Servizi di cybersecurity e penetration test
Servizi di cybersecurity e penetration test: penetration test di applicazioni web e mobile, API, reti e account cloud, application security e revisione sicura del codice, postura di sicurezza del cloud, monitoraggio della sicurezza e incident response, e la parte tecnica di ISO 27001, SOC 2 e PCI DSS, con ingegneri della sicurezza e penetration tester dedicati per il Suo team.
I servizi di sicurezza che offriamo
Penetration test di applicazioni web
Autenticazione, sessioni, controllo degli accessi, logica applicativa e injection testati a mano secondo la OWASP Web Security Testing Guide, con la scansione automatica come punto di partenza e non come risultato.
Penetration test di app mobile e API
App iOS e Android testate rispetto all’OWASP MASVS, e API REST, GraphQL e gRPC rispetto all’OWASP API Security Top 10: autorizzazione a livello di oggetto, mass assignment, limiti di frequenza e token che sopravvivono al proprio scopo.
Penetration test di rete e Active Directory
Test del perimetro esterno e della rete interna, percorsi di attacco su Active Directory ed Entra ID mappati con BloodHound, test del Wi-Fi e simulazioni di phishing su richiesta, ciascuno eseguito con autorizzazione scritta.
Application security e revisione sicura del codice
Threat model per le nuove funzionalità, revisione manuale del codice di autenticazione, autorizzazione e gestione dei dati, analisi statica con CodeQL o Semgrep calibrata finché gli sviluppatori si fidano dei suoi risultati e formazione sulla programmazione sicura basata sui problemi trovati nel codice dell’azienda.
Postura di sicurezza del cloud
Account AWS, Azure e Google Cloud controllati in modo continuo con Security Hub, Defender for Cloud, Security Command Center, Prowler o Wiz alla ricerca di archiviazioni pubbliche, ruoli troppo ampi, chiavi di lunga durata e logging disattivato, con le correzioni scritte come infrastructure as code.
Monitoraggio della sicurezza e SOC
Log di cloud, identità, endpoint e applicazioni raccolti in Microsoft Sentinel, Splunk, Elastic Security o Wazuh, regole di rilevamento mappate su MITRE ATT&CK, EDR su ogni dispositivo e avvisi classificati dagli analisti secondo un turno concordato.
Incident response
Contenimento, prove conservate per l’analisi forense, individuazione della causa radice e sistemi ripristinati da backup integri, poi un report scritto e la regola di rilevamento che l’avrebbe intercettato prima. Le esercitazioni tabletop mettono alla prova il piano prima che serva.
Automazione della compliance
La parte tecnica di ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 e DORA: controlli integrati nei sistemi, evidenze raccolte automaticamente tramite Vanta, Drata o script propri e revisioni degli accessi, backup e change control dimostrati con registrazioni e non con screenshot.
Hardening
Server, container, cluster e portatili portati ai CIS Benchmarks e reti di controllo industriale segmentate in zone IEC 62443, con impostazioni applicate tramite codice e verificate a intervalli pianificati perché non tornino a deviare.
Ingaggiare ingegneri della sicurezza e penetration tester
ingegneri della sicurezza e penetration tester dedicati
Ingegneri della sicurezza e penetration tester che entrano a tempo pieno nel Suo team, lavorano con i Suoi strumenti e il Suo processo e rispondono al Suo responsabile. Li intervista Lei; noi ci occupiamo del contratto ucraino, delle buste paga, della fatturazione e delle ferie.
Progetti di Ingegneria della sicurezza
Un’attività di ingegneria della sicurezza ben definita, con un perimetro, un piano fisso e un responsabile nominato da parte nostra che risponde del risultato e riferisce sull’avanzamento nei Suoi canali.
ingegneria della sicurezza su base continuativa
Ingegneria della sicurezza come servizio continuativo: le stesse persone ogni mese, un backlog di cui Lei stabilisce le priorità e ore che può vedere nel nostro portale e in fattura.
La pagina sul team dedicato spiega come gli specialisti entrano nel Suo team, e la pagina sull’outsourcing tratta la realizzazione di progetti, le prese in carico e il modo in cui fatturiamo.
Chi si occupa di ingegneria della sicurezza per Lei
Penetration tester
Test di web, mobile, API, rete e cloud
Ingegneri di application security
Revisione sicura del codice, threat model e scansione delle pipeline
Ingegneri della sicurezza cloud
Postura, identità e correzioni come infrastructure as code
Analisti SOC e incident responder
Rilevamento, triage e risposta
Compliance engineer
Controlli ed evidenze ISO 27001, SOC 2 e PCI DSS
Come lavoriamo sulla sicurezza
Ogni test parte da un perimetro scritto: quali sistemi e account, in quali orari, chi chiamare se qualcosa si rompe e l’autorizzazione scritta del titolare di ciascun sistema. I test vengono eseguiti su staging ogni volta che è possibile, ogni rilievo è riportato con gravità, riproduzione e correzione, e un nuovo test dopo le correzioni conferma che ciascuna è chiusa.
I rilievi vengono corretti dove nascono: modifiche al codice da parte degli sviluppatori, modifiche a cloud e rete come infrastructure as code, e per ciascuno un test di regressione o una regola di rilevamento, così un rilievo chiuso resta chiuso. Applichiamo lo stesso standard ai nostri sistemi: i nostri laptop sono controllati da un agente che abbiamo scritto in Rust rispetto alla nostra baseline di sicurezza, su Windows, macOS e Ubuntu, con controlli mappati su ISO 27001, CIS, Cyber Essentials, Essential Eight e SOC 2.
Altri servizi di cloud, DevOps e sicurezza
Sviluppo AWS
Servizi di sviluppo AWS: container EKS ed ECS, serverless, landing zone, migrazioni, database, piattaforme di dati, AI generativa con Bedrock, sicurezza e ottimizzazione dei costi, con ingegneri AWS dedicati o realizzazione di progetti.
Sviluppo Google Cloud
Servizi di sviluppo Google Cloud: Cloud Run e GKE, BigQuery, backend Firebase, Cloud SQL e AlloyDB, Gemini su Agent Platform, sicurezza e migrazioni, con ingegneri Google Cloud dedicati o realizzazione di progetti.
Consulenza Kubernetes
Consulenza e sviluppo Kubernetes: cluster su EKS, AKS, GKE e on premises, Helm, GitOps con Argo CD o Flux, sicurezza dei cluster, aggiornamenti e carichi di lavoro GPU, con ingegneri Kubernetes dedicati o realizzazione di progetti.
DevOps e CI/CD
Servizi DevOps e CI/CD: pipeline, infrastructure as code con Terraform, observability, SRE e reperibilità, DevSecOps, platform engineering e FinOps, con ingegneri DevOps e SRE dedicati o attività DevOps continuative.
Infrastruttura IT
Servizi di infrastruttura IT e amministrazione di sistema: server Windows e Linux, reti, Microsoft 365 ed Entra ID, virtualizzazione, backup e telecomunicazioni, con amministratori di sistema dedicati o supporto continuativo.
Site reliability engineering
Servizi di site reliability engineering: SLO, observability con OpenTelemetry, reperibilità e gestione degli incidenti, load test, disaster recovery e chaos engineering, con ingegneri SRE dedicati o realizzazione di progetti.
Platform engineering
Servizi di platform engineering: internal developer platform, portali Backstage, golden path e template, infrastruttura self-service e piattaforme Kubernetes, con platform engineer dedicati o realizzazione di progetti.
Architettura cloud
Servizi di architettura e consulenza cloud: progetti per AWS, Azure e Google Cloud, piani di migrazione, landing zone, revisioni Well-Architected, resilienza e costi, con architetti cloud dedicati o realizzazione di progetti.
FinOps
Servizi di FinOps e ottimizzazione dei costi cloud: allocazione dei costi, rightsizing, savings plan e riserve, costi di Kubernetes, dati e AI, budget e avvisi di anomalia, con ingegneri FinOps dedicati o realizzazione di progetti.
Terraform e IaC
Servizi Terraform e infrastructure as code: moduli Terraform e OpenTofu, import, pipeline di plan e apply, controllo del drift, policy as code e Ansible, con ingegneri Terraform dedicati o realizzazione di progetti.
Amministrazione Linux
Servizi di amministrazione Linux: server Ubuntu, Debian, RHEL, Rocky Linux e AlmaLinux configurati, aggiornati con patch, protetti con hardening, monitorati e salvati in backup, e aggiornamenti per sistemi a fine vita, con amministratori Linux dedicati o supporto continuativo.
Network engineering
Servizi di network engineering: routing e switching, firewall, SD-WAN e accesso zero-trust, reti cloud, Wi-Fi e automazione su Cisco, Juniper e Fortinet, con network engineer dedicati o realizzazione di progetti.
Sicurezza del cloud
Servizi di sicurezza del cloud: CSPM e CNAPP, revisioni IAM, sicurezza di Kubernetes, protezione di rete e dati e conformità cloud su AWS, Azure e Google Cloud, con ingegneri della sicurezza cloud dedicati o realizzazione di progetti.
SOC e monitoraggio della sicurezza
SOC as a service e monitoraggio della sicurezza: SOC gestito, implementazione SIEM, onboarding dei log, detection engineering, EDR, threat hunting e retainer di incident response, con analisti SOC dedicati o monitoraggio continuativo.
Conformità di sicurezza
Conformità di sicurezza e preparazione agli audit: controlli ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 e DORA, gap assessment ed evidenze per l’audit, con ingegneri della conformità dedicati o un progetto di preparazione.
Domande su cybersecurity e penetration test
In quali settori lavorano i vostri ingegneri della sicurezza?
Soprattutto aziende di prodotti per la cybersecurity, su contenuti di rilevamento, test di prodotto e ricerca sulla sicurezza; fintech e banche, sotto PCI DSS e DORA; aziende industriali ed energetiche, che separano le reti di controllo dall’IT d’ufficio; e-commerce, a protezione di checkout e account dei clienti; aziende SaaS che si preparano agli audit SOC 2 e alle verifiche di sicurezza dei clienti; e provider di hosting e telecom e sistemi del settore pubblico.
Che cosa contiene il report di un penetration test?
Una sintesi per il management, poi ogni rilievo con la gravità CVSS, il sistema interessato, i passaggi per riprodurlo, le evidenze e una correzione raccomandata. Dopo che il Suo team ha applicato le correzioni, un nuovo test registra quali rilievi sono chiusi.
Potete farci ottenere la certificazione ISO 27001 o SOC 2?
La certificazione è rilasciata da un organismo di certificazione accreditato e un report SOC 2 da una società di revisione indipendente, quindi nessun fornitore può prometterli. Noi ci occupiamo della parte tecnica: implementiamo i controlli che l’auditor verificherà, correggiamo le lacune che una verifica di prontezza individua e teniamo le evidenze pronte per l’esportazione.
I test interromperanno i nostri sistemi di produzione?
Non per impostazione predefinita. I test vengono eseguiti su staging dove esiste. Dove occorre testare la produzione, ciò avviene in una finestra concordata, a una frequenza concordata, senza payload distruttivi e con un referente indicato per nome da ciascuna parte.
Con quale rapidità possono iniziare ingegneri della sicurezza e penetration tester?
Quando è disponibile il profilo giusto per il ruolo di ingegnere della sicurezza, l’avvio dipende soltanto dal Suo colloquio e dalla firma dell’NDA e della cessione della proprietà intellettuale. Altrimenti avviamo una ricerca, che di norma produce profili di candidati entro due o tre settimane, e nessuno inizia finché Lei non ha detto di sì.
Come ingaggiare ingegneri della sicurezza e penetration tester tramite BigTree108?
Ci indichi il lavoro, il livello di seniority e l’impegno orario necessario. Le proponiamo una o due persone con i rispettivi profili, Lei le intervista come farebbe con una Sua assunzione e firma un unico contratto con BIG TREE 108 LLC, ricevendo una sola fattura al mese.
A chi appartiene il lavoro che producono?
A Lei. Ogni specialista ha un contratto firmato con BigTree108 che cede all’azienda tutto il lavoro prodotto, e il nostro accordo con Lei lo cede a sua volta. Codice, design e documenti vengono consegnati nei Suoi repository e strumenti, non conservati dove solo noi possiamo modificarli.
Cerca un penetration test o ingegneri della sicurezza?
Ci indichi quali sistemi rientrano nel perimetro, dove girano e l’eventuale data di audit a cui sta lavorando. Riceverà una risposta entro un giorno lavorativo: un perimetro proposto, un piano di test oppure profili di candidati.