Två roller ska aldrig dela denna post
En liten applikation behöver veta om en användare kan nå en annan rolls data. Testet använder auktoriserade konton och dokumenterar minsta nödvändiga underlag för utvecklaren.
OSINT, penetrationstest & red teaming
Hitta svagheterna. Prioritera åtgärderna.
Ersätt antaganden med fynd som utvecklarna kan åtgärda. Förstå de testade angreppsvägarna, påverkan på verksamheten och vad som behöver rättas först.
Inget standardpris för alla. Omfattning, leveranser och kostnad avtalas skriftligt.
Är det här ert team?
För team som ditt.
För produktansvariga, utvecklingsteam och säkerhetsansvariga som behöver ett fokuserat test av en applikation, ett API eller en AI-angreppsyta.
- Ni lanserar en webbapplikation eller ett API och vill testa åtkomstkontrollen i praktiken.
- En AI-funktion tillför promptar, verktyg eller dataflöden som behöver en fokuserad säkerhetsbedömning.
- Ni behöver en rapport som utvecklare kan använda och beslutsfattare kan förstå.
Det här förändras för er
Inför nästa lansering: få koll på vad som faktiskt har testats och vad som fortfarande behöver uppmärksamhet.
En fokuserad bedömning med underlag, verksamhetskontext och prioriterade åtgärder. OSINT/CTI, kodgranskning, sårbarhetsskanning, penetrationstest, red team-övningar och AI-säkerhetstest är olika tjänster.
Först tydlig omfattning. Sedan användbart arbete.
Värdet, utan krångel
Penetrationstestning av webbapplikationer granskar vad en angripare kan göra inom avtalade ramar. Penetrationstestning av API:er och manuell säkerhetstestning granskar åtkomst, auktorisering och affärslogik och ger teamet en användbar åtgärdslista. Skriftligt tillstånd kommer först.
Från första frågan till en användbar överlämning
Avtala ramarna före första testet
Avgränsning av penetrationstestning fastställer applikation, roller, endpoints och begränsningar. Regler och ramar för penetrationstestning dokumenterar ägarens tillstånd, stoppvillkor och nödkontakt.
Testa vägarna en skanning kan missa
Penetrationstestning med testkonton används för testning av åtkomstkontroll i applikationer, testning av auktorisering i API:er och säkerhetstestning av affärslogik. Skanningar stödjer det manuella arbetet.
Gör fynden användbara
Riskprioritering av sårbarheter kopplar underlag till affärskonsekvens. En användbar rapport från penetrationstestning, en ledningssammanfattning av penetrationstest och omtestning efter åtgärder stödjer rättningar och överlämning.
Här gör tjänsten skillnad
Illustrativa användningsfall. Arbete och acceptanskriterier avtalas i er offert.
En AI-funktion ändrar angreppsytan
En avtalad säkerhetsbedömning av AI kan granska behörigheter, gränssnitt och dataflöden. Metod och mål avtalas före teststart.
KUNDOMDÖMEN
Det här ger vår metod
Det behöver ni avtala för den här tjänsten
Jämför tjänster och förbered uppdraget ↗Leveranser
- Skriftlig omfattning, metod, Rules of Engagement, mål, stoppvillkor och tredjepartsbegränsningar före testet.
- Skyddade underlag, fyndens allvar och verksamhetspåverkan, testbegränsningar och praktiska åtgärdsförslag.
- Ledningssammanfattning, teknisk rapport, överlämningsmöte och en verifiering av de inkluderade rättningarna inom 30 dagar efter leverans.
- Paketets omfattning
- Scoped Web / API Pentest: en mindre webbapplikation, upp till två roller och upp till tio API-endpoints. Fokuserad manuell testning med stödjande automatiserad granskning, rapport, överlämning och en verifiering av rättningar inom 30 dagar.
- Det här tillhandahåller ert team
- Ordna skriftligt tillstånd från rätt tillgångsägare, en testmiljö eller avtalade produktionsbegränsningar, testkonton och en kontakt vid nödsituationer. Ni ansvarar för åtgärder och riskbeslut.
- Utanför paketet
- Fullständig kodtäckning utlovas inte. Omfattande OSINT, red teaming på organisationsnivå, nätfiske, belastningstest och destruktiva tester offereras separat. En automatiserad skanning ensam är inte ett fullständigt penetrationstest.
Exempel på acceptanskriterier att diskutera
Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.
- Varje rapporterat fynd anger ett auktoriserat mål, proportionerligt underlag för reproduktion, allvarlighetsgrad och åtgärdsvägledning.
- Den avtalade kontrollen dokumenterar status för inkluderade rättningar inom auktoriserad omfattning och paketets tidsfönster på 30 dagar.
Fast i ett AI-beslut? Få ett tydligt nästa steg.
En fokuserad genomgång av ett AI-köp, en integration eller en agentidé. Gör ett osäkert beslut till ett skriftligt underlag som teamet kan använda.
€490 för ett beslut. Tillämplig moms och omfattning bekräftas skriftligt före accept. En förfrågan är inget köp eller en bekräftad bokning.
DITT NÄSTA STEG
Få en offert anpassad till er
Berätta om er organisation, ert team och produkten eller processen ni vill förbättra. Vi bedömer om vi passar för uppdraget och följer upp med de frågor som behövs för att ta fram en offert. Omfattning, leveranser, tidsplan och pris avtalas innan arbetet börjar.
Q&A
Bra frågor. Raka svar.
Kan ni testa vilken webbplats eller tredjepartstjänst som helst?
Nej. Testning kräver skriftligt tillstånd, definierade mål och Rules of Engagement. Tredjepartsvillkor och tillstånd måste tillåta de avtalade testerna. Stoppvillkor gäller under hela uppdraget.
Kan testet omfatta AI och känsliga arbetsflöden?
Ja, när det är avtalat. AI-gränssnitt, behörigheter, konfiguration, kod och API:er kan undersökas. System för samtalsdokumentation, vård och försäljning behöver även kontroll av informationsbegränsning och dataflöden.
Vad skiljer skanning från penetrationstestning?
Sårbarhetsskanning kontra penetrationstestning är en användbar köparfråga: skanning visar möjliga problem; en avgränsad pentest kombinerar manuell granskning och verktyg och tolkar fynd i sitt sammanhang. Automatiserad utdata ensam är ingen fullständig pentest.
Vad omfattar startpaketet för webb och API?
En liten webbapplikation, upp till två roller och upp till tio API-endpoints, med rapport, överlämning och en kontroll av inkluderade rättningar inom 30 dagar efter leverans. Offerten fastställer mål och acceptanskriterier.
Hur skyddas känsliga testunderlag?
Säker hantering av pentestunderlag använder begränsad, skyddad dokumentation för att förklara ett fynd. Åtkomst, delning och lagring avtalas. Aktiva hemligheter och onödiga personuppgifter hör inte hemma i en brett delad rapport.
Kan vi lägga till OSINT och hotanalys?
En separat passiv OSINT-bedömning eller avgränsad cyberhotanalys omfattar en organisation och upp till tre egna domäner. Det skiljer sig från inträngande testning och löpande övervakning. Omfattning och källor avtalas separat.
Ingår en red team-övning?
En avgränsad red team-övning är ett separat uppdrag med egna mål, tillstånd och begränsningar. Nätfiske, organisationsövergripande red teaming, belastningstestning och destruktiv testning ingår inte i startpaketet.
Vad säger en rapport utan fynd?
Begränsningar vid penetrationstestning spelar roll: fynd speglar mål, metod och testperiod. Rapporten stödjer riskbeslut och omtestning; den bevisar inte att alla sårbarheter hittats eller att alla regler följs.
Gör ett välgrundat val.
Praktiska guider som hjälper teamet att ställa bättre frågor innan ni förbinder er.