Naar de inhoud
BigTree108

Diensten voor cybersecurity en penetratietests

Diensten voor cybersecurity en penetratietests: penetratietests van web- en mobiele applicaties, API’s, netwerken en cloudaccounts, applicatiebeveiliging en secure code review, cloud security posture, securitymonitoring en incidentrespons, en de technische kant van ISO 27001, SOC 2 en PCI DSS, met dedicated security engineers en penetratietesters voor uw team.

Beveiligingsdiensten die wij leveren

  • Penetratietests van webapplicaties

    Authenticatie, sessies, toegangsbeheer, bedrijfslogica en injectie met de hand getest volgens de OWASP Web Security Testing Guide, met geautomatiseerd scannen als startpunt in plaats van als resultaat.

  • Penetratietests van mobiele apps en API’s

    iOS- en Android-apps getest volgens de OWASP MASVS, en REST-, GraphQL- en gRPC-API’s volgens de OWASP API Security Top 10: autorisatie op objectniveau, mass assignment, rate limits en tokens die hun doel overleven.

  • Penetratietests van netwerken en Active Directory

    Tests van de externe perimeter en het interne netwerk, aanvalspaden in Active Directory en Entra ID in kaart gebracht met BloodHound, wifitests, en phishingsimulaties wanneer u erom vraagt, elk uitgevoerd onder schriftelijke toestemming.

  • Applicatiebeveiliging en secure code review

    Threat models voor nieuwe functies, handmatige review van de code voor authenticatie, autorisatie en gegevensverwerking, statische analyse in CodeQL of Semgrep, afgesteld totdat ontwikkelaars de bevindingen vertrouwen, en secure-codingtraining op basis van de problemen in uw eigen code.

  • Cloud security posture

    AWS-, Azure- en Google Cloud-accounts voortdurend gecontroleerd met Security Hub, Defender for Cloud, Security Command Center, Prowler of Wiz op publieke opslag, te ruime rollen, langlevende sleutels en uitgeschakelde logging, met de oplossingen geschreven als infrastructure as code.

  • Securitymonitoring en SOC

    Logs uit cloud, identiteit, endpoints en applicaties verzameld in Microsoft Sentinel, Splunk, Elastic Security of Wazuh, detectieregels gekoppeld aan MITRE ATT&CK, EDR op elk apparaat, en meldingen beoordeeld door analisten volgens een rooster dat u afspreekt.

  • Incidentrespons

    Beperking van de schade, bewijs bewaard voor forensisch onderzoek, de oorzaak gevonden en systemen hersteld uit schone back-ups, daarna een schriftelijk rapport en de detectie die het eerder had opgemerkt. Tabletop-oefeningen testen het plan voordat het nodig is.

  • Compliance-automatisering

    De technische kant van ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 en DORA: beheersmaatregelen ingebouwd in uw systemen, bewijs daaruit automatisch verzameld via Vanta, Drata of uw eigen scripts, en toegangsreviews, back-ups en wijzigingsbeheer aangetoond met registraties in plaats van screenshots.

  • Hardening

    Servers, containers, clusters en laptops gebracht naar CIS Benchmarks en industriële besturingsnetwerken gesegmenteerd in IEC 62443-zones, met instellingen die via code worden toegepast en volgens een schema worden gecontroleerd zodat ze niet terugdriften.

security engineers en penetratietesters inhuren

  • Dedicated security engineers en penetratietesters

    Security engineers en penetratietesters die fulltime bij uw team komen, in uw tools en volgens uw proces werken en aan uw lead rapporteren. U interviewt hen; wij dragen het Oekraïense contract, de salarisadministratie, de facturatie en het verlof.

  • Projecten voor Security engineering

    Een afgebakend project voor security engineering met een scope, een vast plan en een vaste lead aan onze kant die het resultaat bewaakt en de voortgang in uw kanalen rapporteert.

  • security engineering als doorlopende dienst

    Doorlopend Security engineering: elke maand dezelfde mensen, een backlog waarvan u de prioriteiten bepaalt, en uren die u in ons portaal en op de factuur kunt zien.

De pagina dedicated team legt uit hoe specialisten bij uw team komen, en de pagina outsourcing behandelt projectoplevering, overnames en hoe wij rekenen.

Wie zich met uw security engineering bezighoudt

  • Penetratietesters

    Tests van web, mobiel, API, netwerk en cloud

  • Applicatiebeveiligingsengineers

    Secure code review, threat models en pipelinescans

  • Cloudbeveiligingsengineers

    Posture, identiteit en oplossingen als infrastructure as code

  • SOC-analisten en incident responders

    Detectie, triage en respons

  • Compliance-engineers

    ISO 27001-, SOC 2- en PCI DSS-maatregelen en -bewijs

Hoe wij aan beveiliging werken

Elke test begint met een schriftelijke afbakening: welke systemen en accounts, welke uren, wie te bellen als er iets kapotgaat, en schriftelijke toestemming van de eigenaar van elk systeem. Testen draaien waar mogelijk tegen staging, elke bevinding wordt gerapporteerd met de ernst, een reproductie en een oplossing, en een hertest na de oplossingen bevestigt dat elke bevinding is gesloten.

Bevindingen worden opgelost waar ze zitten: codewijzigingen door ontwikkelaars, cloud- en netwerkwijzigingen als infrastructure as code, en voor elk een regressietest of een detectieregel, zodat een gesloten bevinding gesloten blijft. Aan onze eigen systemen stellen wij dezelfde eisen: onze laptops worden gecontroleerd door een agent die wij in Rust hebben geschreven, tegen onze beveiligingsbaseline, op Windows, macOS en Ubuntu, met controles die zijn gekoppeld aan ISO 27001, CIS, Cyber Essentials, Essential Eight en SOC 2.

Andere diensten voor cloud, DevOps en beveiliging

Overzicht van Cloud, DevOps en beveiliging

Vragen over cybersecurity en penetratietests

In welke sectoren werken uw security engineers?

Vooral cybersecurityproductbedrijven, op het gebied van detectiecontent, producttests en securityonderzoek; fintech en bankieren, onder PCI DSS en DORA; industriële en energiebedrijven, waar besturingsnetwerken van kantoor-IT worden gescheiden; e-commerce, ter bescherming van de checkout en klantaccounts; SaaS-bedrijven die zich voorbereiden op SOC 2-audits en securityreviews van klanten; en hosting- en telecomproviders en systemen van de publieke sector.

Wat staat er in een penetratietestrapport?

Een samenvatting voor het management, daarna elke bevinding met de CVSS-ernst, het getroffen systeem, de stappen om het te reproduceren, het bewijs en een aanbevolen oplossing. Nadat uw team de oplossingen heeft uitgerold, legt een hertest vast welke bevindingen zijn gesloten.

Kunt u ons ISO 27001- of SOC 2-gecertificeerd krijgen?

Certificering wordt afgegeven door een geaccrediteerde certificerende instelling, en een SOC 2-rapport door een onafhankelijk auditkantoor, dus geen enkele leverancier kan het een of het ander beloven. Wij doen de technische kant: de maatregelen implementeren die de auditor gaat testen, de hiaten dichten die een gereedheidsbeoordeling vindt, en het bewijs klaar houden om te exporteren.

Verstoort het testen onze productiesystemen?

Niet standaard. Testen draait tegen staging waar die bestaat. Waar productie getest moet worden, gebeurt dat in een afgesproken tijdvenster, met een afgesproken tempo, zonder destructieve payloads en met een genoemde contactpersoon aan beide kanten.

Hoe snel kunnen security engineers en penetratietesters beginnen?

Als de juiste security engineer beschikbaar is, hangt de start alleen af van uw interview en de NDA en IP-overdracht. Anders voeren wij een zoektocht uit, die doorgaans binnen twee tot drie weken kandidaatprofielen oplevert, en niemand begint voordat u ja hebt gezegd.

Hoe huren we security engineers en penetratietesters in via BigTree108?

Vertel ons over het werk, het senioriteitsniveau en de uren die u nodig hebt. Wij stellen een of twee mensen voor met hun profielen, u interviewt hen zoals u uw eigen medewerker zou interviewen, en u tekent één overeenkomst met BIG TREE 108 LLC en ontvangt één factuur per maand.

Wie is eigenaar van het werk dat zij opleveren?

U. Elke specialist heeft een getekend contract met BigTree108 dat alle werkresultaten aan het bedrijf toewijst, en onze overeenkomst met u draagt ze verder aan u over. Code, ontwerpen en documenten worden geleverd in uw eigen repositories en tools, en niet bewaard op een plek waar alleen wij ze kunnen wijzigen.

Heeft u een penetratietest of security engineers nodig?

Vertel ons welke systemen binnen de scope vallen, waar ze draaien en naar welke auditdatum u toewerkt. U krijgt binnen één werkdag antwoord: een voorgestelde scope, een testplan, of kandidaatprofielen.

E-mail hello@bigtree108.comHoe wij reageren