Cybersicherheit und Penetrationstests
Cybersicherheit und Penetrationstests: Penetrationstests von Web- und Mobile-Anwendungen, APIs, Netzwerken und Cloud-Konten, Anwendungssicherheit und sicheres Code-Review, Cloud-Security-Posture, Sicherheitsmonitoring und Incident Response sowie die technische Seite von ISO 27001, SOC 2 und PCI DSS, mit dedizierten Security Engineers und Penetrationstestern für Ihr Team.
Sicherheitsleistungen, die wir anbieten
Penetrationstests von Webanwendungen
Authentifizierung, Sitzungen, Zugriffskontrolle, Geschäftslogik und Injection werden von Hand nach dem OWASP Web Security Testing Guide getestet, wobei automatisches Scannen der Ausgangspunkt ist und nicht das Ergebnis.
Penetrationstests von Mobile-Apps und APIs
iOS- und Android-Apps werden nach dem OWASP MASVS getestet, REST-, GraphQL- und gRPC-APIs nach den OWASP API Security Top 10: Autorisierung auf Objektebene, Mass Assignment, Ratenbegrenzung und Tokens, die ihren Zweck überdauern.
Penetrationstests von Netzwerk und Active Directory
Tests des externen Perimeters und des internen Netzes, mit BloodHound kartierte Angriffspfade in Active Directory und Entra ID, WLAN-Tests und auf Wunsch Phishing-Simulationen, jeweils unter schriftlicher Autorisierung.
Anwendungssicherheit und sicheres Code-Review
Bedrohungsmodelle für neue Funktionen, manuelles Review des Codes für Authentifizierung, Autorisierung und Datenverarbeitung, statische Analyse in CodeQL oder Semgrep, so lange abgestimmt, bis Entwickler ihren Ergebnissen vertrauen, und Secure-Coding-Schulungen, die auf den in Ihrem eigenen Code gefundenen Problemen aufbauen.
Cloud-Security-Posture
AWS-, Azure- und Google-Cloud-Konten werden fortlaufend mit Security Hub, Defender for Cloud, Security Command Center, Prowler oder Wiz auf öffentlichen Speicher, zu weit gefasste Rollen, langlebige Schlüssel und abgeschaltetes Logging geprüft, die Korrekturen als Infrastructure as Code geschrieben.
Sicherheitsmonitoring und SOC
Logs aus Cloud, Identität, Endgeräten und Anwendungen, gesammelt in Microsoft Sentinel, Splunk, Elastic Security oder Wazuh, Erkennungsregeln nach MITRE ATT&CK, EDR auf jedem Gerät und Alarme, die Analysten nach einem vereinbarten Dienstplan sichten.
Incident Response
Eindämmung, für die Forensik gesicherte Beweise, die gefundene Ursache und Systeme, die aus sauberen Backups wiederhergestellt werden, dann ein schriftlicher Bericht und die Erkennungsregel, die den Vorfall früher bemerkt hätte. Tabletop-Übungen testen den Plan, bevor er gebraucht wird.
Compliance-Automatisierung
Die technische Seite von ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 und DORA: in Ihre Systeme eingebaute Kontrollen, Nachweise, die über Vanta, Drata oder Ihre eigenen Skripte automatisch daraus gesammelt werden, sowie Zugriffsprüfungen, Backups und Änderungskontrolle, die aus Aufzeichnungen statt aus Screenshots belegt werden.
Härtung
Server, Container, Cluster und Laptops werden auf CIS Benchmarks gebracht und industrielle Steuerungsnetze in IEC-62443-Zonen segmentiert, mit Einstellungen, die per Code angewendet und regelmäßig geprüft werden, damit sie nicht zurückdriften.
Security Engineers und Penetrationstester einstellen
Dedizierte Security Engineers und Penetrationstester
Security Engineers und Penetrationstester, die in Vollzeit zu Ihrem Team gehören, in Ihren Tools und Ihrem Prozess arbeiten und an Ihren Lead berichten. Sie führen die Interviews; wir tragen den ukrainischen Vertrag, die Gehaltsabrechnung, die Rechnungsstellung und den Urlaub.
Projekte im Bereich Security Engineering
Ein abgegrenztes Arbeitspaket im Bereich Security Engineering mit festem Umfang, festem Plan und einem benannten Verantwortlichen auf unserer Seite, der das Ergebnis verantwortet und den Fortschritt in Ihren Kanälen berichtet.
Security Engineering als laufender Service
Security Engineering als fortlaufende Leistung: jeden Monat dieselben Personen, ein Backlog, das Sie priorisieren, und Stunden, die Sie in unserem Portal und auf der Rechnung einsehen können.
Die Seite zum dedizierten Team erklärt, wie Spezialisten zu Ihrem Team stoßen, und die Seite zum Outsourcing behandelt Projektlieferung, Übernahmen und unsere Abrechnung.
Wer sich bei Ihnen um Security Engineering kümmert
Penetrationstester
Tests von Web, Mobile, API, Netzwerk und Cloud
Application-Security-Ingenieure
Sicheres Code-Review, Bedrohungsmodelle und Pipeline-Scans
Cloud-Security-Ingenieure
Posture, Identität und Korrekturen als Infrastructure as Code
SOC-Analysten und Incident Responder
Erkennung, Triage und Reaktion
Compliance-Ingenieure
Kontrollen und Nachweise für ISO 27001, SOC 2 und PCI DSS
Wie wir bei Sicherheit arbeiten
Jeder Test beginnt mit einem schriftlichen Umfang: welche Systeme und Konten, welche Zeiten, wen man anruft, wenn etwas kaputtgeht, und die schriftliche Autorisierung des Eigentümers jedes Systems. Getestet wird nach Möglichkeit gegen Staging, jede Feststellung wird mit Schweregrad, Reproduktion und Korrektur gemeldet, und ein Nachtest nach den Korrekturen bestätigt, dass jede geschlossen ist.
Feststellungen werden dort behoben, wo sie entstehen: Codeänderungen durch Entwickler, Cloud- und Netzwerkänderungen als Infrastructure as Code und für jede ein Regressionstest oder eine Erkennungsregel, damit eine geschlossene Feststellung geschlossen bleibt. Unsere eigenen Systeme messen wir am selben Standard: Unsere Laptops werden von einem in Rust geschriebenen Agenten gegen unsere Sicherheitsbasis geprüft, unter Windows, macOS und Ubuntu, mit Prüfungen, die ISO 27001, CIS, Cyber Essentials, Essential Eight und SOC 2 zugeordnet sind.
Weitere Leistungen in Cloud, DevOps und Sicherheit
AWS-Entwicklung
Services für AWS-Entwicklung: Container mit EKS und ECS, Serverless, Landing Zones, Migrationen, Datenbanken, Datenplattformen, generative KI mit Bedrock, Sicherheit und Kostenoptimierung, mit dedizierten AWS-Engineers oder Projektlieferung.
Google-Cloud-Entwicklung
Services für Google-Cloud-Entwicklung: Cloud Run und GKE, BigQuery, Firebase-Backends, Cloud SQL und AlloyDB, Gemini auf der Agent Platform, Sicherheit und Migrationen, mit dedizierten Google-Cloud-Engineers oder Projektlieferung.
Kubernetes-Beratung
Kubernetes-Beratung und -Entwicklung: Cluster auf EKS, AKS, GKE und On-Premises, Helm, GitOps mit Argo CD oder Flux, Cluster-Sicherheit, Upgrades und GPU-Workloads, mit dedizierten Kubernetes-Engineers oder Projektlieferung.
DevOps und CI/CD
Services für DevOps und CI/CD: Pipelines, Terraform als Infrastructure as Code, Observability, SRE und Bereitschaftsdienst, DevSecOps, Platform Engineering und FinOps, mit dedizierten DevOps- und SRE-Engineers oder laufender DevOps-Arbeit.
IT-Infrastruktur
Services für IT-Infrastruktur und Systemadministration: Windows- und Linux-Server, Netzwerke, Microsoft 365 und Entra ID, Virtualisierung, Backups und Telekommunikation, mit dedizierten Systemadministratoren oder laufendem Support.
Site Reliability Engineering
Services für Site Reliability Engineering: SLOs, Observability mit OpenTelemetry, Bereitschaftsdienst und Incident-Management, Lasttests, Disaster Recovery und Chaos Engineering, mit dedizierten SRE-Engineers oder Projektlieferung.
Platform Engineering
Services für Platform Engineering: interne Entwicklerplattformen, Backstage-Portale, Golden Paths und Templates, Self-Service-Infrastruktur und Kubernetes-Plattformen, mit dedizierten Platform Engineers oder Projektlieferung.
Cloud-Architektur
Services für Cloud-Architektur und -Beratung: Entwürfe für AWS, Azure und Google Cloud, Migrationspläne, Landing Zones, Well-Architected-Reviews, Resilienz und Kosten, mit dedizierten Cloud-Architekten oder Projektlieferung.
FinOps
Services für FinOps und Cloud-Kostenoptimierung: Kostenzuordnung, Rightsizing, Savings Plans und Reservierungen, Kubernetes-, Daten- und KI-Kosten, Budgets und Anomalie-Alerts, mit dedizierten FinOps-Engineers oder Projektlieferung.
Terraform und IaC
Services für Terraform und Infrastructure as Code: Terraform- und OpenTofu-Module, Importe, Pipelines für Plan und Apply, Drift-Kontrolle, Policy as Code und Ansible, mit dedizierten Terraform-Engineers oder Projektlieferung.
Linux-Administration
Services für Linux-Administration: Server mit Ubuntu, Debian, RHEL, Rocky Linux und AlmaLinux, eingerichtet, gepatcht, gehärtet, überwacht und gesichert, sowie Upgrades bei Ende des Supports, mit dedizierten Linux-Administratoren oder laufendem Support.
Netzwerktechnik
Services für Netzwerktechnik: Routing und Switching, Firewalls, SD-WAN und Zero-Trust-Zugriff, Cloud-Netzwerke, WLAN und Automatisierung auf Cisco, Juniper und Fortinet, mit dedizierten Netzwerktechnikern oder Projektlieferung.
Cloud-Sicherheit
Services für Cloud-Sicherheit: CSPM und CNAPP, IAM-Reviews, Kubernetes-Sicherheit, Netzwerk- und Datenschutz sowie Cloud-Compliance auf AWS, Azure und Google Cloud, mit dedizierten Cloud-Security-Engineers oder Projektlieferung.
SOC und Sicherheitsüberwachung
SOC as a Service und Sicherheitsüberwachung: Managed SOC, SIEM-Einführung, Anbindung von Logs, Detection Engineering, EDR, Threat Hunting und Incident-Response-Retainer, mit dedizierten SOC-Analysten oder laufender Überwachung.
Sicherheits-Compliance
Sicherheits-Compliance und Audit-Bereitschaft: Kontrollen für ISO 27001, SOC 2, DSGVO, PCI DSS, HIPAA, NIS2 und DORA, Gap-Analysen und Audit-Nachweise, mit dedizierten Compliance-Engineers oder einem Projekt zur Audit-Vorbereitung.
Fragen zu Cybersicherheit und Penetrationstests
In welchen Branchen arbeiten Ihre Security Engineers?
Überwiegend Unternehmen mit Cybersicherheitsprodukten, bei Erkennungsinhalten, Produkttests und Sicherheitsforschung; Fintech und Banken unter PCI DSS und DORA; Industrie- und Energieunternehmen, die Steuerungsnetze von der Büro-IT trennen; E-Commerce, der Checkout und Kundenkonten schützt; SaaS-Unternehmen, die sich auf SOC-2-Audits und Sicherheitsprüfungen ihrer Kunden vorbereiten; sowie Hosting- und Telekommunikationsanbieter und Systeme des öffentlichen Sektors.
Was enthält ein Penetrationstest-Bericht?
Eine Zusammenfassung für das Management, dann jede Feststellung mit ihrem CVSS-Schweregrad, dem betroffenen System, den Schritten zur Reproduktion, den Belegen und einer empfohlenen Korrektur. Nachdem Ihr Team die Korrekturen ausgespielt hat, hält ein Nachtest fest, welche Feststellungen geschlossen sind.
Können Sie uns nach ISO 27001 oder SOC 2 zertifizieren?
Die Zertifizierung stellt eine akkreditierte Zertifizierungsstelle aus, einen SOC-2-Bericht eine unabhängige Prüfgesellschaft, sodass kein Lieferant beides versprechen kann. Wir übernehmen die technische Seite: Wir setzen die Kontrollen um, die der Auditor prüfen wird, beheben die Lücken, die ein Readiness-Review findet, und halten die Nachweise exportbereit.
Stört das Testen unsere Produktivsysteme?
Standardmäßig nicht. Getestet wird gegen Staging, wo es eines gibt. Wo die Produktion getestet werden muss, geschieht das in einem vereinbarten Zeitfenster, mit vereinbarter Rate, ohne zerstörerische Payloads und mit einem benannten Ansprechpartner auf jeder Seite.
Wie schnell können Security Engineers und Penetrationstester starten?
Steht für die Position Security Engineer eine passende Person zur Verfügung, hängt der Start nur von Ihrem Interview sowie von NDA und IP-Übertragung ab. Andernfalls starten wir eine Suche, die typischerweise innerhalb von zwei bis drei Wochen Kandidatenprofile liefert, und niemand beginnt, bevor Sie zugestimmt haben.
Wie stellen wir Security Engineers und Penetrationstester über BigTree108 ein?
Nennen Sie uns die Aufgabe, die Seniorität und die benötigten Stunden. Wir schlagen ein oder zwei Personen mit ihren Profilen vor, Sie führen die Interviews so, wie Sie Ihre eigene Neueinstellung interviewen würden, unterzeichnen einen Vertrag mit BIG TREE 108 LLC und erhalten eine Rechnung im Monat.
Wem gehören die Arbeitsergebnisse?
Sie. Jeder Spezialist hat einen unterzeichneten Vertrag mit BigTree108, der alle Arbeitsergebnisse dem Unternehmen überträgt, und unser Vertrag mit Ihnen überträgt sie an Sie weiter. Code, Designs und Dokumente werden in Ihre eigenen Repositories und Tools geliefert und nicht dort aufbewahrt, wo nur wir sie ändern können.
Brauchen Sie einen Penetrationstest oder Security Engineers?
Sagen Sie uns, welche Systeme im Umfang sind, wo sie laufen und auf welchen Audit-Termin Sie hinarbeiten. Sie erhalten innerhalb eines Werktags eine Antwort: einen vorgeschlagenen Umfang, einen Testplan oder Kandidatenprofile.