Tjänster inom cybersäkerhet och penetrationstester
Tjänster inom cybersäkerhet och penetrationstester: penetrationstester av webb- och mobilapplikationer, API:er, nätverk och molnkonton, applikationssäkerhet och säker kodgranskning, säkerhetsläge i molnet, säkerhetsövervakning och incidenthantering samt den tekniska delen av ISO 27001, SOC 2 och PCI DSS, med dedikerade säkerhetsingenjörer och penetrationstestare till ert team.
Säkerhetstjänster som vi erbjuder
Penetrationstester av webbapplikationer
Autentisering, sessioner, åtkomstkontroll, affärslogik och injektion testas manuellt mot OWASP Web Security Testing Guide, med automatiserad skanning som utgångspunkt snarare än som resultat.
Penetrationstester av mobilappar och API:er
iOS- och Android-appar testas mot OWASP MASVS, och REST-, GraphQL- och gRPC-API:er mot OWASP API Security Top 10: auktorisering på objektnivå, mass assignment, hastighetsbegränsningar och tokens som lever längre än sitt syfte.
Penetrationstester av nätverk och Active Directory
Tester av yttre perimeter och internt nätverk, attackvägar i Active Directory och Entra ID kartlagda med BloodHound, Wi-Fi-tester och nätfiskesimuleringar när ni ber om det, alla genomförda med skriftligt tillstånd.
Applikationssäkerhet och säker kodgranskning
Hotmodeller för nya funktioner, manuell granskning av koden för autentisering, auktorisering och datahantering, statisk analys i CodeQL eller Semgrep som justeras tills utvecklarna litar på dess fynd, och utbildning i säker kodning som bygger på de problem som hittats i er egen kod.
Säkerhetsläge i molnet
Konton i AWS, Azure och Google Cloud kontrolleras fortlöpande med Security Hub, Defender for Cloud, Security Command Center, Prowler eller Wiz avseende publik lagring, alltför vida roller, långlivade nycklar och loggning som är avstängd, med åtgärderna skrivna som infrastruktur som kod.
Säkerhetsövervakning och SOC
Loggar från moln, identitet, slutpunkter och applikationer samlas i Microsoft Sentinel, Splunk, Elastic Security eller Wazuh, detektionsregler kopplas till MITRE ATT&CK, EDR finns på varje enhet och larm prioriteras av analytiker enligt ett schema som ni kommer överens om.
Incidenthantering
Inneslutning, bevis som säkras för forensisk analys, grundorsaken som identifieras och system som återställs från rena säkerhetskopior, därefter en skriftlig rapport och den detektion som hade fångat det tidigare. Övningar vid bordet (tabletop exercises) testar planen innan den behövs.
Automatisering av regelefterlevnad
Den tekniska delen av ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 och DORA: kontroller som byggs in i era system, bevis som samlas in från dem automatiskt via Vanta, Drata eller era egna skript, och behörighetsgenomgångar, säkerhetskopior och ändringskontroll som styrks med loggar i stället för skärmdumpar.
Härdning
Servrar, containrar, kluster och bärbara datorer anpassade till CIS Benchmarks och industriella styrnätverk segmenterade i zoner enligt IEC 62443, med inställningar som tillämpas via kod och kontrolleras enligt schema så att de inte glider tillbaka.
Anlita säkerhetsingenjörer och penetrationstestare
Dedikerade säkerhetsingenjörer och penetrationstestare
Säkerhetsingenjörer och penetrationstestare som går med i ert team på heltid, arbetar i era verktyg och er process och rapporterar till er teamledare. Ni intervjuar dem; vi står för det ukrainska avtalet, lönen, faktureringen och ledigheten.
Projekt inom Säkerhetsutveckling
En avgränsad insats inom säkerhetsutveckling med omfång, fast plan och en namngiven ledare hos oss som äger resultatet och rapporterar framsteg i era kanaler.
Löpande säkerhetsutveckling
Säkerhetsutveckling som löpande tjänst: samma personer varje månad, en backlog ni prioriterar och timmar ni kan se i vår portal och på fakturan.
Sidan om dedikerade team förklarar hur specialister går med i ert team, och sidan om outsourcing beskriver projektleverans, övertaganden och hur vi debiterar.
Vilka som arbetar med säkerhetsutveckling åt er
Penetrationstestare
Tester av webb, mobil, API, nätverk och moln
Ingenjörer inom applikationssäkerhet
Säker kodgranskning, hotmodeller och skanning i pipelines
Ingenjörer inom molnsäkerhet
Säkerhetsläge, identitet och åtgärder som infrastruktur som kod
SOC-analytiker och incidenthanterare
Detektion, prioritering och respons
Compliance-ingenjörer
Kontroller och bevis för ISO 27001, SOC 2 och PCI DSS
Så arbetar vi med säkerhet
Varje test börjar med en skriftlig avgränsning: vilka system och konton, vilka tider, vem man ringer om något går sönder och skriftligt tillstånd från ägaren till varje system. Testerna körs mot staging där det är möjligt, varje fynd rapporteras med allvarlighetsgrad, en återskapning och en åtgärd, och ett omtest efter åtgärderna bekräftar att varje fynd är stängt.
Fynd åtgärdas där de finns: kodändringar av utvecklare, moln- och nätverksändringar som infrastruktur som kod, och ett regressionstest eller en detektionsregel för varje, så att ett stängt fynd förblir stängt. Våra egna system håller vi till samma standard: våra bärbara datorer kontrolleras av en agent som vi skrivit i Rust mot vår säkerhetsbaslinje, på Windows, macOS och Ubuntu, med kontroller som är mappade mot ISO 27001, CIS, Cyber Essentials, Essential Eight och SOC 2.
Andra tjänster inom moln, DevOps och säkerhet
AWS-utveckling
Tjänster inom AWS-utveckling: containrar på EKS och ECS, serverless, landing zones, migreringar, databaser, dataplattformar, generativ AI med Bedrock, säkerhet och kostnadsoptimering, med dedikerade AWS-ingenjörer eller projektleverans.
Google Cloud-utveckling
Tjänster inom Google Cloud-utveckling: Cloud Run och GKE, BigQuery, backends i Firebase, Cloud SQL och AlloyDB, Gemini på Agent Platform, säkerhet och migreringar, med dedikerade Google Cloud-ingenjörer eller projektleverans.
Kubernetes-rådgivning
Rådgivning och utveckling kring Kubernetes: kluster på EKS, AKS, GKE och on premises, Helm, GitOps med Argo CD eller Flux, klustersäkerhet, uppgraderingar och GPU-arbetsbelastningar, med dedikerade Kubernetes-ingenjörer eller projektleverans.
DevOps och CI/CD
Tjänster inom DevOps och CI/CD: pipelines, infrastruktur som kod med Terraform, observerbarhet, SRE och jour, DevSecOps, platform engineering och FinOps, med dedikerade DevOps- och SRE-ingenjörer eller löpande DevOps-arbete.
IT-infrastruktur
Tjänster inom IT-infrastruktur och systemadministration: Windows- och Linux-servrar, nätverk, Microsoft 365 och Entra ID, virtualisering, backuper och telekom, med dedikerade systemadministratörer eller löpande support.
Site reliability engineering
Tjänster inom site reliability engineering: SLO:er, observerbarhet med OpenTelemetry, jour och incidenthantering, belastningstestning, katastrofåterställning och chaos engineering, med dedikerade SRE-ingenjörer eller projektleverans.
Platform engineering
Tjänster inom platform engineering: interna utvecklarplattformar, portaler i Backstage, golden paths och mallar, självbetjäningsinfrastruktur och Kubernetes-plattformar, med dedikerade plattformsingenjörer eller projektleverans.
Molnarkitektur
Tjänster inom molnarkitektur och rådgivning: utformning för AWS, Azure och Google Cloud, migreringsplaner, landing zones, Well-Architected-granskningar, motståndskraft och kostnad, med dedikerade molnarkitekter eller projektleverans.
FinOps
Tjänster inom FinOps och optimering av molnkostnader: kostnadsfördelning, rightsizing, savings plans och reservationer, Kubernetes-, data- och AI-kostnader, budgetar och avvikelselarm, med dedikerade FinOps-ingenjörer eller projektleverans.
Terraform och IaC
Tjänster inom Terraform och infrastruktur som kod: moduler i Terraform och OpenTofu, importer, pipelines för plan och apply, kontroll av konfigurationsdrift, policy som kod och Ansible, med dedikerade Terraform-ingenjörer eller projektleverans.
Linux-administration
Tjänster inom Linux-administration: servrar med Ubuntu, Debian, RHEL, Rocky Linux och AlmaLinux som sätts upp, patchas, härdas, övervakas och säkerhetskopieras, samt uppgraderingar när stödet löpt ut, med dedikerade Linux-administratörer eller löpande support.
Nätverksteknik
Tjänster inom nätverksteknik: routing och switching, brandväggar, SD-WAN och zero-trust-åtkomst, molnnätverk, Wi-Fi och automation på Cisco, Juniper och Fortinet, med dedikerade nätverksingenjörer eller projektleverans.
Molnsäkerhet
Tjänster inom molnsäkerhet: CSPM och CNAPP, IAM-granskningar, Kubernetes-säkerhet, nätverks- och dataskydd samt efterlevnad i molnet på AWS, Azure och Google Cloud, med dedikerade molnsäkerhetsingenjörer eller projektleverans.
SOC och säkerhetsövervakning
SOC as a service och säkerhetsövervakning: managed SOC, driftsättning av SIEM, anslutning av loggar, detection engineering, EDR, threat hunting och incidenthantering på retainer, med dedikerade SOC-analytiker eller löpande övervakning.
Säkerhetsefterlevnad
Säkerhetsefterlevnad och beredskap inför revision: kontroller för ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 och DORA, gapanalyser och revisionsunderlag, med dedikerade efterlevnadsingenjörer eller ett beredskapsprojekt.
Frågor om cybersäkerhet och penetrationstester
Inom vilka branscher arbetar era säkerhetsingenjörer?
Främst företag som tillverkar cybersäkerhetsprodukter, med detektionsinnehåll, produkttester och säkerhetsforskning; fintech och bank, under PCI DSS och DORA; industri- och energibolag, där styrnätverk separeras från kontorets IT; e-handel, där kassan och kundkonton skyddas; SaaS-företag som förbereder sig för SOC 2-revisioner och kunders säkerhetsgranskningar; samt hosting- och telekomleverantörer och system inom offentlig sektor.
Vad innehåller en rapport från ett penetrationstest?
En sammanfattning för ledningen, därefter varje fynd med sin CVSS-allvarlighetsgrad, det berörda systemet, stegen för att återskapa det, bevisen och en rekommenderad åtgärd. När ert team har driftsatt åtgärderna dokumenterar ett omtest vilka fynd som är stängda.
Kan ni få oss ISO 27001- eller SOC 2-certifierade?
Certifiering utfärdas av ett ackrediterat certifieringsorgan, och en SOC 2-rapport av en oberoende revisionsbyrå, så ingen leverantör kan lova någotdera. Vi tar hand om den tekniska delen: inför de kontroller som revisorn kommer att testa, åtgärdar de brister som en beredskapsgranskning hittar och håller bevisen redo att exporteras.
Kommer testerna att störa våra produktionssystem?
Inte som standard. Testerna körs mot staging där en sådan finns. Där produktion måste testas sker det inom ett överenskommet tidsfönster, i en överenskommen takt, utan destruktiva payloads och med en namngiven kontaktperson på varje sida.
Hur snabbt kan säkerhetsingenjörer och penetrationstestare börja?
När rätt säkerhetsingenjör finns tillgänglig styrs starten bara av er intervju samt NDA och IP-överlåtelse. Annars gör vi en sökning, som vanligtvis ger kandidatprofiler inom två till tre veckor, och ingen börjar förrän ni har sagt ja.
Hur anlitar vi säkerhetsingenjörer och penetrationstestare via BigTree108?
Berätta om arbetet, senioriteten och de timmar ni behöver. Vi föreslår en eller två personer med deras profiler, ni intervjuar dem på samma sätt som ni skulle intervjua en egen anställning, och ni skriver under ett avtal med BIG TREE 108 LLC och får en faktura i månaden.
Vem äger arbetet de producerar?
Det gör ni. Varje specialist har ett undertecknat avtal med BigTree108 som överlåter allt arbetsresultat till bolaget, och vårt avtal med er överlåter det vidare. Kod, designer och dokument levereras in i era egna repositories och verktyg, inte på ett ställe där bara vi kan ändra dem.
Behöver ni ett penetrationstest eller säkerhetsingenjörer?
Berätta vilka system som ingår, var de körs och vilket revisionsdatum ni eventuellt arbetar mot. Ni får svar inom en arbetsdag: ett förslag på avgränsning, en testplan eller kandidatprofiler.