To roller bør aldrig dele denne post
En lille applikation skal afklare, om en bruger kan få adgang til en anden rolles data. Testen bruger autoriserede konti og dokumenterer mindst nødvendige evidens til udvikleren.
OSINT, penetrationstest & red teaming
Find svaghederne. Prioritér rettelserne.
Erstat antagelser med fund, udviklerne kan handle på. Forstå de testede angrebsveje, deres betydning for forretningen og rækkefølgen for afhjælpning.
Ingen standardpris til alle. Omfang, leverancer og pris aftales skriftligt.
Er det her dit team?
Til teams som dit.
Til produktansvarlige, udviklingsteams og sikkerhedsansvarlige, der har brug for en fokuseret test af en applikation, et API eller en AI-angrebsflade.
- I lancerer en webapplikation eller et API og vil teste adgangskontrollen i praksis.
- En AI-funktion tilfører prompts, værktøjer eller datastrømme, der kræver en fokuseret sikkerhedsvurdering.
- I har brug for en rapport, som udviklere kan bruge, og beslutningstagere kan forstå.
Det betyder det for jer
Før næste lancering: få klarhed over, hvad der faktisk er testet, og hvad der stadig kræver opmærksomhed.
En fokuseret vurdering med dokumentation, forretningsmæssig kontekst og prioriteret afhjælpning. OSINT/CTI, kodegennemgang, sårbarhedsscanning, penetrationstest, red team-øvelser og AI-sikkerhedstest er forskellige ydelser.
Først et klart omfang. Så brugbart arbejde.
Værdien, uden omsvøb
Penetrationstest af webapplikationer undersøger, hvad en angriber kan gøre inden for aftalte rammer. Penetrationstest af API’er og manuel sikkerhedstest gennemgår adgang, autorisation og forretningslogik og giver teamet en liste over relevante rettelser. Skriftlig tilladelse kommer først.
Fra første spørgsmål til en brugbar overdragelse
Aftal rammerne før første test
Afgrænsning af penetrationstest fastlægger applikation, roller, endpoints og begrænsninger. Regler og rammer for penetrationstest dokumenterer ejerens tilladelse, stopbetingelser og nødkontakt.
Test de veje, en scanning kan overse
Penetrationstest med testkonti bruges til test af adgangskontrol i applikationer, test af autorisation i API’er og sikkerhedstest af forretningslogik. Scanninger understøtter det manuelle arbejde.
Gør fundene brugbare
Risikoprioritering af sårbarheder forbinder evidens og forretningskonsekvens. En anvendelig rapport fra penetrationstest, et ledelsesresumé af penetrationstest og gentest efter afhjælpning understøtter rettelser og overdragelse.
Her gør ydelsen en forskel
Illustrative anvendelser. Arbejde og acceptkriterier aftales i jeres tilbud.
En AI-funktion ændrer angrebsfladen
En aftalt sikkerhedsvurdering af AI kan undersøge rettigheder, grænseflader og datastrømme. Metode og mål aftales før teststart.
KUNDEUDTALELSER
Det leverer vores metode
Det skal I aftale for denne ydelse
Sammenlign ydelser og forbered opgaven ↗Leverancer
- Skriftligt omfang, metode, Rules of Engagement, mål, stopbetingelser og tredjepartsbegrænsninger før testen.
- Beskyttet dokumentation, fundenes alvor og forretningspåvirkning, testbegrænsninger og konkrete rettelsesforslag.
- Ledelsesresumé, teknisk rapport, overdragelsesmøde og én kontrol af de inkluderede rettelser inden for 30 dage efter levering.
- Pakkens omfang
- Scoped Web / API Pentest: én mindre webapplikation, op til to roller og op til ti API-endpoints. Fokuseret manuel test med understøttende automatiseret gennemgang, rapport, overdragelse og én kontrol af rettelser inden for 30 dage.
- Det stiller jeres team til rådighed
- Sørg for skriftlig tilladelse fra den relevante ejer, et testmiljø eller aftalte produktionsbegrænsninger, testkonti og en kontakt ved nødsituationer. I er ansvarlige for afhjælpning og risikobeslutninger.
- Uden for pakken
- Der loves ikke dækning af al kode. Omfattende OSINT, red teaming på organisationsniveau, phishing, belastningstest og destruktive tests får særskilte tilbud. En automatiseret scanning alene er ikke en fuld penetrationstest.
Eksempler på acceptkriterier til drøftelse
Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.
- Hvert rapporteret fund angiver et autoriseret mål, passende evidens for reproduktion, alvorlighed og vejledning til afhjælpning.
- Den aftalte kontrol dokumenterer status for inkluderede rettelser inden for autoriseret omfang og pakkens frist på 30 dage.
Sidder I fast i en AI-beslutning? Få et klart næste skridt.
En fokuseret gennemgang af ét AI-køb, én integration eller én agentidé. Gør en usikker beslutning til et skriftligt notat, som teamet kan handle på.
€490 for én beslutning. Eventuel moms og det aftalte omfang bekræftes skriftligt før accept. En forespørgsel er ikke et køb eller en bekræftet booking.
DIT NÆSTE SKRIDT
Få et tilbud tilpasset jer
Fortæl om jeres organisation, team og det produkt eller den proces, I vil forbedre. Vi vurderer, om vi er det rette match, og følger op med de spørgsmål, der skal til for at udforme et tilbud. Omfang, leverancer, tidsplan og pris aftales, før arbejdet begynder.
Q&A
Gode spørgsmål. Klare svar.
Kan I teste enhver hjemmeside eller tredjepartstjeneste?
Nej. Test kræver skriftlig tilladelse, definerede mål og Rules of Engagement. Tredjepartsvilkår og tilladelser skal omfatte de aftalte tests; stopbetingelser gælder under hele forløbet.
Kan testen omfatte AI og følsomme arbejdsgange?
Ja, når det er aftalt. AI-interfaces, rettigheder, konfiguration, kode og API’er kan undersøges. Systemer til samtaledokumentation, behandling og salg kræver også kontrol af informationsbegrænsning og datastrømme.
Hvad er forskellen på scanning og penetrationstest?
Sårbarhedsscanning kontra penetrationstest er en nyttig købsafklaring: scanning finder mulige problemer; en afgrænset pentest kombinerer manuel undersøgelse og værktøjer og fortolker fund i sammenhæng. Automatiseret output alene er ikke en fuld pentest.
Hvad omfatter startpakken for web og API?
Én lille webapplikation, op til to roller og op til ti API-endpoints med rapport, overdragelse og én kontrol af inkluderede rettelser inden 30 dage efter levering. Tilbuddet fastlægger mål og acceptkriterier.
Hvordan beskyttes følsom dokumentation?
Sikker håndtering af pentest-evidens bruger begrænset, beskyttet dokumentation til at forklare et fund. Adgang, deling og opbevaring aftales. Aktive hemmeligheder og unødvendige persondata hører ikke hjemme i en bredt delt rapport.
Kan vi tilføje OSINT og trusselsanalyse?
En separat passiv OSINT-vurdering eller afgrænset cybertrusselsanalyse omfatter én organisation og op til tre egne domæner. Det er adskilt fra indgribende test og løbende overvågning. Omfang og kilder aftales særskilt.
Er en red team-øvelse inkluderet?
En afgrænset red team-øvelse er en separat opgave med egne mål, tilladelser og restriktioner. Phishing, organisationsdækkende red teaming, belastningstest og destruktiv test indgår ikke i startpakken.
Hvad fortæller en rapport uden fund?
Begrænsninger ved penetrationstest er vigtige: fund afspejler mål, metode og testperiode. Rapporten understøtter risikobeslutninger og gentest; den beviser ikke, at alle sårbarheder er fundet, eller at alle regler er overholdt.
Træf et velinformeret valg.
Praktiske vejledninger, der hjælper teamet med at stille de rigtige spørgsmål før en aftale.