Penetracijsko testiranje se u mnogim organizacijama doživljava kao potvrda postojećeg stanja. Test se naruči, odradi i na kraju se traži jedna stvar – je li sve u redu. Kada izvješće ne sadrži ozbiljne nalaze, osjećaj je uglavnom pozitivan. Međutim, u stvarnoj praksi takav ishod često ne znači da je okruženje sigurno, nego da je test bio ograničen na ono što je već poznato i kontrolirano.

Stvarni napadi rijetko počinju na mjestima koja su unaprijed označena kao rizična. Napadači traže rubne slučajeve, prijelaze između sustava i točke gdje se tehničke i organizacijske pretpostavke ne poklapaju. Upravo na tim mjestima penetracijsko testiranje ima smisla, ali samo ako mu se dopusti da izađe iz okvira formalne provjere.

Automatizirani alati dobro rade ono za što su namijenjeni, ali njihovi rezultati su uvijek ograničeni onim što već znamo tražiti. U stvarnim testiranjima problemi se rijetko pojavljuju kao izolirane ranjivosti. Češće se radi o kombinacijama manjih slabosti koje same po sebi ne izgledaju opasno, ali zajedno omogućuju napredovanje kroz sustav. Takvi scenariji zahtijevaju razumijevanje konteksta, načina rada aplikacija i realnog ponašanja korisnika.

Razlika između prosječnog i kvalitetnog penetracijskog testa ne vidi se u broju nalaza, nego u tome što se s tim nalazima može učiniti. Popis tehničkih problema bez jasnog konteksta ne govori puno. S druge strane, opis realnog puta napada odmah pokazuje koje pretpostavke ne drže i gdje bi organizacija stvarno imala problem u slučaju incidenta.

Upravo zato „čist” rezultat često zaslužuje dodatnu pažnju. Kada test ne pronađe ništa značajno, ključno je razumjeti što je točno testirano, a što nije. Ako su iz opsega izostavljeni kritični sustavi, identiteti s visokim privilegijama ili scenariji u kojima se polazi od kompromitiranog korisnika, rezultat može izgledati dobar, ali ne govori puno o stvarnoj otpornosti okruženja.

Jedan od češćih nalaza u praksi nije potpuni izostanak sigurnosnih mjera, nego njihova djelomična ili formalna primjena. Kontrole postoje, ali nisu dosljedno provedene. Sustavi se nadziru, ali se na signale ne reagira. Pravila su definirana, ali su s vremenom postala iznimke. Takvi problemi rijetko izlaze na vidjelo kroz standardne provjere usklađenosti, ali postaju očiti kada se okruženje promatra iz perspektive napadača.

Penetracijsko testiranje u tom smislu služi kao alat za razliku između teorijskog i stvarnog rizika. Ono pokazuje koje slabosti su zaista iskoristive, koje su samo tehnički zanimljive i gdje bi potencijalni napad imao stvarni poslovni utjecaj. Time se sigurnosne rasprave pomiču s apstraktnih procjena na konkretne scenarije.

Najvrjedniji rezultati često nisu ugodni. Oni dovode u pitanje postojeće odluke, otkrivaju zanemarene sustave i pokazuju gdje su kompromisi napravljeni bez jasne svijesti o posljedicama. Upravo zato imaju najveću vrijednost. Ako penetracijsko testiranje ne mijenja način na koji organizacija razmišlja o riziku, ono ne ispunjava svoju svrhu.

U konačnici, svrha penetracijskog testiranja nije dokazati da je sve sigurno, nego omogućiti donošenje odluka na temelju stvarne slike. Najopasniji rezultat nije loš nalaz, nego izvješće koje stvara osjećaj sigurnosti tamo gdje ona zapravo ne postoji.

Izvori:

OWASP – Web Security Testing Guide

NIST – SP 800-115: Technical Guide to Information Security Testing

SANS Institute – Penetration Testing (Glossary)

Razdoblje između Božića i Nove godine za većinu organizacija znači usporavanje poslovnih aktivnosti, manji broj zaposlenika i fokus na održavanje osnovnih procesa. Za napadače to znači idealan trenutak za djelovanje. Sigurnosni incidenti koji započnu tijekom blagdana često se ne primijete odmah, a njihove stvarne posljedice postaju vidljive tek nakon povratka u redovni radni ritam. Iskustvo iz stvarnih incidenata pokazuje da blagdani nisu iznimka, već jedno od najrizičnijih razdoblja u godini. Ne zbog novih prijetnji, nego zbog kombinacije postojećih slabosti i smanjene razine nadzora.

Zašto napadači ciljaju razdoblje Božića i Nove godine

Napadači vrlo svjesno biraju vrijeme svojih aktivnosti. Blagdani im nude predvidljivo okruženje u kojem organizacije rade s ograničenim kapacitetima. Unaprijed je poznato kada su ključni zaposlenici na godišnjem odmoru, kada su IT i sigurnosni timovi reducirani i kada se odluke odgađaju. U takvim uvjetima napadači dobivaju više vremena unutar sustava prije nego što budu primijećeni.

Dodatni problem je sporija eskalacija. Čak i kada se sumnjiva aktivnost uoči, reakcija se često odgađa jer nema jasne odgovornosti ili su ključne osobe nedostupne. To napadačima omogućuje kretanje kroz sustav, prikupljanje podataka i pripremu ozbiljnijih faza napada.

Manje osoblja, sporije reakcije i opuštene kontrole

Tijekom blagdana sigurnost rijetko nestaje namjerno. Ona jednostavno prestaje biti prioritet. IT i sigurnosni timovi često rade u smanjenom sastavu, a u manjim organizacijama sigurnost se svodi na povremene provjere. Upozorenja ostaju neanalizirana, logovi se prikupljaju bez aktivnog nadzora, a pojedinačni incidenti se ne povezuju u širu sliku.

Istovremeno se toleriraju privremena rješenja. Privremeni korisnički računi ostaju aktivni, udaljeni pristupi se ne revidiraju, a sigurnosne kontrole se ublažavaju kako bi se olakšao rad zaposlenicima koji rade udaljeno. Sve to povećava napadnu površinu upravo u trenutku kada je sposobnost reakcije najmanja.

Najčešći napadi tijekom blagdanskog razdoblja

Napadi koji se događaju krajem godine rijetko su tehnički složeni. Njihova učinkovitost proizlazi iz pravog trenutka i iskorištavanja ljudskog faktora. Phishing je najčešći oblik napada. Poruke se predstavljaju kao obavijesti o dostavi paketa, božićne čestitke, promjene radnog rasporeda ili hitni financijski zahtjevi prije zatvaranja godine. Zaposlenici koji rade udaljeno često nemaju mogućnost brze provjere, što povećava vjerojatnost pogreške.

Ransomware napadi često započinju kompromitiranim korisničkim računima ili phishing porukama, ali se aktiviraju kada napadači procijene da je reakcija organizacije usporena. Svaki izgubljeni sat tijekom blagdana povećava pritisak i potencijalnu štetu.

Kompromitirani VPN i drugi udaljeni pristupi također su česti. Slabe lozinke, nedostatak višefaktorske autentikacije i zastarjele konfiguracije omogućuju napadačima neprimjetan pristup sustavu. Takvi upadi često ostaju neotkriveni sve do siječnja, kada se pojave neobične aktivnosti ili ozbiljni incidenti.

Važno je naglasiti da se u većini slučajeva ne radi o novim ranjivostima. Radi se o poznatim tehničkim slabostima koje su postojale i ranije, ali tijekom blagdana postaju kritične jer nema aktivnog nadzora.

Što organizacije realno mogu učiniti i bez stalnog nadzora

Nemaju sve organizacije mogućnost stalnog sigurnosnog nadzora ili dežurnih timova. To ipak ne znači da su prepuštene slučaju. Prvi korak je razumijevanje stvarne izloženosti. Bez jasnog uvida u tehničke ranjivosti teško je znati koje su slabosti doista kritične. Upravo tu vulnerability assessment ima ključnu ulogu. Vulnerability assessment omogućuje sustavno otkrivanje slabosti u sustavima, aplikacijama i mrežnoj infrastrukturi. Umjesto pretpostavki, organizacija dobiva jasnu sliku gdje postoje tehnički propusti koji se mogu iskoristiti upravo u razdobljima smanjene pažnje.

Drugi važan element je prioritetizacija. Nisu sve ranjivosti jednako opasne. Procjena stvarnog rizika omogućuje fokus na one slabosti koje imaju najveći potencijal za ozbiljan incident.

Treći element je priprema. Organizacije koje razumiju svoje slabosti mogu unaprijed ukloniti najkritičnije propuste i ući u blagdansko razdoblje s manjim rizikom i više kontrole.

Blagdani ne stvaraju probleme, oni ih razotkrivaju

Blagdansko razdoblje samo po sebi ne uzrokuje sigurnosne incidente. Ono pokazuje koliko su postojeće sigurnosne mjere zaista učinkovite kada nestane svakodnevna rutina i stalni nadzor. Organizacije koje imaju jasan uvid u svoje tehničke slabosti i razumiju stvarne rizike ulaze u blagdane s manje neizvjesnosti. One koje se oslanjaju na pretpostavke često u novu godinu ulaze rješavajući incidente koji su se mogli spriječiti.

Izvori:

FBI & CISA – Ransomware Awareness for Holidays and Weekends (AA21-243A)
Palo Alto Networks Unit 42 – Incident Response Report

Zero Trust u malim poduzećima

Model „Zero Trust“ često se povezuje s velikim korporacijama, složenim mrežnim sustavima i visokim proračunima. No u stvarnosti, Zero Trust nije luksuz – to je nužnost i za mala poduzeća.
U današnjem okruženju, u kojem zaposlenici pristupaju poslovnim resursima s udaljenih lokacija i osobnih uređaja, stara pretpostavka da je „sve unutar mreže sigurno“ više ne vrijedi.
Zero Trust znači da se nikome ne vjeruje unaprijed – svaki zahtjev za pristup mora biti provjeren, bez obzira odakle dolazi.

Osnovni principi Zero Trusta

Zero Trust se temelji na tri osnovna načela:

• Provjeri svaki zahtjev– Autentikacija i autorizacija moraju se provoditi pri svakom pristupu, za svakog korisnika i uređaj.
• Primijeni najmanje privilegije – Korisnicima i sustavima dodjeljuju se samo minimalne dozvole potrebne za njihov rad.
• Pretpostavi proboj – Sustavi se dizajniraju s mišlju da napadač možda već ima pristup mreži.

Nijedan korisnik, uređaj ili mrežni segment ne smatra se automatski sigurnim. Odluke o pristupu trebaju biti kontekstualne i dinamične, temeljene na identitetu korisnika, stanju uređaja, lokaciji i ponašanju. Kontinuirano praćenje i zapisivanje aktivnosti omogućuju brzu detekciju prijetnji.

Kako započeti u postojećoj infrastrukturi

Uvođenje Zero Trust pristupa ne zahtijeva potpunu rekonstrukciju IT sustava. Mala i srednja poduzeća mogu krenuti postupno:

1. Mapirajte podatke i pristupe. Identificirajte ključne sustave, korisnike i tokove podataka.
2. Uvedite višefaktorsku autentikaciju (MFA). Jednostavan i isplativ prvi korak prema Zero Trustu.
3. Segmentirajte mrežu. Odvojite administrativne, korisničke i produkcijske sustave kako biste ograničili lateralno kretanje napadača.
4. Koristite kontrolu pristupa prema ulozi (RBAC). Ograničite privilegije i redovito ih revidirajte.
5. Pratite i bilježite aktivnosti. Transparentnost omogućuje rano otkrivanje nepravilnosti i brzu reakciju.
6. Iskoristite postojeće alate. Platforme poput Microsoft 365 ili Google Workspace već imaju ugrađene Zero Trust značajke.
7. Krenite s malim koracima. Fokusirajte se na najkritičnija područja i postepeno proširujte primjenu.

Tipične prepreke i kako ih izbjeći

Uvođenje Zero Trust modela često donosi i izazove, osobito za manje organizacije:

• „To je prekomplicirano za nas.“ Počnite s osnovnim mjerama – MFA i segmentacija već znatno smanjuju rizik.
• Ograničeni resursi ili stručnost. Koristite alate koje već imate ili surađujte s vanjskim stručnjacima za sigurnost.
• Otpor zaposlenika. Objasnite zašto se uvode nove provjere i provedite kratke edukacije o važnosti zaštite podataka.
• Stari sustavi. Izolirajte uređaje i aplikacije koji ne podržavaju moderne sigurnosne standarde i planirajte njihovu zamjenu.
• Oslanjanje na mrežni perimetar. Napustite staru logiku da je „unutarnja mreža sigurna“ – svaki pristup treba biti provjeren.

Primjeri jednostavne implementacije

• Malo računovodstveno poduzeće: Uvodi MFA i ograničava pristup knjigovodstvenim aplikacijama samo s poslovnih uređaja.
• Marketinška agencija: Koristi VPN ili Zero Trust Network Access (ZTNA) i uvodi pravila uvjetovanog pristupa za udaljene korisnike.
• IT servisni obrt: Svi udaljeni pristupi klijentskim sustavima moraju biti autentificirani i evidentirani, uz ograničene privilegije.
• Maloprodajno poduzeće: Koristi cloud identitetskog pružatelja i ograničava pristup POS sustava samo na potrebne podatke.

Zero Trust nije rezerviran za velike – on je za svaku organizaciju koja želi zaštititi svoje podatke i poslovanje u digitalnom okruženju.
Krenite od zaštite identiteta, kontrole pristupa i segmentacije, te korak po korak izgradite otporniji i sigurniji sustav.
Primjenom načela „provjeri eksplicitno“, „ograniči pristup“ i „pretpostavi proboj“, stvarate temelj koji će rasti zajedno s vašim poslovanjem.

Izvori:
NIST – Zero Trust Architecture
Microsoft – Zero Trust Overview
Cloud Security Alliance – Zero Trust for SMBs
CrowdStrike – Što je Zero Trust sigurnost?
Akamai – Objašnjenje Zero Trust koncepta
JumpCloud – Prednosti Zero Trusta za mala i srednja poduzeća