Usługi dostępne z Internetu
Sprawdzamy uzgodnione adresy i usługi wystawione do Internetu, ujawniane informacje oraz słabości mogące prowadzić do nieuprawnionego dostępu.
Bezpieczeństwo sieci i usług
Testy infrastruktury z uzgodnionego punktu startowego.
Ręcznie sprawdzamy dostępne usługi, konfigurację i kontrolę dostępu z uzgodnionego punktu startowego. Pokazujemy możliwe ścieżki ataku, ich wpływ na środowisko oraz działania, które pomogą ograniczyć ryzyko.
Napisz, jaki system chcesz sprawdzić, z jakiego powodu i w jakim terminie. Odpowiemy, jakie informacje pomogą przygotować propozycję. Dokumentację i dane dostępowe przekażesz później uzgodnionym, bezpiecznym kanałem.
Od 2007 roku rozwijamy doświadczenie w bezpieczeństwie IT.
Ręczna analiza wspierana narzędziami i oceną ryzyka.
Uzgodnione re-testy pomagają sprawdzić wdrożone poprawki.
Zakres testów
Punkt startowy zmienia to, co można sprawdzić.
Możemy rozpocząć z Internetu, z uzgodnionego miejsca w sieci wewnętrznej lub z obu perspektyw. Przed pracami określamy zasoby, dostęp i dopuszczalne działania.
Sieć wewnętrzna i segmentacja
Z wybranego punktu w sieci analizujemy dostępność zasobów, granice segmentów i możliwość przejścia do kolejnych systemów.
Dostęp i uprawnienia
Badamy logowanie do usług i uprawnienia dostępnych kont, w tym możliwość wykonania działań wykraczających poza zamierzoną rolę.
Konfiguracja i powiązania podatności
Analizujemy konfigurację i zależności między ustaleniami. Ich znaczenie oceniamy według roli systemów i danych, do których mogłyby prowadzić.
Przygotowanie
Kiedy warto zaplanować test?
Przed udostępnieniem nowych usług, po zmianie architektury lub segmentacji sieci, w odpowiedzi na wymagania klienta albo jako okresową weryfikację bezpieczeństwa.
Przed rozpoczęciem uzgadniamy granice testu, okna prac, ograniczenia i sposób reagowania na ewentualne zakłócenia. Działania mogące wpłynąć na dostępność wymagają odrębnych ustaleń.
Co pomoże zaplanować badanie i wycenę?
- Cel i perspektywa testuCo chcesz zweryfikować: ekspozycję z Internetu, dostęp z sieci wewnętrznej czy oba obszary?
- Wielkość i rola środowiskaOrientacyjna liczba adresów i systemów, rodzaje usług oraz zależności istotne dla działalności.
- Dostęp i graniceSposób dostępu do środowiska, zasoby objęte zgodą na test i elementy wyłączone z zakresu.
- Termin i ograniczeniaOczekiwany termin, dopuszczalne okna testowe oraz wymagania dotyczące ciągłości działania.
Na początek wystarczy ogólny opis środowiska i powodu testu. Szczegółową dokumentację oraz dane dostępowe przekażesz później bezpiecznym kanałem.
Porozmawiajmy o teścieCo otrzymujesz po teście
Raport, który pomaga zaplanować i wdrożyć poprawki.
Każde ustalenie opisujemy w kontekście badanego systemu: jak powstaje problem, co może umożliwić i jak go usunąć. Ocena ryzyka i priorytety pomagają zespołowi ułożyć prace naprawcze.
Zanonimizowany przykładowy raport załączamy do ofert przygotowywanych po ustaleniu zakresu testu.
- Potwierdzone ustaleniaOpis podatności, warunków jej wystąpienia i kroków pozwalających odtworzyć problem.
- Wpływ i możliwa ścieżka atakuWyjaśnienie, do czego błąd może prowadzić w badanym systemie.
- Ocena ryzyka i priorytetyPodstawa do ustalenia kolejności prac.
- Rekomendacje dla zespołu technicznegoWskazówki, które można przełożyć na zadania naprawcze.
- Podsumowanie dla osób decyzyjnychZwięzły obraz ustaleń i ich znaczenia dla organizacji.
- Uzgodnione re-testySprawdzenie wdrożonych poprawek na zasadach ustalonych z klientem.
Jak pracujemy
Od pierwszej rozmowy do sprawdzenia uzgodnionych poprawek.
W każdym etapie wiadomo, co przygotować, co badamy i jak wykorzystać wyniki.
Poznajemy system
Pytamy o system, powód testu, oczekiwany termin i decyzje, które mają wesprzeć wyniki.
Planujemy badanie
Określamy granice testu, środowisko, role, dostęp i dopuszczalne scenariusze.
Przygotowujemy dostęp
Wybieramy kanał komunikacji i bezpieczny sposób przekazania dokumentacji oraz danych dostępowych.
Testy
Ręcznie analizujemy system, korzystamy z narzędzi pomocniczych i sprawdzamy możliwe scenariusze ataku.
Raport i omówienie
Przekazujemy opis ustaleń, ocenę ryzyka i rekomendacje. Wyjaśniamy je zespołowi technicznemu.
Re-testy
Po wdrożeniu poprawek sprawdzamy je ponownie na wcześniej uzgodnionych zasadach.
Pytania przed testem
Co warto wiedzieć przed rozmową?
Czym różni się test zewnętrzny od wewnętrznego?
Test zewnętrzny sprawdza możliwości ataku na zasoby dostępne z Internetu. Test wewnętrzny rozpoczyna się z uzgodnionego punktu w sieci organizacji. Podejścia odpowiadają na różne pytania i mogą stanowić wspólny zakres.
Czy test infrastruktury obejmuje aplikacje i API?
Nie automatycznie. Test usług i konfiguracji infrastruktury nie zastępuje weryfikacji logiki aplikacji ani uprawnień w API. Możemy połączyć te obszary, ale granice zakresu ustalamy przed rozpoczęciem.
Czy test obejmuje przeciążanie usług lub DDoS?
Nie w standardowym zakresie opisanym na tej stronie. Testy wpływające na dostępność wymagają odrębnych ustaleń i wyraźnej zgody. Przed pracami uzgadniamy dopuszczalne działania i ograniczenia.
Czym różni się ręczny pentest od skanowania?
Skaner pomaga znaleźć potencjalne problemy. Ręczny test sprawdza, czy i w jakich warunkach można je wykorzystać. Pozwala też zbadać role, przebieg operacji i zależności, których sama lista wyników skanowania nie wyjaśnia.
Czy test może odbywać się na produkcji?
Może, jeśli wcześniej ustalimy dopuszczalne działania i zabezpieczenia organizacyjne. Przy środowisku produkcyjnym omawiamy możliwy wpływ na usługi, okna prac, osoby kontaktowe i sposób reagowania na zakłócenia.
Co dzieje się po przekazaniu raportu?
Omawiamy ustalenia z zespołem technicznym. Po wdrożeniu poprawek pozostajemy z klientem do zakończenia uzgodnionych re-testów. Ich warunki i obszary określamy wspólnie.
Co stanie się po wysłaniu zapytania?
Odpowiemy, jakich informacji potrzebujemy do przygotowania propozycji. Omówimy system, powód testu, środowisko i dostęp. Dokumentację oraz dane dostępowe przekażesz później uzgodnionym, bezpiecznym kanałem.
Porozmawiajmy o teście przed wyceną.
Wystarczy opis systemu, powodu testu i oczekiwanego terminu. W odpowiedzi wskażemy informacje potrzebne do przygotowania propozycji.