Přeskočit obsah

Penetrační testování a skenování zranitelností

Metodologie bezpečnostního hodnocení MazeVault a správa zranitelností

Verze dokumentu: 2.0.0
Poslední aktualizace: 2026-10-12

1. Program bezpečnostního hodnocení

MazeVault udržuje komplexní program bezpečnostního hodnocení kombinující automatizované skenování, manuální testování a průběžné monitorování pro proaktivní identifikaci a nápravu zranitelností.

Typ hodnocení Frekvence Rozsah
Skenování zranitelností závislostí Průběžně (při každém buildu) Go moduly (govulncheck), npm balíčky (npm audit)
Skenování obrazů kontejnerů Při každém buildu Základní a aplikační Docker obrazy
Statické testování bezpečnosti aplikací (SAST) Při každé změně kódu Zdrojový kód aplikace
Dynamické testování bezpečnosti aplikací (DAST) Měsíčně Běžící koncové body aplikace (OWASP ZAP)
Manuální penetrační testování Ročně Celá platforma

2. Rozsah testování

V rozsahu

Komponenta Kategorie testů
API Server Obejití autentizace, eskalace oprávnění, injekce, business logika
Webové rozhraní XSS, CSRF, clickjacking, správa relací, zabezpečení na straně klienta
OCSP Responder Soulad s protokolem, odepření služby, manipulace s odpověďmi
Databázová vrstva SQL injection, řízení přístupu, validace šifrování
Síťová vrstva Konfigurace TLS, validace certifikátů, zabezpečení protokolů
Komunikace agentů Validace mTLS, bootstrap flow, výměna klíčů
Závislosti Známé CVE v Go modulech, npm balíčcích, základních Docker obrazech

Mimo rozsah

  • Fyzické zabezpečení zákaznické infrastruktury
  • Infrastruktura cloudových poskytovatelů třetích stran (Azure, AWS)
  • Konfigurace zákaznické sítě
  • Sociální inženýrství

Pravidla pro testování ze strany Zákazníka

Zákazník nesmí provádět penetrační testy, zátěžové testy, bezpečnostní skeny ani obdobné zásahy vůči Produktu bez předchozího písemného souhlasu Poskytovatele nebo Partnera, ledaže probíhají výhradně v prostředí Zákazníka a bez dopadu na práva třetích osob (Licenční podmínky, čl. III). Provádění takových testů bez souhlasu je nepodporovaná konfigurace (viz Seznam nezbytných programů).

Zjistí-li Zákazník zranitelnost nebo bezpečnostní incident, hlásí je neprodleně, nejpozději do 72 hodin od identifikace, Partnerovi a na info@mazevault.com a nezveřejňuje je do zjednání nápravy (zodpovědné zveřejnění; Licenční podmínky, čl. XI).

3. Klasifikace zranitelností

MazeVault používá CVSS v3.1 a tři pásma závažnosti shodná s právní dokumentací — Podmínkami technické podpory a produktové eskalace (SLA) a Licenčními podmínkami:

Závažnost CVSS Cílové vydání opravy Poskytovatelem Lhůta Zákazníka k aplikaci záplaty
Kritická ≥ 9,0 nebo přístup k Bezpečnostním aktivům do 48 hodin do 7 kalendářních dnů
Vysoká 7,0–8,9 do 7 dnů do 30 kalendářních dnů
Střední / nízká < 7,0 podle vydávacího cyklu, nejpozději do 90 dnů v nejbližším plánovaném okně, nejpozději do 90 dnů

Závaznost a zdroj lhůt

Cílové vydání opravy Poskytovatelem je předběžný cíl za vynaložení odborného úsilí, nikoli pevná lhůta odstranění vady (SLA, čl. 8.1 a 10.2). Závazné pro Zákazníka jsou lhůty k aplikaci záplaty dle Licenčních podmínek (čl. V) a Seznamu nezbytných programů. U aktivně zneužívané zranitelnosti zahájí Poskytovatel nouzovou reakci bezodkladně a do 4 hodin poskytne Partnerovi předběžné varování a dostupná zmírňující opatření (SLA, čl. 10.2). Regulované subjekty (NIS2, DORA, zákon o kybernetické bezpečnosti) mohou mít přednostní přísnější zákonné lhůty.

4. Hlášení a náprava

MazeVault eviduje každou identifikovanou zranitelnost a napravuje ji podle lhůt uvedených v sekci 3. Ověřené opravy jsou dodávány standardním release procesem a bezpečnostně relevantní změny jsou shrnuty v poznámkách k vydání produktu.

Podrobné zprávy z bezpečnostních hodnocení, souhrny penetračních testů a potvrzení o nápravě poskytujeme zákazníkům a zájemcům na vyžádání, na základě dohody o mlčenlivosti (NDA). O aktuální bezpečnostní dokumentaci požádejte svého zástupce MazeVault.

MazeVault ve veřejné dokumentaci nezveřejňuje aktuální počty zranitelností, konkrétní identifikátory advisories ani dosud nenapravené nálezy. Chrání tím zákazníky — po dobu řešení problému nezveřejňujeme zneužitelné detaily.

5. Průběžné bezpečnostní monitorování

Nástroje pro automatizované skenování

Nástroj Účel Frekvence
Trivy Skenování CVE v obrazech kontejnerů a souborovém systému Při každém buildu, všechny CI události
govulncheck Kontrola zranitelností Go závislostí s analýzou grafu volání Při každém buildu
npm audit Kontrola zranitelností frontendových a SDK závislostí Při každém buildu
OWASP ZAP Dynamické skenování aplikace Pravidelně

Bezpečnostní cíle

MazeVault provozuje následující stálé cíle, které interně měří a průběžně vyhodnocuje:

  • Napravovat kritické a vysoké zranitelnosti závislostí a kontejnerů v rámci lhůt uvedených v sekci 3.
  • Udržovat nulový počet známých, nenapravených kritických/vysokých zranitelností v dodávaných artefaktech.
  • Spouštět kompletní automatizovanou bezpečnostní pipeline při každém buildu.

Bezpečnostní CI/CD pipeline

Bezpečnostní skenování je integrováno do CI/CD pipeline a běží při každé události (push, pull request, manuální spuštění):

  1. Skenování zdrojového kódu — Trivy filesystem scan pro známé CVE
  2. Analýza Go zranitelností — govulncheck s analýzou grafu volání (méně falešných pozitiv než pattern matching)
  3. Audit npm závislostí — npm audit pro frontend a SDK balíčky
  4. Skenování obrazů kontejnerů — Trivy image scan po Docker buildu

Související