Przejdź do treści
BigTree108

Usługi cyberbezpieczeństwa i testów penetracyjnych

Usługi cyberbezpieczeństwa i testów penetracyjnych: testy penetracyjne aplikacji internetowych i mobilnych, API, sieci i kont chmurowych, bezpieczeństwo aplikacji i bezpieczny przegląd kodu, stan bezpieczeństwa chmury, monitoring bezpieczeństwa i reagowanie na incydenty oraz techniczna strona ISO 27001, SOC 2 i PCI DSS, z dedykowanymi inżynierami bezpieczeństwa i pentesterami w Państwa zespole.

Usługi bezpieczeństwa, które świadczymy

  • Testy penetracyjne aplikacji internetowych

    Uwierzytelnianie, sesje, kontrola dostępu, logika biznesowa i wstrzykiwanie testowane ręcznie według OWASP Web Security Testing Guide, z automatycznym skanowaniem jako punktem wyjścia, a nie wynikiem.

  • Testy penetracyjne aplikacji mobilnych i API

    Aplikacje iOS i Android testowane według OWASP MASVS, a API REST, GraphQL i gRPC według OWASP API Security Top 10: autoryzacja na poziomie obiektów, mass assignment, limity zapytań i tokeny, które przeżywają swój cel.

  • Testy penetracyjne sieci i Active Directory

    Testy obwodu zewnętrznego i sieci wewnętrznej, ścieżki ataku na Active Directory i Entra ID mapowane w BloodHound, testy Wi-Fi oraz symulacje phishingu na życzenie, każde wykonywane na podstawie pisemnej zgody.

  • Bezpieczeństwo aplikacji i bezpieczny przegląd kodu

    Modele zagrożeń dla nowych funkcji, ręczny przegląd kodu uwierzytelniania, autoryzacji i obsługi danych, analiza statyczna w CodeQL lub Semgrep dostrajana, aż programiści zaufają jej ustaleniom, oraz szkolenia z bezpiecznego kodowania oparte na problemach znalezionych w Państwa własnym kodzie.

  • Stan bezpieczeństwa chmury

    Konta AWS, Azure i Google Cloud sprawdzane w sposób ciągły za pomocą Security Hub, Defender for Cloud, Security Command Center, Prowler lub Wiz pod kątem publicznych zasobów przechowywania, zbyt szerokich ról, długotrwałych kluczy i wyłączonego logowania, z poprawkami zapisanymi jako infrastruktura jako kod.

  • Monitoring bezpieczeństwa i SOC

    Logi z chmury, tożsamości, urządzeń końcowych i aplikacji zbierane w Microsoft Sentinel, Splunk, Elastic Security lub Wazuh, reguły detekcji zmapowane do MITRE ATT&CK, EDR na każdym urządzeniu oraz alerty segregowane przez analityków według grafiku, który Państwo uzgodnią.

  • Reagowanie na incydenty

    Powstrzymanie, zabezpieczenie dowodów dla analizy śledczej, znalezienie przyczyny źródłowej i przywrócenie systemów z czystych kopii zapasowych, a następnie pisemny raport i detekcja, która wychwyciłaby incydent wcześniej. Ćwiczenia tabletop sprawdzają plan, zanim będzie potrzebny.

  • Automatyzacja zgodności

    Techniczna strona ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 i DORA: mechanizmy kontrolne wbudowane w Państwa systemy, dowody zbierane z nich automatycznie przez Vanta, Drata lub Państwa własne skrypty oraz przeglądy dostępu, kopie zapasowe i kontrola zmian udowadniane zapisami, a nie zrzutami ekranu.

  • Hardening

    Serwery, kontenery, klastry i laptopy doprowadzone do CIS Benchmarks oraz sieci przemysłowych systemów sterowania segmentowane na strefy IEC 62443, z ustawieniami stosowanymi kodem i sprawdzanymi według harmonogramu, aby nie wracały do poprzedniego stanu.

Zatrudnienie: inżynierowie bezpieczeństwa i pentesterzy

  • Dedykowani inżynierowie bezpieczeństwa i pentesterzy

    Inżynierowie bezpieczeństwa i pentesterzy dołączają do Państwa zespołu na pełny etat, pracują w Państwa narzędziach i procesie oraz podlegają Państwa liderowi. Państwo przeprowadzają rozmowy kwalifikacyjne, a my bierzemy na siebie ukraińską umowę, wynagrodzenia, fakturowanie i urlopy.

  • Projekty: Inżynieria bezpieczeństwa

    Wydzielona część prac w obszarze „inżynieria bezpieczeństwa”, z określonym zakresem, stałym planem i wskazanym liderem po naszej stronie, który odpowiada za wynik i raportuje postępy w Państwa kanałach.

  • Stała współpraca: inżynieria bezpieczeństwa

    Usługa ciągła w obszarze „Inżynieria bezpieczeństwa”: ci sami ludzie co miesiąc, backlog, któremu Państwo ustalają priorytety, oraz godziny widoczne w naszym portalu i na fakturze.

Strona o dedykowanym zespole wyjaśnia, jak specjaliści dołączają do Państwa zespołu, a strona o outsourcingu opisuje realizację projektów, przejęcia i sposób rozliczania.

Kto realizuje Państwa prace w obszarze „inżynieria bezpieczeństwa”

  • Pentesterzy

    Testy aplikacji internetowych, mobilnych, API, sieci i chmury

  • Inżynierowie bezpieczeństwa aplikacji

    Bezpieczny przegląd kodu, modele zagrożeń i skanowanie potoków

  • Inżynierowie bezpieczeństwa chmury

    Stan bezpieczeństwa, tożsamość i poprawki jako infrastruktura jako kod

  • Analitycy SOC i osoby reagujące na incydenty

    Detekcja, segregowanie i reagowanie

  • Inżynierowie compliance

    Mechanizmy kontrolne i dowody ISO 27001, SOC 2 i PCI DSS

Jak pracujemy nad bezpieczeństwem

Każdy test zaczyna się od pisemnego zakresu: które systemy i konta, w jakich godzinach, do kogo zadzwonić, jeśli coś przestanie działać, oraz pisemna zgoda właściciela każdego systemu. Testy przebiegają na środowisku stagingowym wszędzie tam, gdzie to możliwe, każde ustalenie jest raportowane z poziomem ważności, odtworzeniem i poprawką, a ponowny test po poprawkach potwierdza, że każde z nich zostało zamknięte.

Ustalenia naprawiamy tam, gdzie powstały: zmiany w kodzie robią programiści, zmiany w chmurze i sieci wprowadzamy jako infrastrukturę jako kod, a dla każdego ustalenia powstaje test regresji lub reguła detekcji, aby zamknięte ustalenie pozostało zamknięte. Własne systemy utrzymujemy w tym samym standardzie: nasze laptopy są sprawdzane przez napisanego przez nas w Rust agenta względem naszego wzorca bezpieczeństwa, w systemach Windows, macOS i Ubuntu, a kontrole są powiązane z ISO 27001, CIS, Cyber Essentials, Essential Eight i SOC 2.

Pozostałe usługi chmury, DevOps i bezpieczeństwa

Chmura, DevOps i bezpieczeństwo: przegląd

Pytania o cyberbezpieczeństwo i testy penetracyjne

W jakich branżach pracują Państwa inżynierowie bezpieczeństwa?

Głównie w firmach produkujących rozwiązania cyberbezpieczeństwa, przy treściach detekcji, testowaniu produktów i badaniach bezpieczeństwa; w fintech i bankowości, w ramach PCI DSS i DORA; w firmach przemysłowych i energetycznych, przy oddzielaniu sieci sterowania od biurowego IT; w e-commerce, przy ochronie kasy i kont klientów; w firmach SaaS przygotowujących się do audytów SOC 2 i przeglądów bezpieczeństwa u klientów; oraz u dostawców hostingu i telekomunikacji i w systemach sektora publicznego.

Co zawiera raport z testu penetracyjnego?

Podsumowanie dla zarządu, a następnie każde ustalenie z poziomem ważności CVSS, systemem, którego dotyczy, krokami odtworzenia, dowodami i zalecaną poprawką. Gdy Państwa zespół wdroży poprawki, ponowny test odnotowuje, które ustalenia zostały zamknięte.

Czy mogą Państwo doprowadzić nas do certyfikacji ISO 27001 lub SOC 2?

Certyfikat wydaje akredytowana jednostka certyfikująca, a raport SOC 2 niezależna firma audytorska, więc żaden dostawca nie może obiecać żadnego z nich. Wykonujemy stronę techniczną: wdrażamy mechanizmy kontrolne, które przetestuje audytor, usuwamy luki wykryte w przeglądzie gotowości i przygotowujemy dowody gotowe do wyeksportowania.

Czy testy zakłócą nasze systemy produkcyjne?

Domyślnie nie. Testy przebiegają na środowisku stagingowym, jeśli takie istnieje. Tam, gdzie trzeba testować produkcję, odbywa się to w uzgodnionym oknie, z uzgodnioną intensywnością, bez destrukcyjnych ładunków i z wyznaczoną osobą kontaktową po każdej stronie.

Jak szybko mogą zacząć inżynierowie bezpieczeństwa i pentesterzy?

Gdy odpowiedni inżynier bezpieczeństwa jest dostępny, o terminie startu decydują wyłącznie Państwa rozmowa oraz NDA i przeniesienie praw własności intelektualnej. W przeciwnym razie prowadzimy poszukiwania, które zwykle dają profile kandydatów w ciągu dwóch do trzech tygodni, a nikt nie zaczyna pracy, dopóki Państwo nie powiedzą „tak”.

Jak wygląda zatrudnienie przez BigTree108: inżynierowie bezpieczeństwa i pentesterzy?

Prosimy o informację o zakresie pracy, poziomie doświadczenia i potrzebnych godzinach. Proponujemy jedną lub dwie osoby wraz z ich profilami, Państwo przeprowadzają z nimi rozmowy tak, jak z własnym kandydatem, podpisują jedną umowę z BIG TREE 108 LLC i otrzymują jedną fakturę miesięcznie.

Do kogo należy praca, którą wykonują?

Do Państwa. Każdy specjalista ma podpisaną z BigTree108 umowę, która przenosi wszystkie rezultaty pracy na spółkę, a nasza umowa z Państwem przenosi je dalej. Kod, projekty i dokumenty są przekazywane do Państwa własnych repozytoriów i narzędzi, a nie przechowywane tam, gdzie zmieniać je możemy tylko my.

Potrzebują Państwo testu penetracyjnego lub inżynierów bezpieczeństwa?

Prosimy podać, które systemy wchodzą w zakres, gdzie działają i jaka jest data audytu, do którego Państwo zmierzają. Odpowiedź otrzymają Państwo w ciągu jednego dnia roboczego: proponowany zakres, plan testów lub profile kandydatów.

E-mail: hello@bigtree108.comJak odpowiadamy