Techniky hackingu

Proč rozumět phishingu, exploitům a MITM

Etický hacking (red teaming, penetrační testy) má za cíl zvyšovat bezpečnost tím, že simuluje reálné hrozby a odhaluje slabiny dříve, než je zneužijí útočníci. Mezi nejčastější techniky, které je třeba znát z obranného hlediska, patří phishing, exploity zranitelností a Man-in-the-Middle (MITM). Tento článek vysvětluje principy, typické indikátory kompromitace (IoC) a bezpečné obranné postupy. Neobsahuje návod k protiprávnímu jednání.

Etický rámec a odpovědné testování

• Právní souhlas: testy pouze na základě písemného povolení, s jasným rozsahem a časovým oknem.
• Bezpečnost provozu: minimalizace dopadu na dostupnost, citlivost k produkčním datům, schválené scénáře.
• Evidence a reportování: průběžná dokumentace, sdělení nálezů formou responsible disclosure, doporučení nápravných opatření.

Přehled hrozeb: tři linie útoku

Phishing: princip, varianty a obrana

Phishing využívá psychologickou manipulaci k vylákání přihlašovacích údajů, platebních informací nebo k iniciaci škodlivé akce (např. spuštění přílohy). Útočníci napodobují důvěryhodné subjekty a pracují s naléhavostí, strachem či odměnou.

Časté formy

• Spear-phishing: cílené na konkrétní osobu nebo roli (např. účetní, HR).
• Business Email Compromise (BEC): napodobená identita manažera či dodavatele s cílem vynutit platbu.
• Smishing/Vishing: SMS a telefonáty, často kombinované s falešnou podporou.
• OAuth/SSO phishing: přesměrování na falešný consent dialog aplikace; získání tokenů místo hesel.

Indikátory rizika

• Neshoda domény odesílatele s doménou organizace, display name spoofing.
• Naléhavé výzvy k akci, požadavek na obcházení procesu (např. „rychlá platba“).
• Odkazy skrývané za URL zkracovači, neobvyklé přílohy (archivy, makra).
• Netypické přístupy do účtu (geografie, čas), nové OAuth udělené aplikace.

Obrana a mitigace

• Doménová ochrana e-mailu: DMARC v režimu quarantine/reject, SPF a DKIM vynucené politikami.
• Brány a filtrování: sandboxing příloh, reputační a heuristická analýza odkazů, přepis URL do bezpečného překladiště.
• Vícefaktorové ověření (MFA): upřednostnit phishing-rezistentní metody (FIDO2/WebAuthn) před OTP v SMS.
• Bezpečnostní osvěta: kontinuální školení a safe simulace; proces pro ověřování neobvyklých požadavků.
• Detekce a reakce: SIEM korelace (nové forwardování pošty, impossible travel), rychlé resetování session/tokenů.

Exploity: zneužití zranitelností a prevence

Exploit je postup, který využije zranitelnost (chybu v návrhu, implementaci nebo konfiguraci) k obejití bezpečnostních kontrol a získání neoprávněné akce (spuštění kódu, eskalace práv, únik dat). Z pohledu obrany je klíčové zranitelnosti předcházet, rychle odhalovat a opravovat.

Typologie zranitelností

• Paměťové chyby: přetečení bufferu, use-after-free, out-of-bounds přístupy.
• Webové chyby: injekce (SQLi), XSS, nesprávná autorizace, deserializace, SSRF.
• Konfigurační slabiny: výchozí hesla, otevřené S3/Buckets, nadbytečná oprávnění v cloudu.
• Řetězení chyb: initial foothold → laterální pohyb → privilege escalation → exfiltrace.

Prioritizace a řízení rizik

• Včasné záplaty: risk-based patching (CVSS + exploitability + expozice). SLA pro kritické systémy.
• Hardening: vypnutí nepotřebných služeb, minimální oprávnění, bezpečné konfigurace (CIS Benchmarks).
• Ochrany běhu: ASLR, DEP, sandboxing, AppLocker, SELinux; WAF/RASP pro aplikace.
• Bezpečný vývoj (SSDLC): SAST/DAST/IAST, threat modeling, dependency scanning a SBOM.
• Detekční vrstvy: EDR/XDR, NDR, honeypoty a deception pro brzký záchyt laterálního pohybu.

MITM (Man-in-the-Middle): útoky na důvěru v komunikaci

MITM cílí na integritu a důvěrnost přenosu mezi dvěma body. Útočník se staví „doprostřed“ a může přenos pasivně odposlouchávat nebo aktivně modifikovat. Obrana stojí na silném šifrování, ověřování protistran a zabezpečení přístupových sítí.

Scénáře a rizika

• Nezabezpečené Wi-Fi: připojení k otevřeným či napodobeným AP (evil twin) umožňuje snímání provozu nešifrovaných protokolů.
• ARP/DNS manipulace v LAN: přepis směrování či jmenného rozlišení vede k přesměrování na podvržené služby.
• Degradace šifrování: SSL stripping na nezajištěných přístupech; zneužití chyb v implementaci TLS.
• Supply-chain v síti: slabé články (proxy, load balancer, staré CA) narušují chain of trust.

Doporučené obrany

• TLS 1.2/1.3 s HSTS a moderními sadami šifer; vypnout zastaralé protokoly a slabé algoritmy, preferovat forward secrecy.
• Ověřování na vrstvě 2/3: 802.1X (EAP-TLS) pro kabel/Wi-Fi, WPA3-Enterprise, izolace klientů, segmentace VLAN.
• Ochrana DNS: DNSSEC, DoT/DoH podle politiky, validace odpovědí na resolveru, response policy zones.
• Silná identita aplikací: mTLS mezi službami, certificate pinning v mobilních aplikacích, rotace certifikátů.
• Monitorování anomálií: NDR, detekce anomálních ARP/DNS, rogue AP detekce, ověřování integrity konfigurací.

Detekce, telemetrie a reakce na incident

• Telemetrie: centralizované logy (SIEM), EDR/XDR na koncích, NDR v síti, audit trails IAM systémů.
• Runbooky a playbooky: postupy pro phishing (izolace schránky, reset tokenů), exploity (záplata, containment), MITM (přeseknutí cesty, obnova klíčů).
• Threat intelligence: blokace domén/IP, IOC feedy, sdílení informací v komunitě a s CSIRT/CERT.
• Testování připravenosti: tabletop cvičení, purple teaming, měření MTTD/MTTR a zlepšování.

Bezpečnost identity a přístupu (IAM)

• Least privilege a Zero-Trust: kontinuální ověřování, kontextové politiky přístupu, mikrosegmentace.
• Silné přihlášení: FIDO2/WebAuthn, blokace legacy protokolů, detekce impossible travel.
• Správa tajemství: trezory pro klíče a tokeny, rotace, krátká životnost přístupů (JIT/JEA).

Cloud a moderní aplikační prostředí

• Cloud-native bezpečnost: skenování IaC šablon, politiky v CSPM, kontrola kontejnerů (image signing, runtime ochrana).
• API bezpečnost: inventarizace API, ověřování a rate-limiting, detekce abnormních vzorců volání.
• Distribuované identity služeb: service mesh s mTLS, sidecar politiky, minimální oprávnění mezi mikroservisami.

Uživatelská osvěta a kultura bezpečnosti

Lidský faktor je v phishingu rozhodující. Úspěch obrany zvyšuje průběžné vzdělávání, otevřená komunikace a snadná cesta k eskalaci podezření (tlačítko „Nahlásit phishing“ v klientovi, rychlý kontakt na bezpečnostní tým). Kultura bezpečnosti odměňuje hlášení chyb – nikoli postihuje.

Soulad s regulacemi a standardy

• ISO/IEC 27001/27002: řízení rizik, procesy a kontroly.
• NIST CSF a SP 800-53/171: rámec pro identifikaci, ochranu, detekci, reakci a obnovu.
• GDPR a ochrana osobních údajů: minimalizace dat, privacy by design, ohlášení incidentů.

Metriky zralosti a kontinuální zlepšování

• MTTD/MTTR: čas detekce a reakce; cílit na snižování trendu.
• Patch compliance: procento systémů v SLA, doba k nasazení záplat.
• Phishing resilience: míra prokliků v bezpečných simulacích, rychlost hlášení.
• Coverage detekce: pokrytí use-casů v SIEM/XDR, gap analysis vůči rámcům (MITRE ATT&CK).

Závěr

Phishing, exploity a MITM představují základní spektrum útoků, s nímž se organizace setkávají každý den. Udržitelná obrana stojí na kombinaci technických kontrol (šifrování, patching, segmentace, detekční vrstvy), procesů a governance (SLA, runbooky, řízení rizik) a lidí (osvěta, kultura bezpečnosti). Etický hacking má přinášet měřitelné zlepšení – včasné odhalení slabin, konkrétní doporučení a snížení dopadů incidentů.