Kibernetska varnost · Ofenzivna varnost
Ofenzivna varnost. Vrzel najdemo pred napadalci.
Napadalci potrebujejo le en vhod. Mi ga poiščemo prvi, tako kot bi ga iskali oni: v vaših aplikacijah, omrežjih in oblaku, med vašimi ljudmi in v vaših stavbah.
Dobite jasno sliko o tem, kaj je mogoče izkoristiti, koliko bi vas to stalo in kaj popraviti najprej, po odpravi pa ponovno testiramo.
Kaj je vključeno. Obseg po vaši meri.
Penetracijski testi
Spletne aplikacije, API-ji, notranja in zunanja omrežja ter oblačna okolja v Azure, AWS in GCP.
Testiranje mobilnih aplikacij
Poglobljeno testiranje aplikacij za iOS in Android ter zalednih sistemov za njimi.
Operacije red team
Simulacija nasprotnika v polnem obsegu, ki hkrati preizkusi vaše ljudi, procese in tehnologijo.
Emulacija nasprotnikov
Neprekinjeno preverjanje glede na taktike in tehnike znanih akterjev groženj.
Socialni inženiring
Kampanje phishinga, vishinga, poosebljanja in pretvez, ki merijo, kako se odzovejo vaši ljudje.
Fizično testiranje
Nadzor dostopa, kloniranje kartic in vstop za pooblaščeno osebo (tailgating) na vaših lokacijah, po dogovorjenih pravilih.
Kartiranje površine napada
Odkrivanje pozabljenih, senčnih in izpostavljenih sredstev, preden jih najdejo napadalci.
Upravljanje programov bug bounty
Razvrščanje in obravnava ugotovitev, ki jih prijavijo varnostni raziskovalci iz javnosti.
Kaj prejmete. Tri poročila in potrditev.
Vsaka ugotovitev ima poslovni kontekst, zato uprava, revizorji in inženirji iz istega projekta dobijo vsak tisto, kar potrebujejo.
Poročilo za vodstvo
Tveganje v preprostem jeziku, s finančnega in zavarovalnega vidika, za vodstvo in upravo.
Tehnično poročilo
Vsaka ugotovitev z oceno CVSS, dokazi, potjo napada in popravkom, za vaše inženirje.
Načrt odprave
Kaj popraviti in kdaj, razdeljeno na 0–30, 30–90 in 90+ dni.
Ponovni test in potrdilo
Ponovno testiramo vaše popravke, potrdimo, da so ranljivosti odpravljene, in izdamo potrdilo o zaključku.
Kako poteka
- Trajanje
- Od nekaj dni za ciljno usmerjen test do več tednov za red team, kar potrdimo v ponudbi.
- Ekipa
- Strokovnjaki za ofenzivno varnost pod vodstvom izkušenega vodje projekta, ki je vaša edina kontaktna oseba.
- Od vas
- Imenovana kontaktna oseba, dogovorjen obseg in pravila izvajanja ter po potrebi testni računi ali dostop.
- Med testom
- Dnevne informacije o napredku. Kritične ugotovitve sporočimo takoj, ko jih najdemo, ne šele na koncu.
Metodologija
- OWASP
- PTES
- MITRE ATT&CK
- NIST SP 800-115
- CVSS
Pogosta vprašanja
Bo testiranje motilo delovanje naših sistemov?
Testiranje načrtujemo z vašo ekipo in ga opredelimo v pravilih izvajanja. Tvegane teste izvajamo v vzdrževalnih oknih in jih takoj ustavimo, če se kaj odzove nepričakovano.
Kakšna je razlika med penetracijskim testom in red teamom?
Penetracijski test v opredeljenem obsegu išče čim več slabosti. Red team zasleduje cilj, na primer dostop do vaših plačilnih sistemov, in med potjo preverja, kako dobro napad zaznate in se nanj odzovete.
Kako pogosto naj testiramo?
Vsaj enkrat na leto in po večjih spremembah, kot so nova aplikacija, selitev v oblak ali prevzem podjetja. Predpisi, kot sta NIS2 in PCI DSS, določajo svoja pričakovanja.
Ali po odpravi ugotovitev ponovno testirate?
Da. Ponovno testiranje je del projekta in se konča s potrdilom o zaključku, ko so popravki potrjeni.
Ali lahko testirate oblačna okolja in okolja SaaS?
Da, vključno z Azure, AWS in GCP, v okviru pravil testiranja, ki jih objavi posamezni ponudnik.
Pogovorite se s strokovnjakom
Določite obseg projekta.
Povejte nam, kaj želite testirati. Ponudbo prejmete v 24 urah po prvem pogovoru.