Прескокни до содржината
Закажете консултација
МКEN

Пенетрациско тестирање и red teaming

Од пенетрациско тестирање до red teaming: вашата одбрана проверена како во вистински напад

Ги тестираме вашите системи онака како што би ги нападнал напаѓач, во рамки на правила што ги одобрувате однапред. Без разлика дали станува збор за една веб-апликација или за целосна red team вежба, добивате потврдени наоди оценети според ризикот, резиме врз основа на кое раководството може да одлучува, технички извештај со кој инженерите можат да работат и повторен тест што потврдува дека поправките функционираат.

Закажете консултацијаКако функционира
Површина за напад: што гледа напаѓачот однадвор

Пенетрациско тестирање и red teaming

Што добивате

01

Потврден ризик, а не шум од скенер

Секој наод го потврдуваме рачно, го оценуваме со CVSS и објаснуваме до што навистина би можел да стигне напаѓачот во вашата околина.

02

Јасни приоритети

Резимето за раководството кажува што е важно и зошто. Техничкиот извештај им ги дава на инженерите доказите, чекорите за повторување и решенијата.

03

Поправки во кои сте сигурни

Нашиот стандарден пристап вклучува бесплатен повторен тест на наодите што сте ги поправиле, под условите од нашата понуда, па завршниот извештај покажува што е затворено, а не само што е пронајдено.

04

Проверена детекција

Вежбите со претпоставен пробив и red team вежбите, мапирани на MITRE ATT&CK, покажуваат дали вашиот тим или SOC би го забележал и запрел напаѓачот што веќе е внатре.

Што е вклучено

  • Пенетрациско тестирање на надворешната и внатрешната мрежа
  • Тестирање на веб-апликации и API според OWASP Web Security Testing Guide (WSTG) и OWASP ASVS
  • Тестирање на мобилни апликации според OWASP MASVS и MASTG
  • Преглед на конфигурацијата во облакот: идентитети, дозволи, складирање, мрежна изложеност и логирање
  • Тестирање на безжичните мрежи (Wi-Fi), вклучително автентикација, мрежи за гости и одвоеност од внатрешните системи
  • Социјален инженеринг, како фишинг и телефонски повици под лажен изговор, однапред договорен со раководството
  • Вежби со претпоставен пробив (assumed breach) и red team вежби мапирани на MITRE ATT&CK
  • Резиме за раководството, технички извештај со наоди оценети по CVSS и бесплатен повторен тест на поправените наоди, под условите од нашата понуда

Како работиме

  1. 01

    Опфат и правила на ангажман

    Ги договараме целите, системите, исклучоците, временските прозорци за тестирање и контактите, а вие потпишувате писмено овластување. Правилата на ангажман определуваат што е забрането и како секоја страна може да го запре тестот во секое време.

  2. 02

    Извидување и планирање

    Ја мапираме вашата површина за напад онака како што ја гледа надворешен напаѓач и ги планираме патеките на тестирање што се најважни за вашето работење, според PTES и NIST SP 800-115.

  3. 03

    Тестирање и контролирано искористување

    Нашите тестери работат рачно, со помош на алатки, и ја искористуваат слабоста само онолку колку што е потребно за да се докаже нејзиното влијание. Ако најдеме критичен проблем, го известуваме вашето контакт-лице без да чекаме на завршниот извештај.

  4. 04

    Извештај и презентација

    Добивате резиме за раководството и технички извештај со наоди оценети по CVSS, докази и препораки за отстранување. Резултатите ги презентираме и пред раководството и пред инженерите.

  5. 05

    Поправка и повторен тест

    Откако ќе ги поправите наодите, ги тестираме повторно без надомест, како дел од нашиот стандарден пристап и под условите од нашата понуда, и издаваме ажуриран извештај што покажува што е затворено.

За кого е

  • Организации што воведуваат или менуваат веб-апликација, API или мобилна апликација
  • Суштински и важни субјекти што мора да проценат дали нивните безбедносни мерки функционираат, според законот усогласен со NIS2
  • Банки и финансиски институции, вклучително и подружници на групации од ЕУ што мора да ги исполнат барањата на DORA за тестирање на дигиталната оперативна отпорност
  • Безбедносни тимови и SOC што сакаат да ги измерат својата детекција и својот одговор наспроти реалистичен противник

Рамки и стандарди

  • OWASP Web Security Testing Guide (WSTG)
  • OWASP ASVS
  • OWASP Mobile Application Security (MASVS/MASTG)
  • PTES
  • NIST SP 800-115
  • CVSS
  • MITRE ATT&CK

Често поставувани прашања

Која е разликата меѓу скенирање на ранливости, пенетрациско тестирање и red team вежба?
Скенирањето на ранливости е автоматско и дава список на можни слабости. Кај пенетрациското тестирање, луѓе ги потврдуваат и ги искористуваат тие слабости во договорен опфат за да го покажат нивното вистинско влијание. Red team вежбата се стреми кон договорена цел, на пример пристап до критичен систем, со техниките на вистински противник, и истовремено проверува дали вашиот тим ќе го открие нападот и ќе реагира. Тестот со претпоставен пробив почнува однатре, како напаѓачот веќе да има упориште во мрежата.
Дали тестирањето е безбедно за продукциските системи?
Ниеден тест не е без ризик, затоа го планираме внимателно. Правилата на ангажман определуваат временски прозорци, исклучоци и контакт за итни случаи, а деструктивните техники, како напади за ускратување услуга (DoS), се исклучени освен ако изрично не ги одобрите. Каде што ризикот е поголем, можеме да тестираме во околина за тестирање што ја отсликува продукцијата. Секоја страна може да го запре тестот во секое време.
Што добиваме на крајот?
Резиме на разбирлив јазик за раководството и технички извештај во кој секој наод е оценет по CVSS и има доказ, чекори за повторување и начин на поправка. Откако ќе ги поправите наодите, нашиот стандарден пристап вклучува бесплатен повторен тест, под условите од нашата понуда, и ажуриран извештај што можете да им го покажете на ревизорите или на клиентите.
Колку често треба да тестираме?
Многу организации тестираат најмалку еднаш годишно и по секоја значајна промена, како нова апликација, преселба во облак или спојување со друга компанија. Законот усогласен со NIS2 бара субјектите да проценуваат дали нивните безбедносни мерки се ефективни, а редовното тестирање е еден од најјасните начини тоа да се покаже.
Дали тестирате и луѓе, а не само системи?
Да, ако тоа го сакате. Фишингот и телефонските повици под лажен изговор покажуваат како напаѓач би можел да ги искористи вашите вработени за да влезе. Сценаријата однапред ги договараме со раководството. Извештајот се фокусира на процесите и контролите, а не на поединци, и резултатите директно ги користиме во обуките за безбедносна свест.

Водичи

Поврзани услуги

Управуван SOC 24/7Мониторинг, детекција и одговор деноноќно, со тријажа поддржана од AI и аналитичари кои ја донесуваат конечната одлука.Дознајте повеќеAI безбедностБезбедносно тестирање на LLM апликации и AI агенти, AI red teaming и јасни правила за безбедно воведување AI.Дознајте повеќеОбука за безбедност и фишинг симулацииОбука според улогите и етички фишинг симулации што градат култура на пријавување, на македонски и англиски јазик.Дознајте повеќе

Да разговараме за вашата безбедност

Кажете ни што ви треба: мониторинг 24/7, тестирање или подготовка за законот усогласен со NIS2. Во краток разговор ќе ги договориме опфатот и следните чекори.

Закажете консултација+389 75 340 034

Пон–Пет 09:00–17:00 · SOC 24/7 · info@diverto.mk