Kyberturvallisuus- ja tunkeutumistestauspalvelut
Kyberturvallisuus- ja tunkeutumistestauspalvelut: verkko- ja mobiilisovellusten, rajapintojen, verkkojen ja pilvitilien tunkeutumistestit, sovellusten tietoturva ja turvallinen koodikatselmointi, pilven tietoturva-asento, tietoturvaseuranta ja häiriöihin reagointi sekä ISO 27001:n, SOC 2:n ja PCI DSS:n tekninen puoli. Tarjolla omat tietoturvainsinöörit ja tunkeutumistestaajat tiimillenne.
Tarjoamamme tietoturvapalvelut
Verkkosovellusten tunkeutumistestit
Todennus, istunnot, pääsynhallinta, liiketoimintalogiikka ja injektiot testataan käsin OWASP Web Security Testing Guiden mukaan, ja automaattinen skannaus on lähtökohta eikä tulos.
Mobiili- ja rajapintatestit
iOS- ja Android-sovellukset testataan OWASP MASVS:ää vastaan sekä REST-, GraphQL- ja gRPC-rajapinnat OWASP API Security Top 10:tä vastaan: objektitason valtuutus, mass assignment, käyttörajat ja tunnisteet, jotka elävät tarkoitustaan pidempään.
Verkon ja Active Directoryn tunkeutumistestit
Ulkoisen kehän ja sisäisen verkon testit, Active Directoryn ja Entra ID:n hyökkäyspolut kartoitettuna BloodHoundilla, Wi-Fi-testaus ja tietojenkalastelusimulaatiot pyynnöstänne, jokainen ajettuna kirjallisella valtuutuksella.
Sovellusten tietoturva ja turvallinen koodikatselmointi
Uhkamallit uusille ominaisuuksille, todennus-, valtuutus- ja tietojenkäsittelykoodin manuaalinen katselmointi, staattinen analyysi CodeQL:llä tai Semgrepillä viritettynä, kunnes kehittäjät luottavat sen havaintoihin, sekä turvallisen koodauksen koulutus, joka perustuu teidän omasta koodistanne löytyneisiin ongelmiin.
Pilven tietoturva-asento
AWS-, Azure- ja Google Cloud -tilit tarkistetaan jatkuvasti Security Hubilla, Defender for Cloudilla, Security Command Centerillä, Prowlerilla tai Wizillä julkisen tallennustilan, liian laajojen roolien, pitkäikäisten avainten ja poiskytketyn lokituksen osalta, ja korjaukset kirjoitetaan infrastruktuurina koodina.
Tietoturvaseuranta ja SOC
Lokit pilvestä, identiteeteistä, päätelaitteista ja sovelluksista kerätään Microsoft Sentineliin, Splunkiin, Elastic Securityyn tai Wazuhiin, tunnistussäännöt kartoitetaan MITRE ATT&CK:iin, EDR on jokaisella laitteella ja analyytikot luokittelevat hälytykset sovitussa vuorossa.
Häiriöihin reagointi
Rajaus, todisteiden säilytys forensiikkaa varten, juurisyyn selvitys ja järjestelmien palautus puhtaista varmuuskopioista, minkä jälkeen kirjallinen raportti ja tunnistus, joka olisi huomannut asian aikaisemmin. Pöytäharjoitukset testaavat suunnitelman ennen kuin sitä tarvitaan.
Vaatimustenmukaisuuden automaatio
ISO 27001:n, SOC 2:n, PCI DSS:n, HIPAAn, NIS2:n ja DORAn tekninen puoli: kontrollit rakennetaan järjestelmiinne, todisteet kerätään niistä automaattisesti Vantalla, Dratalla tai omilla skripteillänne, ja pääsytarkistukset, varmuuskopiot ja muutoshallinta todistetaan tallenteista eikä kuvakaappauksista.
Koventaminen
Palvelimet, kontit, klusterit ja kannettavat saatetaan CIS Benchmarks -tasolle ja teollisuuden ohjausverkot segmentoidaan IEC 62443 -vyöhykkeisiin, ja asetukset otetaan käyttöön koodilla ja tarkistetaan ajastetusti, jotta ne eivät palaa entiselleen.
Palkatkaa tietoturvainsinöörit ja tunkeutumistestaajat
Dedikoidut tietoturvainsinöörit ja tunkeutumistestaajat
Tietoturvainsinöörit ja tunkeutumistestaajat liittyvät tiimiinne kokoaikaisesti, työskentelevät teidän työkaluillanne ja prosessissanne ja raportoivat teidän vetäjällenne. Te haastattelette heidät, ja me vastaamme ukrainalaisesta sopimuksesta, palkanmaksusta, laskutuksesta ja lomista.
Projektit: Tietoturvainsinöörityö
tietoturvainsinöörityö rajattuna kokonaisuutena: sovittu laajuus, kiinteä suunnitelma ja meidän puolellamme nimetty vetäjä, joka vastaa tuloksesta ja raportoi edistymisestä teidän kanavissanne.
Jatkuva tietoturvainsinöörityö
Tietoturvainsinöörityö jatkuvana palveluna: samat ihmiset joka kuukausi, backlog, jonka priorisoitte itse, ja tunnit, jotka näette portaalissamme ja laskulla.
Dedikoitu tiimi -sivu selittää, miten asiantuntijat liittyvät tiimiinne, ja ulkoistussivu kattaa projektitoimituksen, haltuunotot ja hinnoittelumme.
Ketkä työskentelevät kanssanne: tietoturvainsinöörityö
Tunkeutumistestaajat
Web-, mobiili-, rajapinta-, verkko- ja pilvitestaus
Sovellusturvallisuusinsinöörit
Turvallinen koodikatselmointi, uhkamallit ja putkiskannaus
Pilven tietoturvainsinöörit
Tietoturva-asento, identiteetti ja korjaukset infrastruktuurina koodina
SOC-analyytikot ja häiriöihin reagoijat
Tunnistus, luokittelu ja reagointi
Vaatimustenmukaisuusinsinöörit
ISO 27001-, SOC 2- ja PCI DSS -kontrollit ja todisteet
Miten työskentelemme tietoturvan parissa
Jokainen testi alkaa kirjallisesta rajauksesta: mitkä järjestelmät ja tilit, mitkä tunnit, keneen otetaan yhteyttä, jos jokin menee rikki, ja kunkin järjestelmän omistajan kirjallinen valtuutus. Testaus ajetaan staging-ympäristöä vastaan, kun se on mahdollista, jokainen havainto raportoidaan vakavuuden, toistotavan ja korjauksen kanssa, ja korjausten jälkeinen uusintatesti vahvistaa kunkin suljetuksi.
Havainnot korjataan siellä, missä ne elävät: koodimuutokset kehittäjien toimesta, pilvi- ja verkkomuutokset infrastruktuurina koodina sekä jokaiselle regressiotesti tai tunnistussääntö, jotta suljettu havainto pysyy suljettuna. Vaadimme omilta järjestelmiltämme saman standardin: kannettavat tietokoneemme tarkistetaan itse kirjoittamallamme Rust-agentilla turvallisuuspohjaamme vasten Windows-, macOS- ja Ubuntu-ympäristöissä, ja tarkistukset on yhdistetty standardeihin ISO 27001, CIS, Cyber Essentials, Essential Eight ja SOC 2.
Muut pilvi-, DevOps- ja tietoturvapalvelut
AWS-kehitys
AWS-kehityspalvelut: EKS- ja ECS-kontit, serverless, landing zone -ympäristöt, migraatiot, tietokannat, dataplatformit, Bedrock-generatiivinen tekoäly, tietoturva ja kustannusoptimointi, dedikoiduilla AWS-insinööreillä tai projektitoimituksena.
Google Cloud -kehitys
Google Cloud -kehityspalvelut: Cloud Run ja GKE, BigQuery, Firebase-taustajärjestelmät, Cloud SQL ja AlloyDB, Gemini Agent Platformilla, tietoturva ja migraatiot, dedikoiduilla Google Cloud -insinööreillä tai projektitoimituksena.
Kubernetes-konsultointi
Kubernetes-konsultointi ja -kehitys: klusterit EKS:ssä, AKS:ssä, GKE:ssä ja omissa tiloissa, Helm, GitOps Argo CD:llä tai Fluxilla, klusterin tietoturva, päivitykset ja GPU-kuormat, dedikoiduilla Kubernetes-insinööreillä tai projektitoimituksena.
DevOps ja CI/CD
DevOps- ja CI/CD-palvelut: putket, Terraform-infrastruktuuri koodina, observability, SRE ja päivystys, DevSecOps, platform engineering ja FinOps, dedikoiduilla DevOps- ja SRE-insinööreillä tai jatkuvana DevOps-työnä.
IT-infrastruktuuri
IT-infrastruktuurin ja järjestelmänhallinnan palvelut: Windows- ja Linux-palvelimet, verkot, Microsoft 365 ja Entra ID, virtualisointi, varmuuskopiot ja telekommunikaatio, dedikoiduilla järjestelmänvalvojilla tai jatkuvana tukena.
Site reliability engineering
Site reliability engineering -palvelut: SLO:t, OpenTelemetry-observability, päivystys ja häiriöiden hallinta, kuormitustestaus, katastrofipalautus ja chaos engineering, dedikoiduilla SRE-insinööreillä tai projektitoimituksena.
Platform engineering
Platform engineering -palvelut: sisäiset kehittäjäalustat, Backstage-portaalit, golden pathit ja pohjat, itsepalveluinfrastruktuuri ja Kubernetes-alustat, dedikoiduilla platform-insinööreillä tai projektitoimituksena.
Pilviarkkitehtuuri
Pilviarkkitehtuurin ja -konsultoinnin palvelut: suunnitelmat AWS:lle, Azurelle ja Google Cloudille, migraatiosuunnitelmat, landing zone -ympäristöt, Well-Architected-katselmoinnit, resilienssi ja kustannukset, dedikoiduilla pilviarkkitehdeilla tai projektitoimituksena.
FinOps
FinOps- ja pilvikustannusten optimoinnin palvelut: kustannusten kohdistus, oikea mitoitus, savings planit ja varaukset, Kubernetes-, data- ja tekoälykustannukset, budjetit ja poikkeamahälytykset, dedikoiduilla FinOps-insinööreillä tai projektitoimituksena.
Terraform ja IaC
Terraform- ja infrastruktuuri koodina -palvelut: Terraform- ja OpenTofu-moduulit, tuonnit, plan- ja apply-putket, poikkeamien hallinta, policy as code ja Ansible, dedikoiduilla Terraform-insinööreillä tai projektitoimituksena.
Linux-ylläpito
Linux-ylläpitopalvelut: Ubuntu-, Debian-, RHEL-, Rocky Linux- ja AlmaLinux-palvelimet asennettuina, päivitettyinä, kovennettuina, valvottuina ja varmuuskopioituina sekä elinkaaren päättyvien järjestelmien päivitykset, dedikoiduilla Linux-ylläpitäjillä tai jatkuvana tukena.
Tietoverkkotekniikka
Tietoverkkotekniikan palvelut: reititys ja kytkentä, palomuurit, SD-WAN ja zero-trust-pääsy, pilviverkot, Wi-Fi ja automaatio alustoilla Cisco, Juniper ja Fortinet, dedikoiduilla verkkoinsinööreillä tai projektitoimituksena.
Pilvitietoturva
Pilvitietoturvapalvelut: CSPM ja CNAPP, IAM-katselmoinnit, Kubernetes-tietoturva, verkko- ja datasuojaus sekä pilven vaatimustenmukaisuus AWS:ssä, Azuressa ja Google Cloudissa, dedikoiduilla pilvitietoturvainsinööreillä tai projektitoimituksena.
SOC ja tietoturvan valvonta
SOC palveluna ja tietoturvan valvonta: hallinnoitu SOC, SIEM-käyttöönotto, lokien liittäminen, tunnistussääntöjen kehitys (detection engineering), EDR, uhkien metsästys ja häiriötilanteiden hallinnan retainer-sopimukset, dedikoiduilla SOC-analyytikoilla tai jatkuvalla valvonnalla.
Tietoturvan vaatimustenmukaisuus
Tietoturvan vaatimustenmukaisuus ja auditointivalmius: kontrollit standardeille ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 ja DORA, aukkoanalyysit ja auditointitodisteet, dedikoiduilla vaatimustenmukaisuusinsinööreillä tai valmiusprojektina.
Kysymyksiä kyberturvallisuudesta ja tunkeutumistestauksesta
Millä toimialoilla tietoturvainsinöörinne työskentelevät?
Pääosin kyberturvatuoteyrityksissä tunnistussisällön, tuotetestauksen ja tietoturvatutkimuksen parissa; fintechissä ja pankkitoiminnassa PCI DSS:n ja DORAn alaisena; teollisuus- ja energiayrityksissä, jotka erottavat ohjausverkot toimisto-IT:stä; verkkokaupassa, jossa suojataan kassa ja asiakastilit; SaaS-yrityksissä, jotka valmistautuvat SOC 2 -auditointeihin ja asiakkaiden tietoturvatarkastuksiin; sekä hosting- ja telekommunikaatiopalveluntarjoajissa ja julkisen sektorin järjestelmissä.
Mitä tunkeutumistestin raportti sisältää?
Yhteenvedon johdolle ja sen jälkeen jokaisen havainnon CVSS-vakavuuden, kohteena olevan järjestelmän, toistovaiheet, todisteet ja suositellun korjauksen. Kun tiiminne on julkaissut korjaukset, uusintatesti kirjaa, mitkä havainnot on suljettu.
Voitteko auttaa meitä saamaan ISO 27001- tai SOC 2 -sertifikaatin?
Sertifikaatin myöntää akkreditoitu sertifiointilaitos ja SOC 2 -raportin riippumaton tilintarkastusyhtiö, joten mikään toimittaja ei voi luvata kumpaakaan. Hoidamme teknisen puolen: toteutamme kontrollit, joita auditoija testaa, korjaamme aukot, jotka valmiustarkistus löytää, ja pidämme todisteet valmiina vietäviksi.
Häiritseekö testaus tuotantojärjestelmiämme?
Ei oletuksena. Testaus ajetaan staging-ympäristöä vastaan, jos sellainen on. Kun tuotantoa on testattava, se tehdään sovitussa ikkunassa, sovitulla tahdilla, ilman tuhoavia kuormia ja nimetyllä yhteyshenkilöllä kummallakin puolella.
Kuinka nopeasti tietoturvainsinöörit ja tunkeutumistestaajat voivat aloittaa?
Kun sopiva tietoturvainsinööri on saatavilla, aloitus riippuu vain teidän haastattelustanne sekä salassapitosopimuksesta (NDA) ja immateriaalioikeuksien siirrosta. Muussa tapauksessa teemme haun, joka tuottaa yleensä ehdokasprofiileja kahden tai kolmen viikon kuluessa, eikä kukaan aloita ennen kuin olette hyväksyneet.
Miten palkataan tietoturvainsinöörit ja tunkeutumistestaajat BigTree108:n kautta?
Kertokaa meille työstä, kokemustasosta ja tarvitsemistanne tunneista. Ehdotamme yhtä tai kahta henkilöä profiileineen, te haastattelette heidät samoin kuin haastattelisitte oman rekrytointinne, ja allekirjoitatte yhden sopimuksen BIG TREE 108 LLC:n kanssa ja saatte yhden laskun kuukaudessa.
Kenelle heidän tuottamansa työ kuuluu?
Teille. Jokaisella asiantuntijalla on BigTree108:n kanssa allekirjoitettu sopimus, jossa kaikki työn tulokset siirretään yhtiölle, ja meidän sopimuksemme teidän kanssanne siirtää ne edelleen teille. Koodi, suunnitelmat ja dokumentit toimitetaan teidän omiin repositorioihinne ja työkaluihinne, eikä niitä säilytetä paikassa, jossa vain me voimme muuttaa niitä.
Tarvitsetteko tunkeutumistestin tai tietoturvainsinöörejä?
Kertokaa, mitkä järjestelmät kuuluvat rajaukseen, missä ne pyörivät ja mikä auditointipäivä on tavoitteenanne. Saatte vastauksen yhden arkipäivän kuluessa: ehdotetun rajauksen, testisuunnitelman tai kehittäjäprofiileja.