Penterep na Hacking Days: Jak studenti Univerzity obrany trénují reálný penetrační test

Soutěž Hacking Days na Univerzitě obrany už dávno není jen technickou disciplínou. Studenti si tu na vlastní kůži zkoušejí to, co je čeká v praxi. Pracovat pod tlakem, rozdělit si role v týmu, dotáhnout penetrační test do podoby reportu a obhájit výsledky.

A to vše v omezeném čase a v prostředí, které věrně simuluje skutečné zadání bezpečnostního testu.

V posledních ročnících se na soutěži významně podílí i platforma Penterep . V přiložené případové studii, kterou pro nás zpracovali plk. gšt. doc. Ing. Petr Františ, Ph.D. a pplk. Ing. Aneta Coufalíková, Ph.D., se dočtete, jak Penterep mění způsob, jakým studentské týmy přistupují k testování.

V tomto článku shrnujeme to nejdůležitější.

Soutěž, která simuluje reálný pentest

Hacking Days nejsou klasickým CTF. Tým má za úkol v omezeném čase otestovat připravené prostředí, třeba dvojici serverů nebo webovou aplikaci, najít zranitelnosti, ověřit je a celé to zdokumentovat ve výstupním reportu.

Týmy jsou navíc smíšené. Studenti pátého ročníku zastávají roli vedoucích týmu: určují strategii, rozdělují úkoly a koordinují práci. Mladší studenti plní zadané kroky a učí se postupy, které budou potřebovat v profesní praxi.

Hodnotí se tedy nejen technický výsledek, ale i kvalita vedení, efektivita spolupráce a schopnost správně dokumentovat zjištěná zranitelnosti.

Problém, který soutěž dlouho provázel

Dřív se studenti běžně dostávali do situace, kdy dostali jen obecné zadání „otestujte bezpečnost serveru". A pak nastal problém.

Méně zkušení členové nevěděli, kde začít. Bez jasné struktury se neuměli samostatně chytit. Práce v týmu byla neefektivní, vznikaly duplicity, něco se zapomnělo otestovat, něco se testovalo dvakrát.

Vedoucí týmu zase neměli přehled. Bez společného systému bylo těžké říct, co už je hotové, co ověřené a co ještě čeká.

Výsledkem byla nejistota, nižší zapojení mladších studentů a obvykle i menší počet zvládnutých testovacích případů, než by tým reálně mohl stihnout.

Co se změnilo s Penterepem

Penterep během soutěže funguje jako průvodce penetračním testem. Studenti dostanou přehlednou strukturu testovacích scénářů, jasné kroky, kterými mají projít, a sdílené prostředí, ve kterém vidí, kdo co dělá.

V případové studii organizátoři vyzdvihují především tři posuny.

Mladší studenti se aktivně zapojí. Místo bezradného hledání mají před sebou konkrétní úkoly. Vědí, co testovat, jak to testovat a co si po sobě poznamenat. Pocit „k něčemu jsem byl" je u nejmladších členů týmu výrazně silnější.

Vedoucí mohou skutečně vést. Když je každý provedený krok uložený v systému, vedoucí týmu nemusí pořád dohánět, co kdo dělá. Vidí postup průběžně, ověřují nálezy, navazují na rozpracované části.

A hlavně mají čas na to, co je v reálných projektech kritické: na řízení lidí a strategii, ne jen na samotný technický úkon.

Práce jde rozdělit bez chaosu. Transparentnost prostředí znamená, že paralelní práce více studentů nevytváří zmatek ani duplicity. Tým prostě stihne víc.

Víc než jen penetrační testování

Tahle zkušenost má ještě jeden rozměr, který je z pohledu vzdělávání zásadní. Hacking Days neučí jen techniku.

Učí týmovou spolupráci, komunikaci, delegování, odpovědnost za výsledek. A právě tyto měkké dovednosti se v reálných bezpečnostních týmech ukazují jako stejně důležité jako schopnost najít SQL injection.

Penterep do tohoto rámce zapadl jako nástroj, který obě roviny propojuje. Dává technickou strukturu a zároveň vytváří prostor pro to, aby se studenti učili pracovat jako tým.

Co si z toho odnést

Pro univerzity, které řeší, jak studentům přiblížit reálnou praxi v kyberbezpečnosti, je zkušenost z Hacking Days zajímavým podkladem.

Ukazuje, že správně zvolený nástroj nemusí být jen technickou pomůckou. Může změnit i způsob, jakým studenti spolupracují, jak se učí a jak rostou v rámci týmu.

Pokud vás zajímají detaily nasazení, konkrétní pozorování organizátorů a celkový kontext soutěže, přečtěte si kompletní případovou studii v příloze.