Initial access: keď sa prieskum zmení na prvý prienik

Obsah článku

Nenechaj v tom známych samých – zdieľaj

Začiatočník

Pamätáš si na môj nedávny článok o tom, ako si útočníci robia takzvaný Recon (1. fáza útoku)? Písali som o tom, že profesionálny zlodej nikdy nejde naslepo. Najprv si dom týždeň obzerá, zistí, kedy chodíš do práce, aký máš alarm a či si náhodou nenechávaš kľúč pod rohožkou. Ak je Recon tento nenápadný prieskum z ulice, potom initial access je ten osudný moment, kedy zlodej stlačí kľučku a fyzicky vstúpi do tvojej obývačky.

Akonáhle sa táto 2. fáza kybernetického útoku stane realitou, sranda končí. V prestížnom bezpečnostnom rámci Cyber Kill Chain (a rovnako aj v metodike MITRE ATT&CK pod kódom TA0001) ide o bod zlomu. Je to moment, kedy útočník získa svoju úplne prvú oporu (takzvaný foothold) vo tvojej firemnej infraštruktúre. Ak ho v tejto fáze nezastavíš a nevykopneš, ďalšie kroky ako zvyšovanie práv, laterálny pohyb po sieti a exfiltrácia (krádež) dát sú už len otázkou času.

Čo presne znamená 2. fáza kybernetického útoku?

Predstav si úplne bežný, každodenný scenár v roku 2026. Útočník v prvej fáze (Recon) zistí, že tvoja firma používa externú VPN bránu od známeho výrobcu, máš vystavený webmail (OWA) do internetu a IT podpora si pre svoje pohodlie nechala pootvorený RDP port.

Následne zoberie tieto vedomosti, skombinuje ich s únikom hesiel z nejakého starého e-shopu, alebo pošle tvojej účtovníčke dokonale ušitý phishingový e-mail. Bingo. Prihlási sa do tvojej siete úplne prvýkrát. Systém si myslí, že je to tvoj zamestnanec, ale v skutočnosti je to hacker niekde z Ázie. Toto je ukážkový initial access. Útočník už nie je vonku, je vnútri.

Najčastejšie vektory: Ako vyzerá vstup hackera do systému v praxi?

Kadiaľ sa dnes lezie do firiem? Zabudni na filmové scény, kde hacker zúrivo ťuká do čiernej obrazovky a prelamuje 256-bitové šifrovanie v reálnom čase. Skutočný vstup hackera do systému je oveľa pragmatickejší a využíva dvere, ktoré my sami z lenivosti nechávame pootvorené.

1. Phishing a Spear-phishing: Nesmrteľný kráľ prienikov

Technológie sa môžu meniť, no ľudská psychika zostáva rovnaká. Stále platí, že zďaleka najlacnejší a najefektívnejší spôsob, ako sa dostať do firmy, je cez človeka.

Klasický phishing: Príde e-mail s odkazom na falošnú prihlasovaciu stránku Microsoft 365. Zamestnanec v strese zadá svoje heslo, útočníkova AiTM proxy (Adversary-in-the-Middle) mu v reálnom čase ukradne aj MFA token a dvere sú otvorené.
Prílohy s prekvapením: Neškodne vyzerajúci archív (ZIP/RAR) maskovaný ako „Žiadosť o cenovú ponuku“, ktorý na pozadí spustí powershellový skript.
Spear-phishing: Toto nie je generický spamový balík z pošty. Toto je e-mail ušitý na mieru. Využíva mená tvojich skutočných riaditeľov, spomína reálne bežiace projekty a používa tvoj interný firemný slang. Dôležitý trend dneška: Phishing už necieli len na získanie obyčajného hesla k PC, ale priamo cieli na tvoje VPN a SSO (Single Sign-On) portály, aby útočník získal initial access rovno do najcitlivejšieho cloudu.

2. VPN a RDP: Pohodlie pre adminov, darček pre útočníkov

Za posledné roky vidíme enormný nárast incidentov, kde bol hlavným vektorom zle chránený vzdialený prístup. To, čo malo slúžiť na home-office, slúži ako diaľnica pre ransomvér.

VPN bez silného MFA: Máš heslo a k tomu SMSku? Alebo máš schvaľovanie cez push notifikácie, ale zamestnanec z únavy odklepne všetko, čo mu na mobile pípne (MFA fatigue)? Pre hackera to nie je prekážka, len mierne spomalenie. Ešte horšie sú servisné účty pre dodávateľov, na ktorých IT oddelenie „výnimočne“ vyplo MFA, lebo sa s tým dodávateľ nevedel popasovať.
RDP priamo na internete: Vystaviť Vzdialenú plochu (RDP port 3389) priamo na verejnú IP adresu s tým, že „veď máme silné heslo“, je v roku 2026 kybernetická samovražda. Boti tieto porty zoskenujú do piatich minút od ich spustenia a okamžite začnú útok hrubou silou (brute-force).
Zraniteľné VPN krabičky: Ak nepatchuješ svoje SSL VPN brány a firewally, zraniteľnosti (CVE) sa postarajú o zvyšok. V takom prípade útočník vôbec nepotrebuje heslo – pošle exploit a má hotový initial access rovno so systémovými právami.

3. Zraniteľné verejné aplikácie (Public-facing služby)

Tento vstup hackera do systému obchádza tradičné prihlasovanie. Útočníci vyhľadávajú zabudnuté, neaktualizované a zle nakonfigurované systémy vystavené do sveta.

Starý firemný WordPress s neaktualizovanými pluginmi.
SQL injection alebo RCE (Remote Code Execution) zraniteľnosti vo tvojom zákazníckom B2B portáli.
Typický prípad: vývojári zabudnú na verejnom cloude databázu bez hesla (default credentials), alebo nechajú otvorený prístup do firemného API. Výsledok? Útočník si tam tichučko vytvorí nový administrátorský účet a je dnu.

4. Platné účty (Valid Accounts): Keď netreba hackovať, stačí sa prihlásiť

MITRE ATT&CK tomu hovorí technika T1078. Útočník vôbec nič neprelamuje. Jednoducho sa prihlási presne tak, ako by to urobil tvoj zamestnanec Jožko z nákupného oddelenia. Ako k tým údajom príde? Vo veľkom sa dnes zneužíva password reuse (recyklovanie hesiel z uniknutých databáz). Ak si zamestnanec dá rovnaké heslo do práce aj na fórum o akvaristike, ktoré včera hackli, je koniec. Ďalšou zlatou baňou sú Info-stealery – malvéry, ktoré potichu vysajú uložené heslá a cookies z prehliadača infikovaného domáceho PC a rovno ich predajú na undergroundovom fóre na darkwebe. Ochranné systémy firmy zlyhávajú, pretože tento initial access technicky vyzerá ako stopercentne legitímny login.

5. Supply-chain a Trusted relationship (Útok cez partnera)

Ak je tvoja firma technická pevnosť, prečo by hacker strácal čas búchaním do tvojich hradieb? Oveľa jednoduchšie je napadnúť tvojho slabšieho dodávateľa IT služieb (MSP), ktorý má k tebe do siete vytvorený stály, dôveryhodný VPN tunel na správu serverov. Kompromitovaný účet partnerskej firmy je ten najzákernejší vstup hackera do systému, pretože bezpečnostné systémy takúto komunikáciu dlhodobo evidujú ako „povolenú a priateľskú“.

✅ CHECKLIST: Ako zabiť útok už v zárodku (Obrana)

Aby sme len nestrašili, tu je zoznam toho, čo musíš ako IT admin (alebo uvedomelý majiteľ firmy) urobiť, aby si túto fázu útoku zastavil hneď na začiatku. Cieľ je jasný: nastaviť prostredie tak, aby prvotný prienik buď vôbec neprešiel, alebo aspoň po sebe zanechal taký bordel v logoch, že ti na monitoroch začne blikať červený alarm.

1. Identity a MFA bez kompromisov

Nasaď Phishing-resistant MFA (odolné voči phishingu – napr. FIDO2 kľúče, Passkeys alebo certifikáty). A to minimálne pre tvojich adminov a kritické roly (financie, HR).
Zruš všetky výnimky. Argument „Tento účet je len na starý monitoring, tam MFA netreba“ je presne tá diera, ktorú ransomware gangy milujú.
Zakáž vo firme recykláciu hesiel (použi nástroje na Password Protection blokujúce bežné, známe uniknuté heslá).

2. VPN a RDP – Z diaľnice urob stráženú bránu

RDP nikdy, naozaj NIKDY nevystavuj priamo na internet. Ak niekto potrebuje vzdialený prístup, musí ísť cez VPN, zabezpečený bastion host, alebo modernú ZTNA (Zero Trust Network Access) proxy.
VPN prístup podmieň nielen heslom a MFA, ale ideálne aj kontrolou samotného zariadenia (Conditional Access – povolí sa prihlásiť len firemnému, zaktualizovanému notebooku s bežiacim antivírusom).
Patchuj svoje firewally a VPN brány so železnou pravidelnosťou. Zraniteľnosť na perimetri je ten najhorší možný scenár.

3. Minimalizuj to, čo vidí internet (Public-facing služby)

Čo nemusí byť verejne dostupné na webe, okamžite schovaj do internej siete alebo za VPN.
Všetky firemné weby a portály postav za kvalitný WAF (Web Application Firewall) a minimálne raz ročne na ne objednaj penetračný test.
Ak vydá výrobca záplatu na tvoj firewall alebo mailový server, patchuj okamžite. Nie „cez víkend“. Hneď.

4. Detekcia v logoch (Čo hľadať v SIEM/EDR)

Bez dobrého logovania uvidíš tento prienik až o mesiac pri forenznej analýze zničeného servera. Sleduj:

Anomálne prihlasovania: Login referentky z Bratislavy, a o päť minút login z Nigérie? Nové, neznáme zariadenia alebo prihlasovanie v nedeľu o tretej ráno? Tu musí kričať alarm.
Typické stopy hrubej sily: Osem neúspešných pokusov o VPN prihlásenie a deviaty úspešný? To nie je „zabudnuté heslo“, to je prelomené heslo.
Podivné správanie po prihlásení: Ak sa bežný používateľ prihlási do VPN a okamžite začne sťahovať obrovské objemy dát, pinguje všetky interné servery alebo spúšťa nástroje na skenovanie AD (Active Directory), práve sa naňho pozeráš.

Zhrnutie pre admina na záver

Musíme si uvedomiť jednu zásadnú vec. Akákoľvek 2. fáza kybernetického útoku a z nej vyplývajúci prvý prienik nie je záležitosťou jedného „hackerského kúzla“. Je to celá rodina rôznorodých techník – od psychológie (phishing), cez deravé systémy, až po ukradnuté účty tvojich obchodných partnerov.

V drvivej väčšine prípadov (a incidentov, ktoré dnes na Slovensku a v Česku riešime) stoja za úspešným útokom prekvapivo nudné veci: slabo nastavená VPN bez kvalitného MFA a recyklované heslo. Žiadne drahé a exotické 0-day exploity z darkwebu.

Ak chceš ako firma získať ten najlepší pomer cena/výkon pre tvoju IT bezpečnosť, investuj práve sem. Každé jedno malé zlepšenie tvojich firemných identít a perimetra totiž priamo, rapídne a fatálne znižuje šancu, že sa k tebe útočník vôbec niekedy dostane dnu. A ver mi, riešiť zamknutý účet na helpdesku je oveľa lepšie, ako riešiť zašifrovanú firmu o druhej ráno s riaditeľom na linke.