Cybersikkerhed og penetrationstest
Cybersikkerhed og penetrationstest: penetrationstest af web- og mobilapplikationer, API'er, netværk og cloud-konti, applikationssikkerhed og sikker kodegennemgang, cloud security posture, sikkerhedsovervågning og incident response samt den tekniske side af ISO 27001, SOC 2 og PCI DSS, med dedikerede sikkerhedsingeniører og penetrationstestere til jeres team.
Sikkerhedsydelser, vi leverer
Penetrationstest af webapplikationer
Autentificering, sessioner, adgangskontrol, forretningslogik og injection testet manuelt mod OWASP Web Security Testing Guide, med automatiseret scanning som udgangspunkt frem for som resultat.
Penetrationstest af mobilapps og API'er
iOS- og Android-apps testet mod OWASP MASVS og REST-, GraphQL- og gRPC-API'er mod OWASP API Security Top 10: autorisation på objektniveau, mass assignment, rate limits og tokens, der overlever deres formål.
Penetrationstest af netværk og Active Directory
Test af ydre perimeter og internt netværk, angrebsstier i Active Directory og Entra ID kortlagt med BloodHound, Wi-Fi-test og phishing-simuleringer, når I beder om dem, hver kørt under skriftlig autorisation.
Applikationssikkerhed og sikker kodegennemgang
Trusselsmodeller for nye funktioner, manuel gennemgang af koden til autentificering, autorisation og datahåndtering, statisk analyse i CodeQL eller Semgrep tunet, indtil udviklerne stoler på resultaterne, og træning i sikker kodning bygget på de problemer, der er fundet i jeres egen kode.
Cloud security posture
AWS-, Azure- og Google Cloud-konti kontrolleret løbende med Security Hub, Defender for Cloud, Security Command Center, Prowler eller Wiz for offentlig lagring, for brede roller, langtlevende nøgler og logning, der er slået fra, med rettelserne skrevet som infrastructure as code.
Sikkerhedsovervågning og SOC
Logs fra cloud, identitet, endpoints og applikationer samlet i Microsoft Sentinel, Splunk, Elastic Security eller Wazuh, detektionsregler kortlagt til MITRE ATT&CK, EDR på hver enhed og alarmer sorteret af analytikere efter en vagtplan, I aftaler.
Incident response
Inddæmning, beviser sikret til retsmedicinsk undersøgelse, rodårsagen fundet og systemer gendannet fra rene backups, derefter en skriftlig rapport og den detektion, der ville have fanget det tidligere. Tabletop-øvelser tester planen, før der er brug for den.
Automatisering af compliance
Den tekniske side af ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 og DORA: kontroller bygget ind i jeres systemer, bevismateriale indsamlet automatisk fra dem gennem Vanta, Drata eller jeres egne scripts og adgangsgennemgange, backups og ændringskontrol dokumenteret ud fra registreringer frem for skærmbilleder.
Hærdning
Servere, containere, clustre og bærbare computere bragt i overensstemmelse med CIS Benchmarks og industrielle kontrolnetværk opdelt i IEC 62443-zoner, med indstillinger anvendt via kode og kontrolleret efter en tidsplan, så de ikke glider tilbage.
Ansæt sikkerhedsingeniører og penetrationstestere
Dedikerede sikkerhedsingeniører og penetrationstestere
Sikkerhedsingeniører og penetrationstestere, der indgår i jeres team på fuld tid, arbejder i jeres værktøjer og processer og rapporterer til jeres leder. I interviewer dem; vi står for den ukrainske kontrakt, lønudbetalingen, faktureringen og ferie og orlov.
Projekter inden for Sikkerhedsengineering
En afgrænset opgave inden for sikkerhedsengineering med et fast omfang, en fast plan og en navngiven leder hos os, der ejer resultatet og rapporterer fremdriften i jeres kanaler.
Løbende sikkerhedsengineering
Sikkerhedsengineering som løbende ydelse: de samme folk hver måned, en backlog, I selv prioriterer, og timer, I kan se i vores portal og på fakturaen.
Siden om dedikerede teams forklarer, hvordan specialister indgår i jeres team, og siden om outsourcing beskriver projektleverance, overtagelser og hvordan vi tager betaling.
Hvem arbejder med jeres sikkerhedsengineering
Penetrationstestere
Test af web, mobil, API, netværk og cloud
Applikationssikkerhedsingeniører
Sikker kodegennemgang, trusselsmodeller og pipeline-scanning
Cloudsikkerhedsingeniører
Posture, identitet og rettelser som infrastructure as code
SOC-analytikere og incident responders
Detektion, sortering og respons
Compliance-ingeniører
ISO 27001-, SOC 2- og PCI DSS-kontroller og bevismateriale
Sådan arbejder vi med sikkerhed
Hver test starter med et skriftligt omfang: hvilke systemer og konti, hvilke tidspunkter, hvem man ringer til, hvis noget går i stykker, og skriftlig autorisation fra ejeren af hvert system. Test køres mod staging, hvor det er muligt, hvert fund rapporteres med alvorlighed, en gengivelse og en rettelse, og en gentest efter rettelserne bekræfter, at hver enkelt er lukket.
Fund rettes dér, hvor de findes: kodeændringer af udviklere, cloud- og netværksændringer som infrastructure as code og en regressionstest eller en detektionsregel for hver, så et lukket fund forbliver lukket. Vi holder vores egne systemer til den samme standard: vores laptops kontrolleres af en agent, vi har skrevet i Rust, mod vores sikkerhedsbaseline på Windows, macOS og Ubuntu, med kontroller, der er knyttet til ISO 27001, CIS, Cyber Essentials, Essential Eight og SOC 2.
Andre ydelser inden for cloud, DevOps og sikkerhed
AWS-udvikling
AWS-udvikling: containere på EKS og ECS, serverless, landing zones, migreringer, databaser, dataplatforme, generativ AI med Bedrock, sikkerhed og omkostningsoptimering, med dedikerede AWS-ingeniører eller projektleverance.
Google Cloud-udvikling
Google Cloud-udvikling: Cloud Run og GKE, BigQuery, Firebase-backends, Cloud SQL og AlloyDB, Gemini på Agent Platform, sikkerhed og migreringer, med dedikerede Google Cloud-ingeniører eller projektleverance.
Kubernetes-rådgivning
Kubernetes-rådgivning og -udvikling: klynger på EKS, AKS, GKE og on premises, Helm, GitOps med Argo CD eller Flux, sikkerhed i klynger, opgraderinger og GPU-workloads, med dedikerede Kubernetes-ingeniører eller projektleverance.
DevOps og CI/CD
DevOps og CI/CD: pipelines, infrastruktur som kode med Terraform, observability, SRE og vagtberedskab, DevSecOps, platform engineering og FinOps, med dedikerede DevOps- og SRE-ingeniører eller løbende DevOps-arbejde.
IT-infrastruktur
IT-infrastruktur og systemadministration: Windows- og Linux-servere, netværk, Microsoft 365 og Entra ID, virtualisering, sikkerhedskopier og telekom, med dedikerede systemadministratorer eller løbende support.
Site reliability engineering
Site reliability engineering: SLO'er, observability med OpenTelemetry, vagtberedskab og incident management, belastningstest, disaster recovery og chaos engineering, med dedikerede SRE-ingeniører eller projektleverance.
Platform engineering
Platform engineering: interne udviklerplatforme, Backstage-portaler, golden paths og skabeloner, self-service-infrastruktur og Kubernetes-platforme, med dedikerede platformingeniører eller projektleverance.
Cloudarkitektur
Cloudarkitektur og rådgivning: design til AWS, Azure og Google Cloud, migreringsplaner, landing zones, Well-Architected-gennemgange, robusthed og omkostninger, med dedikerede cloudarkitekter eller projektleverance.
FinOps
FinOps og optimering af cloudomkostninger: omkostningsfordeling, rightsizing, savings plans og reservationer, Kubernetes, omkostninger til data og AI, budgetter og anomali-alarmer, med dedikerede FinOps-ingeniører eller projektleverance.
Terraform og IaC
Terraform og infrastruktur som kode: moduler i Terraform og OpenTofu, imports, plan- og apply-pipelines, kontrol af konfigurationsdrift, policy as code og Ansible, med dedikerede Terraform-ingeniører eller projektleverance.
Linux-administration
Linux-administration: servere med Ubuntu, Debian, RHEL, Rocky Linux og AlmaLinux sat op, patchet, hærdet, overvåget og sikkerhedskopieret samt end-of-life-opgraderinger, med dedikerede Linux-administratorer eller løbende support.
Netværksteknik
Netværksteknik: routing og switching, firewalls, SD-WAN og zero-trust-adgang, cloudnetværk, Wi-Fi og automatisering på Cisco, Juniper og Fortinet, med dedikerede netværksingeniører eller projektleverance.
Cloudsikkerhed
Cloudsikkerhed: CSPM og CNAPP, gennemgang af IAM, Kubernetes-sikkerhed, netværks- og databeskyttelse og cloud compliance på AWS, Azure og Google Cloud, med dedikerede cloudsikkerhedsingeniører eller projektleverance.
SOC og sikkerhedsovervågning
SOC as a service og sikkerhedsovervågning: managed SOC, udrulning af SIEM, onboarding af logs, detection engineering, EDR, threat hunting og incident response-retainere, med dedikerede SOC-analytikere eller løbende overvågning.
Sikkerhedscompliance
Sikkerhedscompliance og audit readiness: kontroller for ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 og DORA, gap assessments og audit-dokumentation, med dedikerede compliance-ingeniører eller et readiness-projekt.
Spørgsmål om cybersikkerhed og penetrationstest
Hvilke brancher arbejder jeres sikkerhedsingeniører i?
Mest cybersikkerhedsproduktvirksomheder, med detektionsindhold, produkttest og sikkerhedsforskning; fintech og bank under PCI DSS og DORA; industri- og energivirksomheder, der adskiller kontrolnetværk fra kontor-IT; e-handel, der beskytter checkout og kundekonti; SaaS-virksomheder, der forbereder sig på SOC 2-audits og kunders sikkerhedsgennemgange; samt hosting- og telekomudbydere og systemer i den offentlige sektor.
Hvad indeholder en penetrationstestrapport?
Et resumé til ledelsen, derefter hvert fund med dets CVSS-alvorlighed, det berørte system, trinnene til at gengive det, bevismaterialet og en anbefalet rettelse. Når jeres team har udrullet rettelserne, registrerer en gentest, hvilke fund der er lukket.
Kan I få os ISO 27001- eller SOC 2-certificeret?
Certificering udstedes af et akkrediteret certificeringsorgan, og en SOC 2-rapport af et uafhængigt revisionsselskab, så ingen leverandør kan love nogen af delene. Vi tager os af den tekniske side: implementerer de kontroller, revisoren vil teste, retter de huller, en parathedsgennemgang finder, og holder bevismaterialet klar til eksport.
Vil testen forstyrre vores produktionssystemer?
Ikke som udgangspunkt. Test køres mod staging, hvor der findes et. Hvor produktion skal testes, sker det i et aftalt tidsvindue, med en aftalt hastighed, uden destruktive payloads og med en navngiven kontaktperson på hver side.
Hvor hurtigt kan sikkerhedsingeniører og penetrationstestere starte?
Når den rette sikkerhedsingeniør er tilgængelig, afhænger starten kun af jeres samtale samt NDA og overdragelse af IP-rettigheder. Ellers gennemfører vi en søgning, som typisk giver kandidatprofiler inden for to til tre uger, og ingen starter, før I har sagt ja.
Hvordan ansætter vi sikkerhedsingeniører og penetrationstestere gennem BigTree108?
Fortæl os om opgaverne, erfaringsniveauet og det timetal, I har brug for. Vi foreslår en eller to personer med deres profiler, I interviewer dem på samme måde, som I ville interviewe jeres egen medarbejder, og I underskriver én aftale med BIG TREE 108 LLC og modtager én faktura om måneden.
Hvem ejer det arbejde, de producerer?
Det gør I. Hver specialist har en underskrevet kontrakt med BigTree108, som overdrager alt arbejdsresultat til virksomheden, og vores aftale med jer overdrager det videre til jer. Kode, designs og dokumenter leveres ind i jeres egne repositories og værktøjer og opbevares ikke et sted, hvor kun vi kan ændre dem.
Har I brug for en penetrationstest eller sikkerhedsingeniører?
Fortæl os, hvilke systemer der er omfattet, hvor de kører, og om der er en auditdato, I arbejder hen imod. I får svar inden for én arbejdsdag: et foreslået omfang, en testplan eller kandidatprofiler.