Alap
Külső kép
Mit lát egy támadó az internet felől, és mennyire felel meg a szervezet a partneri NIS2-kérdőíveknek.
- Külső hálózati pentest
- NIS2 beszállítói gyorsfelmérés
- Javítási terv
- Lezáró igazolás
Megtaláljuk a rést, mielőtt más tenné.
Penetrációs teszt, red team, OT-biztonsági vizsgálat és NIS2-felkészítés vállalatoknak, közintézményeknek és ipari szereplőknek. Tényszerű jelentés, végrehajtható javaslatok, ellenőrzött javítás.
Módszertan
- OWASP WSTG
- OWASP ASVS
- PTES
- NIST SP 800-115
- MITRE ATT&CK
- IEC 62443
- CVSS 4.0
- TLP 2.0
Szolgáltatások
Ahol a támadók kezdenék
Webes alkalmazástól a gyártósor vezérléséig. Minden vizsgálat ugyanarra a kérdésre felel: mit érne el egy valódi támadó, és mit kell kijavítani először.
Alkalmazásbiztonság
Web, API, mobil, vastag kliens, MI- és LLM-alkalmazások, forráskód.
Hálózat és felhő
Külső és belső hálózat, Active Directory, Wi-Fi, Azure, Microsoft 365, AWS.
OT és ipari rendszerek
Passzív felmérés, kontrollált OT-pentest, szegmentáció IEC 62443 szerint.
Ember és fizikai
Adathalász-kampány, telefonos megtévesztés, fizikai behatolásteszt.
Támadásszimuláció
Red team, purple team, fenyegetésmodellezés.
Folyamatos védelem
Negyedéves pentest, külső támadási felület figyelése, NIS2-követés.
Megfelelés
NIS2 gyorsfelmérés, ISO/IEC 27001 felkészítés, szabályzatok, üzletfolytonosság.
Oktatás
Tudatossági, OT-, fejlesztői és vezetői képzések.
Így gondolkodik egy támadó
Egy hiba ritkán elég. A lánc a veszélyes.
A szkenner egyenként listázza a hibákat. Mi azt mutatjuk meg, hogyan fűzhetők össze a belépéstől a célig, a MITRE ATT&CK taktikái szerint. A jelentésben ez az útvonal ábraként is szerepel.
- Reconnaissance
Felderítés
Nyilvános aldomainek, szolgáltatások, kiszivárgott adatok, munkatársak.
- Initial Access
Bejutás
Sérülékeny webes felület, gyenge VPN-hozzáférés vagy egy sikeres adathalász levél.
- Privilege Escalation
Jogosultság-emelés
Hibás beállítás, tárolt jelszó, tanúsítványsablon-hiba az Active Directoryban.
- Lateral Movement
Oldalirányú mozgás
Szerverek, fájlmegosztások, mentések, az ipari hálózat határa.
- Impact
Cél
Ügyféladatok, pénzügyi rendszer, gyártásirányítás. Itt dől el az üzleti kár.
Módszer
Hogyan zajlik egy vizsgálat
Ugyanaz a hat lépés minden megbízásban. Ettől lesz az eredmény ismételhető és összehasonlítható.
Hatókör
Rövid kérdőív és egyeztetés alapján fix árat adunk, napidíj-elszámolás nélkül.
Felhatalmazás
Titoktartási megállapodás, szerződés és írásos felhatalmazás: rendszerek, időablak, vészhelyzeti kapcsolattartó.
Vizsgálat
Az egyeztetett időablakban. Kritikus hibánál azonnal szólunk, nem várunk a jelentésig.
Jelentés
Vezetői összefoglaló üzleti nyelven, technikai rész reprodukálható lépésekkel és konkrét javaslatokkal.
Újrateszt
A javítások után ellenőrizzük a kijavított megállapításokat.
Igazolás
Egyoldalas lezáró igazolás technikai részletek nélkül, partnernek vagy auditornak átadható.
OT és ipari biztonság
Ahol egy leállás termeléskiesést jelent
Ipari környezetben a vizsgálat első szabálya, hogy nem zavarja a termelést. Passzív forgalomelemzéssel és dokumentum-átvizsgálással kezdünk, aktív tesztet csak tesztkörnyezetben vagy karbantartási ablakban végzünk, külön írásos felhatalmazással.
- IEC 62443zónák és csatornák, biztonsági szintek
- NIST SP 800-82ipari vezérlőrendszerek biztonsága
- Purdue-modellIT/OT-határ és távoli hozzáférések
NIS2
Kérdőívet kapott a partnerétől?
A 2024. évi LXIX. törvény hatálya alá tartozó szervezetek egyre gyakrabban kérik beszállítóiktól a kiberbiztonsági intézkedések igazolását. A gyorsfelmérés megmutatja, hol tart a szervezet, és mit érdemes először rendbe tenni.
NIS2 beszállítói gyorsfelmérés
- Kérdőív és interjú
- Érettségi pontszám 30 pontos skálán
- Priorizált, 90 napos javítási terv
- Fix ár, előre egyeztetve
Csomagok
Három kiindulópont
A csomagok jó kiindulópontot adnak, a hatókört a szervezetéhez igazítjuk. Az árat a hatókör egyeztetése után, írásos ajánlatban adjuk meg.
Ajánlott
NIS2 start
Az Alap csomag, kiegészítve a munkatársak tudatosságának mérésével és képzésével.
- Külső hálózati pentest
- NIS2 beszállítói gyorsfelmérés
- Adathalász-kampány
- Biztonságtudatossági tréning
- Javítási terv, lezáró igazolás
Prémium
Teljes kép
Kívülről és belülről: webalkalmazás, külső és belső hálózat, Active Directory és emberi tényező.
- Webalkalmazás-pentest
- Külső hálózati pentest
- Belső hálózat és Active Directory
- Adathalász-kampány
- NIS2 beszállítói gyorsfelmérés
Gyakori kérdések
Mielőtt megkeres minket
Mennyi ideig tart egy vizsgálat?
Egy kisebb webalkalmazás vagy külső hálózat vizsgálata néhány tesztelői nap, a jelentés ezt követően egy héten belül elkészül. Az indulás az aláírt felhatalmazás után általában 1–2 héten belül lehetséges.
Mennyibe kerül?
A díj a hatókörtől függ: hány alkalmazást, IP-címet, telephelyet vagy szerepkört vizsgálunk. Egy rövid egyeztetés után fix árat adunk írásban, napidíj-elszámolás és utólagos meglepetés nélkül.
Leállhat-e a rendszerünk a vizsgálat alatt?
A vizsgálatot az egyeztetett időablakban, kíméletes beállításokkal végezzük. Szolgáltatásmegtagadásos vagy romboló tesztet csak külön írásos kérésre végzünk. Ipari környezetben passzív módszerekkel kezdünk.
Mit kell biztosítanunk?
A vizsgálandó rendszerek listáját, szükség esetén tesztfiókokat szerepkörönként, egy elérhető kapcsolattartót és friss mentést. A pontos listát a hatókör egyeztetésekor küldjük.
Mi a különbség a sérülékenységvizsgálat és a pentest között?
Az automatikus szkenner ismert hibákat keres, és sok hamis találatot ad. A penetrációs tesztben minden megállapítást kézzel igazolunk, láncoljuk a hibákat, és megmutatjuk, mit érne el ténylegesen egy támadó.
Elvégzik a NIS2 szerinti kötelező sérülékenységvizsgálatot?
Nem. A 2024. évi LXIX. törvény szerinti kötelező vizsgálatot csak az SZTFH nyilvántartásában szereplő vizsgáló végezheti, és mi nem szerepelünk benne. Önkéntes vizsgálatot, beszállítói felkészítést és belső felmérést vállalunk; ezek a kötelező vizsgálatot nem helyettesítik.
Ki látja a jelentést?
Csak a megrendelő által megnevezett személyek. A jelentést a FIRST TLP 2.0 szerint jelöljük, titkosítva adjuk át, a jelszót külön csatornán küldjük. A megrendelőt referenciaként csak írásos hozzájárulással nevezzük meg.