik Žák: S rostoucí popularizací AI se stávají phishingové útoky čím dál sofistikovanější

„Hacknutí mého vlastního serveru mě přivedlo ke skutečnému zájmu o bezpečnost,“ říká Patrik Žák, etický hacker a konzultant s letitou praxí v testování bezpečnosti sítí a aplikací.

Kybernetická bezpečnost se stává neodmyslitelnou součástí každé firmy, která pracuje nejen s citlivými údaji. Patrik Žák, zkušený odborník na penetrační testování a zakladatel společnosti SYSNETSHIELD, nás provede světem etického hackingu a vysvětlí, proč je pro firmy klíčové pravidelně testovat své systémy a snažit se v nich najít potencionální zranitelnosti.

V rozhovoru Patrik mimo jiné popíše nejčastější chyby, které firmy dělají a prozradí, jaké nástroje a techniky mu pomáhají odhalit slabiny v systémech. Pokud tě zajímá, jak si udržet náskok před potenciálními útočníky a chránit data firmy, tento rozhovor je pro tebe!

Co tě přivedlo do světa etického hackingu?

Přímo k etickému hackingu byl impulz že jeden z mých serverů byl hacknut. Od té doby jsem se začal více zabývat bezpečeností sítí a serverů což mě přivedlo k etickému hackingu. O bezpečnost jsem se zajímal i dříve, ale byl jsem spíše takové script kiddie, hacknutí mého serveru byl impulz k prohloubení mých znalostí a začal jsem se o problematiku více zajímat.

Co považuješ za nejdůležitější dovednost, kterou by měl mít penetrační tester?

Jednoznačně myšlení out-of-the box, vytrvalost a trpělivost. Někdy nejdou věci tak, jak by měly, a tester musí najít tu správnou cestu, jak se do daného systému dostat.

Bez jakých nástrojů pro penetrační testování se ve své praxi neobejdeš a můžeš je v krátkosti představit?

Nástroje se různí podle toho, zda se jedná o test infrastruktury, nebo například webové aplikace. Každý test začíná úvodním scanem, na který my jako SYSNETSHIELD používáme pro infrastrukturu Nessus a pro web. aplikace BurpSuite. Po úvodním scanu zvolíme další toolset ať už našich připravených nástrojů nebo scriptů či jiné produkty. Vždy záleží, co najdeme v úvodním scanu.

Jaké jsou nejčastější typy zranitelností, na které narazíš při penetračních testech dneska?

Nejčastěji se u zákazníků nachází zastaralé verze SW nebo misconfigurace aplikace/HW.

Můžeš vysvětlit rozdíl mezi black-box, white-box a grey-box testováním a kdy je který přístup nejlepší?

Black-box testování je metoda testování, při které testeři nemají žádnou znalost interní struktury nebo implementace systému.

White-box testování naopak vyžaduje plnou znalost interní struktury a zdrojového kódu.

Grey-box testování kombinuje prvky obou předchozích metod. Testeři mají omezené znalosti o interní struktuře systému, například přístup k dokumentaci nebo architektonickým diagramům, ale ne ke zdrojovému kódu.

Výběr vhodného testovacího přístupu závisí vždy na organizaci, která si test objednává, nelze říct, že je jedno nebo druhé nejlepší.

Jak důležité je porozumět síťovým protokolům pro úspěšný penetrační test?

Pokud se jedná o penetrační test infrastruktury, tak je to klíčový skill každého penetračního testra.

Jak využíváš automatizované nástroje jako OpenVAS nebo Nessus ve své práci?

Automatizované nástroje používáme převážně pro úvodní skenování cílových systémů. Ale také například pro auditování systémů.

Můžeš nám jednoduše vysvětlit, jak probíhá reálný penetrační test od začátku až do konce?

Pokud pominu fázi vyjednávání s klienty a nastavení si pravidel, co je scope a out-of scope, tak se vždy začíná již zmiňovaným scanem. Následně pokračujeme s exploitací nalezených zranitelností. Nakonec se sestaví report pro klienta, ve kterém jsou všechny nalezené zranitelnosti seřazené podle severity, doporučení, jak zranitelnosti opravit, a prezentace reportu klientovi.

Většina klientů si také žádá retest nalezených zranitelností. V průběhu testu máme s klienty sestavený šifrovaný komunikační kanál, přes který si vyměňujeme aktuální informace o probíhajících testech.

Jak se vyvíjejí techniky útoků a jak se na ně penetrační testeři adaptují?

S rostoucí popularizací AI se stávají např. phishingové útoky čím dál sofistikovanější. Podstata je vždy stejná – neaktuální SW, uniklé uživatelské údaje, chyba konfigurace, cílený phishing. V poslední době jsou také populární např. útoky na IOT zařízení.

Jaké jsou nejčastější chyby, které firmy dělají při zabezpečení svých systémů?

Dalo by se říct, že je to stále to stejné, tedy nedostatečný patch management, zbytečně vystavené porty do internetu, nízké povědomí firem o cybersecurity.

Co jsou největší výzvy při testování webových aplikací a jak je překonáváš?

Každé testování je unikátní výzvou. Web aplikace nepředstavují větší výzvu než jiné systémy.

Čím přesně může penetrační test pomoci firmám zlepšit jejich bezpečnostní opatření?

Pravidelné testování výrazně snižuje riziko finančních a reputačních škod, které můžou vzniknout v důsledku průlomu systému, šifrování nebo krádeže dat. Penetrační test dokáže odhalit slabiny systémů dřív, než je zneužijí útočníci k napáchání více škod.

Jak důležitá je spolupráce mezi penetračními testery a IT týmy ve firmách?

Velmi. IT týmy v testovaných společnostech jsou odpovědné za implementaci opatření, která jsou doporučená v rámci reportu z penetračního testu. Mezi týmem, který provádí penetrační test, a IT týmem zákazníka probíhá úzká spolupráce a výsledky jsou detailně komunikované.

Můžeš sdílet nějaký tip nebo trik, který ti vždy pomůže při hledání zranitelností?

Nejlepším tipem při hledání zranitelností je neustálé vzdělávání a zkoušení různých labů. Každá zranitelnost je jedinečná, takže je důležité být seznámen s nejnovějšími hrozbami a technikami.

Časté pročítání blogpostů s novými zranitelnostmi nebo testování POC exploitů na populární systémy mi pomáhají pochopit jak různé zranitelnosti fungují. Kombinace automatizovaných nástrojů a manuálního testování pomůže identifikovat slabá místa, která jinak člověk může přehlédnout.

Co si myslíš o budoucnosti penetračních testů v rámci vývoje umělé inteligence?

LLM jsou silným nástrojem jak etických hackerů tak útočníků. Vývoj v AI bude podle mě jedním z klíčových prvků v blízké budoucnosti. Teamy penetračních testerů, ale i útočníků, si již dnes vyvíjejí vlastní AI agenty, kteří jim ulehčují práci.

Jak vidíš budoucnost etického hackingu a jaké dovednosti budou nejvíc žádané?

Povědomí o kybernetické bezpečnosti neustále roste a přirozeným jevem je i poptávka po odbornících v tomto oboru. Jelikož se jedná o širokou oblast od auditování přes testování infrastruktury až po testování například mobilních aplikací, každý si zde najde to svoje.

Jaké dovednosti budou nejvíce žádané, těžko říct, možná to, co je žádané už dnes, a to všeobecný přehled o technologiích a zranitelnostech. Jednoduše řečeno být v obraze.

Sdílet: