Tjenester for cybersikkerhet og penetrasjonstesting
Tjenester for cybersikkerhet og penetrasjonstesting: penetrasjonstester av web- og mobilapplikasjoner, API-er, nettverk og skykontoer, applikasjonssikkerhet og sikker kodegjennomgang, sikkerhetstilstand i skyen, sikkerhetsovervåking og hendelseshåndtering, og den tekniske siden av ISO 27001, SOC 2 og PCI DSS, med dedikerte sikkerhetsingeniører og penetrasjonstestere til teamet deres.
Sikkerhetstjenester vi leverer
Penetrasjonstester av webapplikasjoner
Autentisering, sesjoner, tilgangskontroll, forretningslogikk og injeksjon testet for hånd etter OWASP Web Security Testing Guide, med automatisk skanning som utgangspunkt og ikke som resultat.
Penetrasjonstester av mobilapper og API-er
iOS- og Android-apper testet mot OWASP MASVS, og REST-, GraphQL- og gRPC-API-er mot OWASP API Security Top 10: autorisasjon på objektnivå, mass assignment, hastighetsgrenser og tokens som lever lenger enn formålet.
Penetrasjonstester av nettverk og Active Directory
Tester av ytre perimeter og internt nettverk, angrepsveier i Active Directory og Entra ID kartlagt med BloodHound, testing av Wi-Fi og phishing-simuleringer når dere ber om dem, hver kjørt under skriftlig fullmakt.
Applikasjonssikkerhet og sikker kodegjennomgang
Trusselmodeller for nye funksjoner, manuell gjennomgang av koden for autentisering, autorisasjon og datahåndtering, statisk analyse i CodeQL eller Semgrep finjustert til utviklerne stoler på funnene, og opplæring i sikker koding bygget på feilene som er funnet i deres egen kode.
Sikkerhetstilstand i skyen
AWS-, Azure- og Google Cloud-kontoer kontrollert fortløpende med Security Hub, Defender for Cloud, Security Command Center, Prowler eller Wiz for offentlig lagring, for vide roller, langlivede nøkler og logging som er slått av, med rettelsene skrevet som infrastruktur som kode.
Sikkerhetsovervåking og SOC
Logger fra sky, identitet, endepunkter og applikasjoner samlet i Microsoft Sentinel, Splunk, Elastic Security eller Wazuh, deteksjonsregler knyttet til MITRE ATT&CK, EDR på hver enhet, og varsler sortert av analytikere etter en vaktplan dere avtaler.
Hendelseshåndtering
Inneslutning, bevis sikret for etterforskning, rotårsaken funnet og systemer gjenopprettet fra rene sikkerhetskopier, deretter en skriftlig rapport og deteksjonen som ville fanget det tidligere. Bordøvelser tester planen før den trengs.
Automatisering av compliance
Den tekniske siden av ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 og DORA: kontroller bygget inn i systemene deres, bevis samlet inn fra dem automatisk gjennom Vanta, Drata eller deres egne skript, og tilgangsgjennomganger, sikkerhetskopier og endringskontroll dokumentert fra registreringer i stedet for skjermbilder.
Herding
Servere, containere, klynger og bærbare maskiner brakt til CIS Benchmarks og industrielle kontrollnettverk segmentert i IEC 62443-soner, med innstillinger anvendt med kode og kontrollert etter en plan slik at de ikke glir tilbake.
Lei inn sikkerhetsingeniører og penetrasjonstestere
Dedikerte sikkerhetsingeniører og penetrasjonstestere
Sikkerhetsingeniører og penetrasjonstestere som blir en del av teamet deres på heltid, jobber i verktøyene og prosessen deres, og rapporterer til lederen deres. Dere intervjuer dem, og vi tar oss av den ukrainske kontrakten, lønn, fakturering og fravær.
Prosjekter innen Sikkerhetsutvikling
En avgrenset del av sikkerhetsutvikling med et omfang, en fast plan og en navngitt leder hos oss som eier resultatet og rapporterer fremdrift i kanalene deres.
Løpende sikkerhetsutvikling
Sikkerhetsutvikling som en løpende tjeneste: de samme menneskene hver måned, en backlog dere prioriterer, og timer dere kan se i portalen vår og på fakturaen.
Siden om dedikert team forklarer hvordan spesialister blir med i teamet deres, og siden om outsourcing dekker prosjektleveranse, overtakelser og hvordan vi priser.
Hvem som jobber med sikkerhetsutvikling for dere
Penetrasjonstestere
Testing av web, mobil, API, nettverk og sky
Ingeniører for applikasjonssikkerhet
Sikker kodegjennomgang, trusselmodeller og skanning i pipelinen
Ingeniører for skysikkerhet
Sikkerhetstilstand, identitet og rettelser som infrastruktur som kode
SOC-analytikere og hendelsesresponsører
Deteksjon, sortering og respons
Compliance-ingeniører
Kontroller og bevis for ISO 27001, SOC 2 og PCI DSS
Slik arbeider vi med sikkerhet
Hver test starter med et skriftlig omfang: hvilke systemer og kontoer, hvilke timer, hvem som skal ringes hvis noe går i stykker, og skriftlig fullmakt fra eieren av hvert system. Testingen kjører mot staging så sant det er mulig, hvert funn rapporteres med alvorlighetsgrad, en reproduksjon og en rettelse, og en ny test etter rettelsene bekrefter at hvert enkelt er lukket.
Funn rettes der de ligger: kodeendringer av utviklere, sky- og nettverksendringer som infrastruktur som kode, og en regresjonstest eller en deteksjonsregel for hvert, slik at et lukket funn forblir lukket. Vi holder våre egne systemer til samme standard: laptopene våre kontrolleres av en agent vi har skrevet i Rust mot sikkerhetsgrunnlaget vårt, på Windows, macOS og Ubuntu, med kontroller knyttet til ISO 27001, CIS, Cyber Essentials, Essential Eight og SOC 2.
Andre tjenester for sky, DevOps og sikkerhet
AWS-utvikling
AWS-utviklingstjenester: containere på EKS og ECS, serverless, landing zones, migreringer, databaser, dataplattformer, generativ AI med Bedrock, sikkerhet og kostnadsoptimalisering, med dedikerte AWS-ingeniører eller prosjektleveranse.
Google Cloud-utvikling
Google Cloud-utviklingstjenester: Cloud Run og GKE, BigQuery, Firebase-backend, Cloud SQL og AlloyDB, Gemini på Agent Platform, sikkerhet og migreringer, med dedikerte Google Cloud-ingeniører eller prosjektleveranse.
Kubernetes-rådgivning
Kubernetes-rådgivning og -utvikling: klynger på EKS, AKS, GKE og on-premises, Helm, GitOps med Argo CD eller Flux, klyngesikkerhet, oppgraderinger og GPU-arbeidslaster, med dedikerte Kubernetes-ingeniører eller prosjektleveranse.
DevOps og CI/CD
DevOps- og CI/CD-tjenester: pipelines, Terraform og infrastruktur som kode, observerbarhet, SRE og vaktordning, DevSecOps, platform engineering og FinOps, med dedikerte DevOps- og SRE-ingeniører eller løpende DevOps-arbeid.
IT-infrastruktur
Tjenester innen IT-infrastruktur og systemadministrasjon: Windows- og Linux-servere, nettverk, Microsoft 365 og Entra ID, virtualisering, sikkerhetskopiering og telekom, med dedikerte systemadministratorer eller løpende support.
Site reliability engineering
Tjenester innen site reliability engineering: SLO-er, observerbarhet med OpenTelemetry, vaktordning og hendelseshåndtering, lasttesting, katastrofegjenoppretting og chaos engineering, med dedikerte SRE-ingeniører eller prosjektleveranse.
Platform engineering
Tjenester innen platform engineering: interne utviklerplattformer, Backstage-portaler, golden paths og maler, selvbetjent infrastruktur og Kubernetes-plattformer, med dedikerte plattformingeniører eller prosjektleveranse.
Skyarkitektur
Tjenester innen skyarkitektur og rådgivning: arkitektur for AWS, Azure og Google Cloud, migreringsplaner, landing zones, Well-Architected-gjennomganger, robusthet og kostnader, med dedikerte skyarkitekter eller prosjektleveranse.
FinOps
Tjenester innen FinOps og kostnadsoptimalisering i skyen: kostnadsfordeling, rightsizing, savings plans og reservasjoner, Kubernetes-, data- og AI-kostnader, budsjetter og varsler om avvik, med dedikerte FinOps-ingeniører eller prosjektleveranse.
Terraform og IaC
Tjenester innen Terraform og infrastruktur som kode: Terraform- og OpenTofu-moduler, import av eksisterende ressurser, plan- og apply-pipelines, kontroll av konfigurasjonsavvik, policy as code og Ansible, med dedikerte Terraform-ingeniører eller prosjektleveranse.
Linux-administrasjon
Tjenester innen Linux-administrasjon: servere med Ubuntu, Debian, RHEL, Rocky Linux og AlmaLinux som settes opp, oppdateres, herdes, overvåkes og sikkerhetskopieres, samt oppgraderinger av versjoner som har nådd end of life, med dedikerte Linux-administratorer eller løpende support.
Nettverksteknikk
Tjenester innen nettverksteknikk: ruting og svitsjing, brannmurer, SD-WAN og zero trust-tilgang, skynettverk, Wi-Fi og automatisering på Cisco, Juniper og Fortinet, med dedikerte nettverksingeniører eller prosjektleveranse.
Skysikkerhet
Tjenester innen skysikkerhet: CSPM og CNAPP, IAM-gjennomganger, Kubernetes-sikkerhet, nettverks- og databeskyttelse samt compliance i skyen på AWS, Azure og Google Cloud, med dedikerte skysikkerhetsingeniører eller prosjektleveranse.
SOC og sikkerhetsovervåking
SOC som tjeneste og sikkerhetsovervåking: managed SOC, innføring av SIEM, tilkobling av loggkilder, detection engineering, EDR, threat hunting og beredskapsavtaler for hendelseshåndtering, med dedikerte SOC-analytikere eller løpende overvåking.
Sikkerhetsetterlevelse
Sikkerhets-compliance og revisjonsklarhet: kontroller for ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 og DORA, gap-analyser og revisjonsbevis, med dedikerte compliance-ingeniører eller et prosjekt for revisjonsklarhet.
Spørsmål om cybersikkerhet og penetrasjonstesting
Hvilke bransjer arbeider sikkerhetsingeniørene deres i?
Mest selskaper som lager cybersikkerhetsprodukter, med deteksjonsinnhold, produkttesting og sikkerhetsforskning; fintech og bank, under PCI DSS og DORA; industri- og energiselskaper, som skiller kontrollnettverk fra IT på kontoret; netthandel, som beskytter kasse og kundekontoer; SaaS-selskaper som forbereder seg på SOC 2-revisjoner og sikkerhetsgjennomganger fra kunder; og hosting- og telekomleverandører og offentlige systemer.
Hva inneholder en rapport fra en penetrasjonstest?
Et sammendrag for ledelsen, deretter hvert funn med CVSS-alvorlighetsgrad, det berørte systemet, trinnene for å reprodusere det, bevisene og en anbefalt rettelse. Etter at teamet deres har rullet ut rettelsene, registrerer en ny test hvilke funn som er lukket.
Kan dere få oss sertifisert etter ISO 27001 eller SOC 2?
Sertifiseringen utstedes av et akkreditert sertifiseringsorgan, og en SOC 2-rapport av et uavhengig revisjonsselskap, så ingen leverandør kan love noen av dem. Vi tar den tekniske siden: implementerer kontrollene revisoren vil teste, retter hullene en beredskapsgjennomgang finner, og holder bevisene klare til eksport.
Vil testingen forstyrre produksjonssystemene våre?
Ikke som standard. Testingen kjører mot staging der en finnes. Der produksjon må testes, skjer det i et avtalt tidsvindu, med en avtalt hastighet, uten destruktive nyttelaster og med en navngitt kontaktperson på hver side.
Hvor raskt kan sikkerhetsingeniører og penetrasjonstestere starte?
Når rett sikkerhetsingeniør er tilgjengelig, avhenger starten bare av intervjuet deres, NDA-en og IP-overdragelsen. Ellers gjennomfører vi et søk, som vanligvis gir kandidatprofiler innen to til tre uker, og ingen starter før dere har sagt ja.
Hvordan leier vi inn sikkerhetsingeniører og penetrasjonstestere gjennom BigTree108?
Fortell oss om arbeidet, erfaringsnivået og timene dere trenger. Vi foreslår én eller to personer med profilene deres, dere intervjuer dem slik dere ville intervjuet en egen ansatt, og dere signerer én avtale med BIG TREE 108 LLC og får én faktura i måneden.
Hvem eier arbeidet de leverer?
Det gjør dere. Hver spesialist har en signert kontrakt med BigTree108 som overdrar alt arbeidsresultat til selskapet, og avtalen vår med dere overdrar det videre til dere. Kode, design og dokumenter leveres inn i deres egne repositorier og verktøy, og oppbevares ikke der bare vi kan endre dem.
Trenger dere en penetrasjonstest eller sikkerhetsingeniører?
Fortell oss hvilke systemer som er omfattet, hvor de kjører og eventuelle revisjonsdatoer dere arbeider mot. Dere får svar innen én arbeidsdag: et foreslått omfang, en testplan eller kandidatprofiler.