Osnovni penetracijski test spletne aplikacije stane od približno 2.000 € naprej, tipičen projekt pa obsega 5 do 15 delovnih dni. Kaj vpliva na ceno, kaj napisati v povpraševanje in kako primerjati dve ponudbi, ki se razlikujeta za polovico.
Zakaj napadalci ciljajo na ljudi namesto na sisteme, katere tehnike uporabljajo – od phishinga do deepfake glasu –, kako napad poteka korak za korakom in kaj v podjetju res pomaga: izobraževanje, simulacije, kanal za prijavo in tehnični ukrepi.
Kaj etičnega hekerja loči od napadalca, katere certifikate in dokumente preveriti pred podpisom, na katere opozorilne znake paziti in ali je pomembno, da ima izvajalec sedež v Sloveniji.
Certifikat ISO 27001 pot do skladnosti z ZInfV-1 občutno skrajša, dokaz skladnosti pa ni. Preglednica pokaže, kaj standard pokrije, česa ne prinese – od samoregistracije do ocene skladnosti – in kje se oba srečata pri testiranju.
Skeniranje ranljivosti, pregled ranljivosti, sistemski varnostni pregled, penetracijski test in red teaming: kaj kateri izraz pomeni, kaj skener najde in kaj spregleda, kdaj zadošča pregled in kako oboje združiti v enem letu.
Zakon o informacijski varnosti penetracijskega testa ne imenuje, zahteva pa preverljive ukrepe in najmanj letno preverjanje. Po členih pokažemo, kaj zakon določa, kaj svetuje URSIV in kje je testiranje predpisano izrecno.
Informacijski pooblaščenec je o phishing testih zaposlenih pisal trikrat: leta 2015 je opozoril na pravno podlago, leta 2021 jih je odsvetoval, leta 2025 pa je naštel pogoje. Kaj od tega je zakon, kaj neobvezujoče mnenje in kaj dobra praksa – ter kaj urediti pred prvo kampanjo.
Naročnik vam je poslal varnostni vprašalnik, čeprav sami niste zavezanec po ZInfV-1? Pojasnjujemo, od kod zahteva izvira, kaj vprašalnik sprašuje, s katerimi dokazi odgovorite in česa naročniku ne pošiljate.
Kako penetracijski testerji zlomijo žetone JWT – algorithm confusion, šibki skrivni ključi HMAC, vrivanje v kid in jku, napake pri preverjanju zahtevkov – in obramba, ki take napade ustavi.
Preberite, kako RA-ICA, nova vrsta kibernetskega napada, neopazno troši žetone API, stroške delovanja sistemov AI in RAG v podjetjih pa zviša tudi za 1.300 %.
AI ni le grožnja. V kibernetski obrambi pomaga zaznavati phishing, analizirati incidente, filtrirati grožnje in pospešiti odziv varnostnih ekip.
AI phishing je prepričljivejši od običajnih goljufivih sporočil. Preberite, kako prepoznate phishing po e-pošti, smishing, vishing in ciljani phishing.
Napadalci z deepfake glasom in vishingom posnemajo direktorja, sodelavca ali družinskega člana. Preberite, kako prepoznati znake in preveriti sumljiv klic.
Modeli AI, kot sta Mythos in Aardvark, kažejo, da je odkrivanje ranljivosti lahko hitrejše in bolj avtomatizirano. Kaj to pomeni za podjetja?
Napadalci uporabijo LinkedIn, družbena omrežja in spletna mesta podjetij za personalizirane prevare. Preberite, kako delujejo OSINT, AI in pretexting.
Umetna inteligenca spreminja phishing, deepfake prevare in odkrivanje ranljivosti. Preberite, kako napadalci uporabljajo AI in kako zaščititi podjetje.
CVE-2026-24061 je kritičen obhod avtentikacije v GNU InetUtils telnetd, ki lahko napadalcu brez prijave omogoči korenski dostop (root). Preberite, kaj se je zgodilo, zakaj so ogrožena tudi dobro vzdrževana omrežja in zakaj so pomembni penetracijski testi po scenariju assumed breach.
Preberite, kako dela etični heker, kako se testirajo banke in oblak ter zakaj Severna Koreja krade kriptovalute. Posnetek podkasta je v slovaščini.
Ekipa Haxoris je nastopila na konferenci Talsec AppSec Conf v Pragi: predavanje o red teamingu in praktična delavnica o hekanju aplikacij za Android.
Kaj je penetracijski test, zakaj je pomemben za kibernetsko varnost in kako Haxoris pomaga zaščititi vaše sisteme pred napadi. Vodnik za nestrokovnjake, vodje kibernetske varnosti in CISO-je – tudi o tem, kaj določa Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša direktivo NIS2.
Je vaš klepetalni robot z AI res varen? Napadi, kot je prompt injection, lahko razkrijejo občutljive podatke in spremenijo njegovo vedenje. Preberite, kako zaščititi aplikacije z LLM. Napadalcu pogosto zadošča en sam spretno oblikovan stavek, da prebije zaščito in model prisili, da prezre svoja prvotna pravila. Ponujamo praktična priporočila in vpogled v specializirane teste, ki šibke točke odkrijejo, preden jih izkoristi kdo drug.
Študija primera: red teaming ekipe Haxoris je v osmih tednih razkril ranljivosti velike organizacije pri ljudeh, v tehnologiji in pri fizičnem varovanju.
Revizijo skladnosti po ZInfV-1 izvede revizor informacijskih sistemov, ne Haxoris. Preberite, katere tehnične dokaze revizor pričakuje in kako s penetracijskim testom odkrijete ter odpravite pomanjkljivosti, preden postanejo dragi incidenti.
V raziskavi sem preučil, kako lahko veliki jezikovni modeli (LLM) pomagajo pri odkrivanju ranljivosti in analizi varnostnih dnevniških zapisov. Umetna inteligenca (AI) poveča učinkovitost, prinaša pa tudi izzive, kot so lažno pozitivni rezultati in stroški. Ključno spoznanje: AI naj človeško strokovno znanje v kibernetski varnosti dopolnjuje, ne nadomešča.
Andrej Šebeň je študentom Slovaške tehniške univerze v Bratislavi predstavil metodologijo OWASP in varnostne ranljivosti spletnih aplikacij v PHP.
Etično hekanje je lahko tudi zabavno: v podkastu Buzzworld duhovito govorimo o ranljivostih CVE, varnosti bank in resničnih zgodbah. Posnetek je v slovaščini.
Andrej Šebeň v podkastu o etičnem hekanju pojasni, kdaj je hekanje legalno in kaj penetracijski test loči od kaznivega dejanja. Posnetek je v slovaščini.
