Slovník pojmů
Základní bezpečnostní principy
| Pojem | Popis |
|---|---|
| Secure by design | Software navržený od základů tak, aby byl bezpečný – bezpečnost je součástí architektury, ne až dodatečný „doplněk". |
| Deny by default | Přístup je ve výchozím stavu zakázán a povolují se pouze výslovně definované výjimky. Základní princip bezpečného návrhu oprávnění. |
| Least privilege | Uživatelé i systémy mají pouze ta oprávnění, která skutečně potřebují ke své práci – nic navíc. |
| Trust boundary (hranice důvěryhodnosti) | Hranice mezi důvěryhodným a nedůvěryhodným prostředím – typicky mezi interní aplikací a internetem nebo mezi různými zónami v síti. |
Kryptografie a klíče
| Pojem | Popis |
|---|---|
| Key rotation | Pravidelné zneplatňování starých a generování nových kryptografických klíčů, aby se omezily dopady jejich případného úniku. |
| Inicializační vektor (IV) | Libovolná hodnota používaná spolu se secret klíčem k šifrování dat, aby stejný plaintext nevedl vždy ke stejnému ciphertextu. |
| Entropy | Míra náhodnosti v systému. Vysoká entropie je klíčová například pro silná hesla, tokeny a kryptografické klíče. |
| Work factor | Odhad úsilí nebo času, který útočník potřebuje k prolomení konkrétního bezpečnostního opatření (například hashovací funkce u hesel). |
| Trust chain | Řetězec důvěryhodných certifikátů, který umožňuje ověřit, že certifikát serveru byl vydán důvěryhodnou certifikační autoritou. |
Aplikační bezpečnost a architektura
| Pojem | Popis |
|---|---|
| AppSec | Application Security – proces hledání, oprav a prevence bezpečnostních zranitelností na úrovni aplikací v celém SDLC. |
| OWASP | Open Worldwide Application Security Project – otevřená komunita, která publikuje standardy, materiály a seznamy zranitelností (např. OWASP Top 10) pro zlepšení bezpečnosti aplikací a API. |
| Threat modeling (modelování hrozeb) | Strukturovaný proces, který pomáhá identifikovat, komunikovat a mitigovat hrozby v kontextu ochrany konkrétní aplikace nebo systému. |
| Paved road (zpevněná cesta) | Standardizovaná cesta (framework, knihovny, nástroje), kterou AppSec tým podporuje a udržuje jako bezpečný default pro vývojáře. |
| Hardening (kalení) | Proces, při kterém se systém zbavuje zbytečných funkcí a služeb, aby se zmenšil útočný povrch a snížila pravděpodobnost zneužití. |
| ACL | Access Control List – seznam oprávnění, který definuje, kdo (uživatel / role) může provést jakou akci nad konkrétním objektem. |
| Enumeration (enumerace) | Systematické zjišťování, zda existují určitá data nebo identifikátory – například uživatelská jména či ID záznamů – často pomocí brute-force technik. |
| Integrity (integrita) | Zajištění správnosti, úplnosti a neměnnosti informací v informačních systémech. Integrita je jedním ze základních principů CIA triády. |
| Segregace | Oddělování rolí, oprávnění nebo prostředí (např. dev/test/prod), aby jedna chyba nebo kompromitace neohrozila celý systém. |
| High-value transakce | Transakce s vysokou hodnotou v daném kontextu (např. převod 1 mil. Kč), která zpravidla vyžaduje zvýšené ověření a auditování. |
Web, API a ochranné prvky
| Pojem | Popis |
|---|---|
| Rate limiting | Omezení počtu požadavků za určitý časový interval (např. jen několik login pokusů za minutu), aby se snížilo riziko Brute-Force a DoS útoků. |
| Web Application Firewall (WAF) | Bezpečnostní komponenta, která filtruje a blokuje škodlivé HTTP(S) požadavky na webové aplikace a API (např. útoky typu SQL Injection, XSS nebo pokusy o obcházení autentizace). |
| WAAP (Web Application and API Protection) | Rozšíření klasického WAFu o ochranu API, Rate Limiting, ochranu proti aplikačním DDoS útokům a bot management – často jako cloudová služba. |
| IDOR (Insecure Direct Object Reference) | Zranitelnost, kdy útočník může přistupovat k cizím datům změnou identifikátoru (např. ?invoiceId=123 → 124) bez dostatečného ověření oprávnění. |
API autorizace a přístupová logika
| Pojem | Popis |
|---|---|
| BOLA (Broken Object Level Authorization) | Třída zranitelností v API, kdy aplikace nedostatečně ověřuje oprávnění k jednotlivým objektům – útočník tak může získat nebo měnit cizí záznamy (často jako varianta IDOR). |
| BFLA (Broken Function Level Authorization) | Zranitelnost, kdy uživatel může volat funkce nebo endpointy, které by pro jeho roli neměly být k dispozici (např. běžný uživatel spouští administrátorské akce). |
| BOPLA (Broken Object Property Level Authorization) | Zranitelnost, kdy sice nelze měnit celý objekt, ale lze upravovat konkrétní citlivé vlastnosti (např. role uživatele) bez správné kontroly oprávnění. |
| BAC (Broken Access Control) | Obecné označení pro chyby v řízení přístupu – aplikace neaplikuje nebo špatně aplikuje oprávnění, což umožňuje obejít autorizaci a přistupovat k chráněným funkcím či datům. |
Monitoring, logování a řízení incidentů
| Pojem | Popis |
|---|---|
| SIEM | Security Information and Event Management – nástroj pro sběr, ukládání a korelaci logů z různých systémů, který pomáhá detekovat bezpečnostní incidenty. |
| SOC | Security Operations Center – tým a procesy, které monitorují prostředí, vyhodnocují podezřelé události a reagují na bezpečnostní incidenty. |
| Incident Response | Proces, jak organizace detekuje, analyzuje a řeší bezpečnostní incidenty – od prvotní detekce přes omezení dopadu až po post-mortem analýzu. |
| Virtual patching | Dočasné blokování zranitelnosti na úrovni WAFu, proxy nebo firewallu, než je možné chybu opravit v samotné aplikaci nebo infrastruktuře. |
Compliance a posuzování rizik
| Pojem | Popis |
|---|---|
| DPIA (Data Protection Impact Assessment) | Posouzení vlivu na ochranu osobních údajů podle GDPR. Identifikuje rizika pro subjekty údajů a popisuje technická a organizační opatření pro jejich snížení. |
| Zero Trust | Bezpečnostní model „nevěř nikomu, vždy ověřuj" – předpokládá, že žádný uživatel ani systém není implicitně důvěryhodný, a vyžaduje průběžné ověřování identity a kontextu. |
| Human Risk Management (HRM) | Systematický přístup k identifikaci, hodnocení a řízení rizik spojených s lidským faktorem v organizaci – zahrnuje prověřování zaměstnanců, testování odolnosti vůči sociálnímu inženýrství, školení a budování bezpečné firemní kultury. |
Útoky a techniky útočníků
| Pojem | Popis |
|---|---|
| Ransomware | Škodlivý software, který zašifruje data nebo paralyzuje systémy a následně požaduje výkupné za obnovení provozu. Často se šíří laterálním pohybem v síti a zneužívá slabé segmentace a nedostatečné řízení přístupů. |
| Laterální pohyb (Lateral Movement) | Postupné šíření útočníka v síti z jednoho kompromitovaného zařízení nebo účtu na další systémy – typicky po úspěšném phishingu nebo krádeži přihlašovacích údajů. |
| Phishing | Technika sociálního inženýrství, kdy útočník vydávající se za důvěryhodný subjekt vyláká přihlašovací údaje nebo spustí škodlivý kód (např. přes e‑mail nebo falešné přihlašovací stránky). |
| Brute-Force útok | Automatizované zkoušení velkého množství hesel nebo tokenů, dokud se nepodaří trefit správnou kombinaci – typicky proti login formulářům nebo API. |
| Supply Chain útok | Útok na dodavatelský řetězec software či služeb, kdy útočník kompromituje knihovnu, CI/CD pipeline nebo poskytovatele, a tím získá přístup k systémům koncových zákazníků. |