Pentesting v CANCOM-e: Špecializovaná expertíza, tímová spolupráca a reálny dopad 

CANCOM Slovakia: V prvej časti rozhovoru si už priblížil svoju prácu pentestera. Ako sa vlastne človek stane pentesterom?

Philipp: V Nemecku neexistuje tradičné odborné vzdelávanie priamo zamerané na pentesting. Štúdium IT bezpečnosti je pomerne široké a len čiastočne sa prekrýva s tým, čo človek neskôr v pentestingu skutočne potrebuje. Veľmi dobrý základ poskytujú napríklad odborné IT odbory zamerané na vývoj aplikácií alebo systémovú integráciu.

Na začiatok sú ideálne vzdelávacie platformy ako TryHackMe. Praktickou formou učia základné princípy, ponúkajú rôzne výzvy a umožňujú sledovať vlastný pokrok. Ďalším krokom môže byť Hack The Box, ktorý funguje na podobnom princípe, no je výrazne náročnejší. Ide o platformu typu Capture The Flag, kde účastníci napádajú virtuálne systémy a hľadajú tzv. „flag“. Náročnosť môže byť vysoká, no pre každého, kto sa chce v oblasti rozvíjať, je to mimoriadne cenná skúsenosť.

Pri uchádzaní sa o zamestnanie odporúčam uvádzať aj profily a výsledky z týchto platforiem. Firmám to umožňuje lepšie posúdiť aktuálne schopnosti kandidáta a zároveň ukazuje jeho motiváciu a záujem o odbor. Certifikácie väčšinou prichádzajú až neskôr počas kariéry.

Na začiatku je však dôležitá jedna vec: nesnažiť sa naučiť všetko naraz. Oveľa efektívnejšie je venovať sa jednotlivým oblastiam postupne, inak môže byť množstvo informácií veľmi rýchlo zahlcujúce.

CANCOM Slovakia: Ako vyzerala tvoja vlastná cesta do pentestingu?

Philipp: Pôvodne som pracoval ako IT školiteľ v oblasti personálneho a organizačného manažmentu. Pred niekoľkými rokmi som sa rozhodol rekvalifikovať na IT špecialistu. Počas štúdia nás učil lektor, ktorý zároveň viedol vlastnú pentestingovú spoločnosť zameranú na malé a stredné firmy v našom regióne.

Jeho skúsenosti a príbehy z praxe ma natoľko zaujali, že som u neho absolvoval stáž a po dokončení rekvalifikácie nastúpil na plný úväzok.

Najviac ma oslovila rozmanitosť práce a netradičné úlohy, ktoré pentesting prináša. Pred tromi rokmi som následne pokračoval vo svojej profesionálnej ceste v CANCOM-e.

CANCOM Slovakia: Ako vyzerá proces, keď sa zákazník rozhodne objednať si pentest?

Philipp: Na začiatku zákazník uzatvorí s CANCOM-om zmluvu, v ktorej je presne definovaný rozsah testovania. Keďže na všetky naše aktivity potrebujeme explicitné povolenie, dokument jasne určuje napríklad domény alebo IP adresy, ktoré môžeme testovať. Bez takéhoto oprávnenia by bola veľká časť našej práce nezákonná.

Po podpise zmluvy si so zákazníkom prejdeme aktuálny stav bezpečnosti: aké testy alebo projekty už realizoval a aké kroky dávajú zmysel ako ďalšie. Spoločne vyberieme vhodný typ pentestu alebo kombináciu viacerých prístupov. Následne vykonáme samotné testovanie a všetko dôkladne zdokumentujeme.

Výstupom je report obsahujúci identifikované zraniteľnosti a detailný prehľad zistení: aké slabiny sme objavili, akým spôsobom sa dali zneužiť, aké riziká predstavujú a predovšetkým ako ich odstrániť. Súčasťou našich služieb sú aj workshopy zamerané na návrh riešení.

Pri projektoch zameraných na sociálne inžinierstvo realizovaných priamo na mieste zákazníka pripravujeme navyše podrobný procesný záznam, ktorý často pripomína krátky príbeh doplnený fotografiami – napríklad pootvorených okien či nezabezpečených vstupov.

CANCOM Slovakia: S akými zraniteľnosťami sa stretávaš najčastejšie? Čo firmy zvyknú podceňovať?

Philipp: Veľmi často nachádzame zastarané operačné systémy a softvér. Stále existujú organizácie, ktoré majú vo svojom prostredí napríklad Windows 7. Takéto systémy často obsahujú neopravené zraniteľnosti, ktoré je možné veľmi jednoducho zneužiť.

Ďalším typickým problémom je takzvaná „shadow infrastructure“ – aplikácie alebo služby, ktoré boli kedysi nasadené, časom sa na ne zabudlo a naďalej bežia na pozadí. Mnohé z nich sú zastarané a obsahujú závažné bezpečnostné slabiny.

CANCOM Slovakia: Ako mení umelá inteligencia tvoju prácu? Pomáha viac útočníkom alebo tým, ktorí sa starajú o kybernetickú bezpečnosť?

Philipp: V skutočnosti pomáha obom stranám. Organizácie a bezpečnostné tímy dnes využívajú AI napríklad vo firewall riešeniach či nástrojoch na správu zraniteľností. Umelá inteligencia pomáha aj pri odhaľovaní phishingových e-mailov a čoraz častejšie sa využíva v EDR riešeniach na detekciu a reakciu na bezpečnostné incidenty.

Zároveň je však zrejmé, že AI – najmä veľké jazykové modely – sa čoraz viac využíva aj pri útočných aktivitách. Umožňuje rýchlo vytvárať skripty na automatizáciu časovo náročných úloh a objavujú sa aj špecializované modely určené na vyhľadávanie zraniteľností, ako napríklad Claude Mythos, o ktorom sa momentálne intenzívne diskutuje.

Vďaka tomu sa mnohé činnosti, ktoré si kedysi vyžadovali pokročilé odborné znalosti, stávajú dostupnejšími pre širší okruh ľudí. Zároveň však nesmieme zabúdať, že aj samotné AI nástroje môžu obsahovať bezpečnostné chyby. O to dôležitejšie je ich správne konfigurovať, pravidelne aktualizovať a nespoliehať sa na ne bezvýhradne. V konečnom dôsledku tu platia rovnaké princípy ako pri akomkoľvek inom softvéri.

Je zrejmé, že oblasť kybernetickej bezpečnosti momentálne prechádza veľkými zmenami. Vývoj napreduje veľmi rýchlo a v najbližších rokoch môžeme očakávať ďalšie významné inovácie.

CANCOM Slovakia: Ako si predstavuješ red team o päť rokov?

Philipp: Predpokladám, že AI bude hrať oveľa významnejšiu úlohu a bude podporovať pentesterov najmä pri opakujúcich sa činnostiach.

Zároveň očakávam rastúci záujem zákazníkov o kontinuálne bezpečnostné overovanie. Príkladom je CANCOM Cyber Offense Center, kde je u zákazníka nasadený server umožňujúci priebežné pripojenie a realizáciu testov podľa potreby.

CANCOM Slovakia: Ako si udržiavaš prehľad v tak dynamicky sa vyvíjajúcom odbore?

Philipp: Je to náročné, pretože informatika je obrovská disciplína plná špecializovaných oblastí a samotný pentesting zahŕňa množstvo pododborov. Preto sa nesnažím sledovať úplne všetko, ale sústreďujem sa na témy, v ktorých si budujem hlbšiu expertízu.

Môže ísť napríklad o testovanie webových aplikácií, internú infraštruktúru, sociálne inžinierstvo alebo fyzickú bezpečnosť. Najdôležitejšie je nájsť si smer, ktorý človeka skutočne baví. Práve vtedy si dokáže dlhodobo udržať motiváciu a prirodzene sa neustále posúvať ďalej.

CANCOM Slovakia: Ako funguje spolupráca v pentestingovom tíme CANCOM-u?

Philipp: V CANCOM-e tvorí pentestingový tím približne 20 odborníkov. Pre každý typ testovania máme špecialistov, a to aj vo veľmi úzko zameraných oblastiach.

Spolupráca v tíme je skvelá. Fungujeme naprieč viacerými lokalitami, aktívne komunikujeme prostredníctvom Teams kanálov, realizujeme projekty spoločne a navzájom si pomáhame. Vďaka tomu sa učíme jeden od druhého, neustále zlepšujeme svoje schopnosti, veľa sa nasmejeme a rozhodne sa nikdy nenudíme.

CANCOM Slovakia: Ďakujeme za rozhovor a cenné postrehy z praxe.

Prvú časť rozhovoru s Philippom, v ktorej približuje zaujímavé reálne scenáre útokov a skúsenosti z praxe, nájdete tu.