Přeskočit na obsah
BigTree108

Služby kybernetické bezpečnosti a penetračního testování

Služby kybernetické bezpečnosti a penetračního testování: penetrační testy webových a mobilních aplikací, API, sítí a cloudových účtů, zabezpečení aplikací a bezpečné code review, bezpečnostní postura cloudu, bezpečnostní monitoring a reakce na incidenty a technická stránka ISO 27001, SOC 2 a PCI DSS, s dedikovanými bezpečnostními inženýry a penetračními testery pro váš tým.

Bezpečnostní služby, které poskytujeme

  • Penetrační testy webových aplikací

    Autentizace, relace, řízení přístupu, byznys logika a injection testované ručně podle OWASP Web Security Testing Guide, s automatizovaným skenováním jako výchozím bodem, a ne jako výsledkem.

  • Penetrační testy mobilních aplikací a API

    Aplikace pro iOS a Android testované podle OWASP MASVS a API REST, GraphQL a gRPC podle OWASP API Security Top 10: autorizace na úrovni objektů, mass assignment, limity četnosti a tokeny, které přežijí svůj účel.

  • Penetrační testy sítí a Active Directory

    Testy vnějšího perimetru a vnitřní sítě, útočné cesty v Active Directory a Entra ID zmapované pomocí BloodHound, testování Wi-Fi a phishingové simulace na vyžádání, vše na základě písemného oprávnění.

  • Zabezpečení aplikací a bezpečné code review

    Modely hrozeb pro nové funkce, ruční revize kódu autentizace, autorizace a práce s daty, statická analýza v CodeQL nebo Semgrep vyladěná tak, aby jejím zjištěním vývojáři důvěřovali, a školení bezpečného programování postavené na problémech nalezených ve vašem vlastním kódu.

  • Bezpečnostní postura cloudu

    Účty AWS, Azure a Google Cloud průběžně kontrolované pomocí Security Hub, Defender for Cloud, Security Command Center, Prowler nebo Wiz na veřejná úložiště, příliš široké role, dlouhodobé klíče a vypnuté logování, s opravami napsanými jako infrastruktura jako kód.

  • Bezpečnostní monitoring a SOC

    Logy z cloudu, identit, koncových zařízení a aplikací shromažďované v Microsoft Sentinel, Splunk, Elastic Security nebo Wazuh, detekční pravidla namapovaná na MITRE ATT&CK, EDR na každém zařízení a upozornění tříděná analytiky podle rozpisu služeb, na kterém se dohodneme.

  • Reakce na incidenty

    Izolace incidentu, zajištění důkazů pro forenzní analýzu, nalezení hlavní příčiny a obnova systémů z čistých záloh, poté písemná zpráva a detekce, která by incident zachytila dříve. Tabletop cvičení prověřují plán dřív, než bude potřeba.

  • Automatizace compliance

    Technická stránka ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 a DORA: kontroly zabudované do vašich systémů, důkazy z nich automaticky sbírané přes Vanta, Drata nebo vaše vlastní skripty a revize přístupů, zálohy a řízení změn prokazované záznamy, a ne snímky obrazovky.

  • Hardening

    Servery, kontejnery, clustery a notebooky dotažené na úroveň CIS Benchmarks a průmyslové řídicí sítě segmentované do zón IEC 62443, s nastavením aplikovaným kódem a pravidelně kontrolovaným, aby se nevracelo do původního stavu.

bezpečnostní inženýři a penetrační testeři do vašeho týmu

  • Dedikovaní bezpečnostní inženýři a penetrační testeři

    Bezpečnostní inženýři a penetrační testeři, kteří nastoupí do vašeho týmu na plný úvazek, pracují ve vašich nástrojích a procesu a zodpovídají se vašemu vedoucímu. Pohovor s nimi vedete vy; my neseme ukrajinskou smlouvu, mzdy, fakturaci a dovolenou.

  • Projekty v oblasti „Bezpečnostní inženýrství“

    Vymezená část práce v oblasti „bezpečnostní inženýrství“ s rozsahem, pevným plánem a jmenovaným vedoucím na naší straně, který odpovídá za výsledek a o postupu informuje ve vašich kanálech.

  • Průběžná spolupráce v oblasti „bezpečnostní inženýrství“

    Průběžná služba v oblasti „Bezpečnostní inženýrství“: každý měsíc stejní lidé, backlog, kterému určujete priority, a hodiny, které vidíte v našem portálu i na faktuře.

Stránka o dedikovaném týmu vysvětluje, jak se specialisté připojují k vašemu týmu, a stránka o outsourcingu pokrývá dodávku projektů, převzetí systémů a jak účtujeme.

Kdo pracuje na vašem zadání v oblasti „bezpečnostní inženýrství“

  • Penetrační testeři

    Testování webu, mobilních aplikací, API, sítí a cloudu

  • Inženýři zabezpečení aplikací

    Bezpečné code review, modely hrozeb a skenování pipeline

  • Inženýři zabezpečení cloudu

    Postura, identita a opravy jako infrastruktura jako kód

  • Analytici SOC a řešitelé incidentů

    Detekce, třídění a reakce

  • Compliance inženýři

    Kontroly a důkazy pro ISO 27001, SOC 2 a PCI DSS

Jak pracujeme v oblasti bezpečnosti

Každý test začíná písemným vymezením rozsahu: které systémy a účty, v jakých hodinách, komu volat, když se něco pokazí, a písemné oprávnění od vlastníka každého systému. Testování probíhá, kdykoli to jde, proti stagingu, každé zjištění se hlásí s mírou závažnosti, postupem reprodukce a opravou a opakovaný test po opravách potvrdí uzavření každého z nich.

Zjištění se opravují tam, kde vznikla: změny kódu provádějí vývojáři, změny v cloudu a síti jako infrastruktura jako kód a ke každému patří regresní test nebo detekční pravidlo, aby uzavřené zjištění zůstalo uzavřené. Své vlastní systémy poměřujeme stejným měřítkem: naše notebooky kontroluje agent, kterého jsme napsali v Rustu, vůči naší bezpečnostní základně na Windows, macOS a Ubuntu, s kontrolami namapovanými na ISO 27001, CIS, Cyber Essentials, Essential Eight a SOC 2.

Další služby cloudu, DevOps a bezpečnosti

Přehled: Cloud, DevOps a bezpečnost

Otázky ke kybernetické bezpečnosti a penetračnímu testování

V jakých odvětvích pracují vaši bezpečnostní inženýři?

Většinou u firem vyvíjejících produkty pro kybernetickou bezpečnost, na detekčním obsahu, testování produktů a bezpečnostním výzkumu; ve fintechu a bankovnictví, podle PCI DSS a DORA; u průmyslových a energetických firem, kde se oddělují řídicí sítě od kancelářské IT; v e-commerce, kde se chrání pokladna a zákaznické účty; u SaaS firem, které se připravují na audity SOC 2 a bezpečnostní prověrky zákazníků; a u poskytovatelů hostingu a telekomunikací a v systémech veřejného sektoru.

Co obsahuje zpráva z penetračního testu?

Shrnutí pro vedení a poté každé zjištění se závažností podle CVSS, dotčeným systémem, kroky k reprodukci, důkazy a doporučenou opravou. Až váš tým opravy nasadí, opakovaný test zaznamená, která zjištění jsou uzavřena.

Můžete nám zajistit certifikaci ISO 27001 nebo SOC 2?

Certifikát vydává akreditovaný certifikační orgán a zprávu SOC 2 nezávislá auditorská firma, takže žádný dodavatel nemůže slíbit ani jedno. My děláme technickou stránku: zavedeme kontroly, které auditor otestuje, opravíme mezery, které odhalí posouzení připravenosti, a udržujeme důkazy připravené k exportu.

Naruší testování naše produkční systémy?

Ve výchozím nastavení ne. Testování probíhá proti stagingu, pokud existuje. Tam, kde je nutné testovat produkci, děje se tak v dohodnutém okně, dohodnutou rychlostí, bez destruktivních payloadů a s určeným kontaktem na každé straně.

Jak rychle mohou nastoupit bezpečnostní inženýři a penetrační testeři?

Když je k dispozici ten pravý bezpečnostní inženýr, začátek brzdí jen váš pohovor, NDA a převod práv duševního vlastnictví. Jinak vedeme hledání, které obvykle přinese profily kandidátů do dvou až tří týdnů, a nikdo nenastoupí, dokud neřeknete ano.

Jak probíhá najímání přes BigTree108 (role: bezpečnostní inženýři a penetrační testeři)?

Řekněte nám, jakou práci, jakou seniority a kolik hodin potřebujete. Navrhneme jednoho nebo dva lidi s jejich profily, pohovoříte s nimi stejně jako s vlastním zaměstnancem a podepíšete jednu smlouvu s BIG TREE 108 LLC a budete dostávat jednu fakturu měsíčně.

Komu patří práce, kterou vytvářejí?

Vám. Každý specialista má podepsanou smlouvu s BigTree108, která převádí všechny výsledky práce na společnost, a naše smlouva s vámi je převádí dál. Kód, návrhy a dokumenty se dodávají do vašich vlastních repozitářů a nástrojů, ne do míst, kde je můžeme měnit jen my.

Potřebujete penetrační test nebo bezpečnostní inženýry?

Napište nám, které systémy jsou v rozsahu, kde běží a na jaký termín auditu se připravujete. Odpověď dostanete do jednoho pracovního dne: navržený rozsah, plán testování nebo profily kandidátů.

Napište na hello@bigtree108.comJak odpovídáme