Testy penetracyjne
Test penetracyjny odpowiada na jedno pytanie: co atakujący mógłby Państwu zrobić już dziś? Sprawdzamy to narzędziami i technikami, których używają atakujący, w granicach zatwierdzonych przez Państwa na piśmie.
Dla kogo
Organizacje, które muszą poznać swoją rzeczywistą ekspozycję na ataki: przed wdrożeniem, po dużej zmianie, na potrzeby audytu lub wymagań klienta albo w ramach corocznej kontroli.
Zakres usług
- Test sieci zewnętrznej
- Wszystko, co jest dostępne z internetu: strony internetowe, serwery pocztowe, bramy VPN, zdalny dostęp i usługi chmurowe.
- Test sieci wewnętrznej
- Zaczynamy wewnątrz Państwa sieci, tak jak przejęty laptop lub nieuczciwy pracownik, i sprawdzamy, jak blisko systemów krytycznych uda się dotrzeć.
- Test aplikacji webowej
- Logowanie, sesje, kontrola dostępu i obsługa danych wejściowych w Państwa aplikacjach webowych i API, zgodnie z OWASP Web Security Testing Guide.
- Test aplikacji mobilnej
- Aplikacje na iOS i Androida oraz API, z których korzystają, zgodnie z wytycznymi OWASP Mobile Application Security.
- Socjotechnika
- Kampanie phishingowe, rozmowy telefoniczne pod pretekstem i próby fizycznego wejścia pokazują, jak Państwa ludzie i procesy reagują na manipulację.
- Test pracy zdalnej
- Bezpieczeństwo stanowisk do pracy z domu: VPN, konfiguracja laptopów, narzędzia do współpracy i dostawcy tożsamości.
- Ciągłe testy bezpieczeństwa
- Zamiast jednego testu w roku regularnie testujemy Państwa zewnętrzną powierzchnię ataku i zgłaszamy nowe problemy, gdy tylko się pojawią.
Jak przebiega test
Zakres
Cele, zasady i terminy uzgadniamy na piśmie. Nic nie jest testowane bez Państwa zgody.
Rozpoznanie
Ustalamy, co widzi atakujący: domeny, usługi dostępne z zewnątrz, technologie i ludzi.
Wykorzystanie podatności
Próbujemy dostać się do środka technikami, których używają prawdziwi atakujący, nie przekraczając uzgodnionych granic.
Raport
Każda podatność ma ocenę ryzyka, dowody i konkretną poprawkę. Do raportu dołączamy podsumowanie dla kierownictwa.
Ponowny test
Po usunięciu problemów testujemy ponownie i potwierdzamy, że luki zostały zamknięte.
Co Państwo otrzymują
- Podsumowanie dla kierownictwa napisane prostym językiem
- Raport techniczny: każda podatność z oceną ryzyka, dowodami i konkretną poprawką
- Spotkanie z Państwa zespołem omawiające wyniki
- Raport z ponownego testu potwierdzający, które problemy zostały usunięte
Pytania
Czy test zakłóci działanie naszych systemów?
Okna testowe i ograniczenia uzgadniamy z wyprzedzeniem i unikamy technik, które mogłyby spowodować przestoje, chyba że Państwo je zatwierdzą. Test można przerwać w każdej chwili.
Ile trwa test?
To zależy od zakresu. Pojedyncza aplikacja webowa to zwykle kilka dni, pełna sieć wewnętrzna wymaga więcej czasu. Oferta zawiera stały harmonogram.
Black box, grey box czy white box?
Wykonujemy wszystkie trzy rodzaje. Grey box, w którym otrzymujemy zwykłe konto użytkownika i podstawową dokumentację, zwykle pozwala znaleźć najwięcej w dostępnym czasie.
Bezpłatne narzędzia bezpieczeństwa
-
Skaner nagłówków bezpieczeństwa
Ocena nagłówków bezpieczeństwa HTTP, plików cookie i certyfikatu TLS strony, z poprawką dla każdego wyniku.
Nasz serwer pobiera stronę -
Dekoder JWT
Dekodowanie tokenu JWT i wykrywanie typowych błędów bezpieczeństwa, bez wysyłania go poza przeglądarkę.
Działa w przeglądarce -
Kalkulator CVSS 3.1
Ocena podatności według metryk bazowych CVSS 3.1 i wektor, który można udostępnić.
Działa w przeglądarce
Prosimy napisać, co chcą Państwo chronić
Prosimy opisać swoje środowisko i cele. Odpowiemy e-mailem.
Napisz do nasAngelForce OÜ · Tallinn, Estonia