FAQ

Platforma Penterep je framework pro (bezpečnostní) testování, který testera provádí krok za krokem jednotlivými testovacími případy na základě definovaných kontrolních seznamů (checklistů). Tester pro provedení úkolu vždy zaeviduje výsledek testu, na základě čehož se přizpůsobují další kroky, které bude potřeba vykonat. K jednotlivým nálezům se výběrem přiřazují nalezené zranitelnosti z bohaté znalostní báze, která je součástí platformy.

Penterep podporuje týmovou spolupráci, díky které může na jednom projektu současně pracovat více testerů, kteří mají v reálném čase přehled o tom, které testovací případě jsou již provedeny, a které na vykonání teprve čekaní.

Po dokončení testu je platforma schopna vyexportovat závěrečnou zprávu s jednotlivými nálezy, která je doplněna o informace z vestavěné znalostní báze a o přílohy, které tester uložil do systému během testování. Tvorba závěrečných zpráv je díky tomu otázkou jednoho kliknutí.

V případě týmové spolupráce není potřeba závěrečnou zprávu exportovat a předávat pracovníkům zodpovědným za provedení nápravy. Tito pracovníci totiž vidí všechny nálezy přímo v systému, kde je mohou i komentovat, nebo je po provedené nápravě mohou vracet testerům k provedení retestu.

Platforma Penterep vám zajistí, že během testování nevynecháte žádný důležitý krok. Díky kontrolním seznamům, které obsahují detailní návody, jak každý jednotlivý testovací případ provést, budou navíc schopni provést bezpečnostní test i méně zkušení testeři. Platforma vám pomůže vnést do testování řád a díky tomu, že budete mít vše na jednom místě (checklisty, nálezy, poznámky, přílohy) vám umožní udržet během testování pořádek ve všech podkladech.

Pokud již nyní testování provádíte, jistě oceníte možnost týmové spolupráce, kdy na jednom projektu může současně pracovat více testerů, který mají v reálném čase přehled o tom, co je již hotové, a co na dokončení teprve čeká. Týmová spolupráce vám navíc umožní zapojit do projektů i pracovníky, kteří budou zodpovědí za opravu jednotlivých nálezů. Ti budou také moci přímo prostřednictvím platformy Penterep diskutovat s testery jednotlivé nálezy. Platforma těmto pracovníkům umožní zaevidování provedené opravy, na jejímž základě mohou testeři rovnou provádět retest. Do týmu můžete zapojit také manažery, kteří budou mít v reálném čase přehled o postupu testování a o pracovní vytíženosti jednotlivých pracovníků.

Platforma Penterep vám umožní snáze plánovat a odhadovat časovou náročnost testování. Stačí do platformy naimportovat strukturu testovaného prostředí a hned se dozvíte časový odhad náročnosti kompletního testu.

Penterep oceníte ale hlavně při tvorbě závěrečných zpráv. Konec je časům, kdy jste museli každý nález detailně popisovat včetně popisu rizik a hrozeb, počítat závažnosti, vkládat reference, psát doporučení k nápravě a přikládat přílohy. Tvorba reportu se pro vás stane s platformou Penterep zábavou. Závěrečnou zprávu totiž získáte jediným kliknutím z informací, které během testování vložili testeři a z informací, které jsou součástí rozsáhlé znalostní báze platformy Penterep.

Díky platformě Penterep dáte řád samotnému testování, budete mít přehled a pořádek ve svých projetkech, ale hlavně budete maximálně efektivní a díky tomu ušetříte mnoho času a peněz.

Pokud jste penetrační tester, nebo společnost, která se bezpečnostním testům věnuje, je odpověď na tuto otázku nasnadě. Ano, platforma Penterep plně vyhoví všem vašim požadavkům. Penterep byl vyvíjen s ohledem právě na vás.

Platformu Penterep využijete ale i tehdy, pokud jste vývojáři (webových a mobilních aplikací), správci sítí, nebo provozovatelé libovolných IT systémů. Pokud to s bezpečností myslíte opravdu vážně, měli byste bezpečnost testovat, abyste předešli případné útočníky, kteří by mohli slabin vašich aplikací zneužít a způsobit vám tak nemalé škody.

Testování se ovšem netýká pouze bezpečnosti a segmentu IT. Pomocí nástroje Penterep můžete otestovat prakticky cokoliv. Pokud nás oslovíte, jsme schopni vám vytvořit kontrolní seznamy, které budou šité na míru přesně vašim potřebám.

Většina dostupných nástrojů pro penetrační testování (vulnerability scannerů) se rozhodla jít cestou automatizovaného testování. Tento typ testování je sice velice rychlý, ale současně i nespolehlivý a není pomocí něj možné odhalit všechny zranitelnosti. Například zranitelnosti u kterých se dopady hrozby vyskytují na jiném místě než vstup, chyby v autorizaci nebo v obchodní logice není pomocí těchto nástrojů možné najít buďto vůbec, nebo jen s velkými obtížemi.

Automatické testování je tedy nutné doplňovat manuálním testováním, během kterého se překontrolují ty součásti, které automatický test nebyl schopen ověřit. Zde ovšem vyvstává otázka, které testy automatický scanner provedl, a které bychom měly provést manuálně.

My jsme se proto rozhodli jít jinou cestou než ostatní a podpořit testery právě během manuálního testování. Dali jsme si za cíl práci testerům v této oblasti co nejvíce usnadnit a zefektivnit.

To ovšem neznamená, že bychom automatické nástroje nějak zavrhovali. Svou nezastupitelnou roli při testování určitě mají. Proto jsme se rozhodli i pro možnost napojení nejrůznějších externích nástrojů. Jakýkoliv nástroj, který bude schopen využívat naše API, je možné zavolat přímo z prostředí platformy Penterep. Výsledky těchto externích nástrojů jsou následně automaticky odeslány a zaevidovány v platformě. Naše vlastní skripty pro automatizované testování jsou k dispozici pod názvem PenterepTools.

Vzhledem k tomu, že plně automatizovaný bezpečnostní test, který by byl skutečně kompletní, není podle nás možné provést, není tato možnost prostřednictvím platformy Penterep možná. Penterep ovšem umožňuje naplánovat sadu automatických testů, jejichž výsledky se v prostředí platformy Penterep automaticky zaevidují a testy, které byly provedeny se v kontrolních seznamech označí. Tester pak již manuálně provede pouze ty testy, které nebyly provedeny automatizovanými nástroji. Platforma Penterep tedy primárně umožňuje co nejefektivnějším způsobem propojit automatizované testování s manuálním, které se vzájemně doplňují.

Ano, platforma Penterep poskytuje API, pomocí kterého je možné volat naše skripty pro automatizované testování - PenterepTools, nebo libovolné nástroje a skripty třetích stran, pro které bude vytvořen wrapper komunikující skrz API s platformou.

Jednotlivé automatizované testy je následně možné spouštět přímo z prostření platformy Penterep u jednotlivých testovacích případů. Prostřednictvím přehledného plánovače testů je také možné spravovat frontu naplánovaných úloh.

Externí nástroje, například PenterepTools následně běží na počítači testera, nebo na libovolném jiném zařízení (například na pro tyto účely vyhrazeném serveru).

Pokud se chcete účastnit práce na projektech, které jsou spravovány jiným majitelem licence k platformě Penterep, musíte se nejprve zaregistrovat. Majitel licence vás následně bude schopen v sytému dohledat a bude schopen vám poslat pozvánku k účasti na některém z jeho projektů.

Bez registrace není možné se práce na projektech spravovaných nástrojem Penterep účastnit.

Ano, licence typu Team a vyšší vám umožňují spolupracovat na jednotlivých projektech v týmu. Součástí týmu mohou být nejen testeři, ale i manažeři, vývojáři, správci IT, nebo zástupci vašich klientů. Každý člen týmu má přitom svou roli a přístup pouze k těm funkcím, které jsou pro danou roli definovány.

Manažer může například sledovat průběh testování, vytvářet různé statistiky o testech a pracovnících, zatímco testeři vkládají do projektu nová data a výsledky testování. Vývojáři nebo správci IT mohou komentovat jednotlivé nálezy a evidovat nasazené opravy.

Týmová spolupráce patří mezi hlavní přednosti platformy Penterep.

Ano, u licencí Freelancer a vyšších je možné upravit nejen grafický vzhled závěrečných zpráv tak, aby tyto korespondovaly s grafickým manuálem vaší společnosti, ale díky přizpůsobitelným šablonám můžete upravit i samotné rozvržení a obsah těchto reportů.

Provoz Penterep serveru na vlastním hardwaru a ve vlastní síti je možný pouze u licence Enterprise. Server dodáváme ve formě virtuálního stroje, který je možné si nasadit ve vlastním prostředí. Provozem vlastního serveru získáváte plnou kontrolu nad přístupy k serveru a nad bezpečností uložených dat.

Samozřejmě. Stane-li se, že vám v našich kontrolních seznamech budou chybět nějaké testovací případy, popisy zranitelností nebo útoků, stačí, když nám o tom dáte vědět a my uděláme vše proto, abychom nové informace do znalostní báze co nejdříve doplnili. Velice nám pomůžete, pokud svůj požadavek současně doplníte konkrétními texty popisující daný test nebo zranitelnost.

Ano, pokud jste držiteli licence typu Enterprise, máte k dispozici přístup do administrace, ve které si můžete sami definovat své vlastní testy, zranitelnosti a kontrolní seznamy. Vlastními silami si tak můžete snadno vytvořit moduly pro testování libovolné oblasti.

Ano, pokud budete potřebovat vytvořit modul s kontrolními seznamy, které budou šité přímo na míru vašim potřebám, neváhejte kontaktovat naše obchodní oddělení na e-mailu sales@penterep.com. Spojíme se s vámi a domluvíme se na podrobnostech.

PenterepTools je označení námi vyvíjených skriptů sloužících pro testování bezpečnosti. Tyto skripty jsou napsány v jazyce Python a je možné je spouštět buď manuálně z terminálu, nebo přímo z naší platformy Penterep prostřednictvím ptmanageru.

Ano, všechny naše skripty označené PenterepTools máte k dispozici zcela zdarma a to jak pro soukromé, tak i komerční použití. Nástroje spadající pod PenterepTools jsou šířeny pod licencí GNU GPL.

Všechny naše skripty jsou dostupné na webu https://pypi.org/search/?q=pentereptools, odkud je můžete snadno nainstalovat příkazem „pip install <scriptname>“. Skripty jsou optimalizovány pro použití v operačním systému Kali Linux.