Pyydä arviointia

Kieli

Sovellusten tietoturva

Verkko, API, mobiili ja lähdekoodi

Infrastruktuuri ja pilvi

Verkot, pilvialustat, verkon ulkoreuna

Hyökkäyssimulaatiot

Tavoitteelliset hyökkäykset ihmisiä, prosesseja ja teknologiaa vastaan

Tekoäly, Web3 ja kryptografia

LLM-sovellukset, älysopimukset, kryptografinen suunnittelu

Ohjelmat ja varmennus

Bug bounty, haavoittuvuuksien ilmoittaminen, jatkuva testaus ja compliance-testaus

Kaikki palvelutKatso, miten toimimme
Pyydä arviointia

Purple Team -harjoitukset

Yhteinen harjoitus: operaattorimme toteuttavat hyökkäystekniikoita yksi kerrallaan, ja puolustajasi hienosäätävät havaitsemista ja reagointia.

Pyydä tätä palveluaKatso, miten toimimme

Hyökkäyssimulaatiot

Red Team -operaatio kertoo, mitä puolustajat eivät huomanneet. Purple Team -harjoitus varmistaa, että he huomaavat sen seuraavalla kerralla. Hyökkääjät ja puolustajat istuvat saman pöydän ääressä: tekniikka toteutetaan, puolustajat etsivät sitä työkaluistaan, ja jos sitä ei löydy, kirjoitetaan sääntö ja tekniikka toteutetaan uudelleen.

Harjoitus rakennetaan toimialallesi olennaisten hyökkääjien tekniikoista. Mitään ei salata eikä ketään pisteytetä. Onnistumista mitataan niiden tekniikoiden määrällä, jotka muuttuivat harjoituksen aikana näkymättömistä havaituiksi.

01Laajuus

Mitä testaamme

  • Toimialallesi olennaisten hyökkääjien käyttämien tekniikoiden valinta
  • Toteutus työasemilla, palvelimilla, identiteettijärjestelmissä ja pilvessä
  • Telemetria: tallentuuko toiminta ylipäätään
  • Havaitseminen: laukeaako sääntö, kuinka myöhään ja millä kontekstilla
  • Reagointi: alustava arviointi, rajaaminen, eskalointi
  • Sääntöjen hienosäätö ja väärien hälytysten vähentäminen
  • Testiskriptit luovutettuina regressiotestausta varten

02Toimintatapa

Miten työ tehdään

  1. Suunnittelu

    Hyökkääjät ja tekniikat valitaan yhdessä puolustajiesi kanssa. Ympäristöstä sovitaan: mahdollisuuksien mukaan tuotantojärjestelmät ja tuotannon telemetria.

  2. Toteutus

    Tekniikat toteutetaan yksi kerrallaan, ja niistä ilmoitetaan etukäteen. Tuhoavat vaikutukset simuloidaan, niitä ei koskaan aiheuteta.

  3. Havaitsemisen tarkastelu

    Jokaisen tekniikan jälkeen puolustajat tarkistavat, mitä heidän työkalunsa tallensivat. Puuttuva telemetria ja puuttuvat säännöt korjataan saman tien, ja tekniikka toistetaan.

  4. Raportti

    Kattavuusmatriisi näyttää jokaisen tekniikan tilanteen ennen harjoitusta ja sen jälkeen sekä säännön, joka nyt havaitsee sen.

Menetelmät

03

Mitä saat

  • MITRE ATT&CK -luokiteltu kattavuusmatriisi ennen ja jälkeen
  • Havaitsemissäännöt työkaluissasi käytettävässä muodossa
  • Skriptit, jotka toistavat jokaisen tekniikan regressiotestausta varten
  • Johdon yhteenveto
  • Tekninen raportti: jokainen havainto todisteineen, CVSS 4.0 -vektoreineen, CWE-luokkineen ja korjauksineen
  • Tulosten läpikäynti teknisen tiimisi kanssa
  • Yksi uusintatestaus jokaiselle havainnolle 60 päivän kuluessa raportin toimittamisesta
  • Testaustodistus uusintatestauksen jälkeen

04

Mitä tarvitsemme sinulta

  • Havaitsemis- ja reagointitiimisi, oma tai ulkoistettu, käytettävissä harjoituksen ajan
  • Puolustajien pääsy valvontakonsoleihinsa istuntojen aikana
  • Tuotantoa edustavat laitteet: työasema, palvelin, pilvitili
  • Järjestelmien omistajan hyväksyntä tekniikoiden luettelolle

05Standardit

Menetelmän taustalla olevat standardit

06Kysymykset

Kysymyksiä tästä palvelusta

Miten tämä eroaa Red Team -operaatiosta?

Red Team -operaatio on salainen ja tavoitelähtöinen; se testaa organisaatiota kokonaisuutena. Purple Team -harjoitus on avoin ja tekniikkalähtöinen; se parantaa havaitsemista. Harjoitus järjestetään usein operaation jälkeen, jotta operaation paljastamat aukot saadaan suljettua.

Valvonta on ulkoistettu palveluntarjoajalle. Voiko se osallistua?

Voi, ja sen pitäisikin. Harjoitus näyttää, mitä palveluntarjoajasi todella näkee, mikä harvoin käy ilmi sopimuksesta.

Tehdäänkö harjoitus tuotannossa?

Mahdollisuuksien mukaan, koska havaitsemisen on toimittava juuri siellä. Tekniikat valitaan ja määritetään niin, etteivät ne aiheuta vahinkoa; kaikki tuhoava simuloidaan.

08Pyyntö

Kerro, mitä pitää testata

  • Verkkosivuston tarkastus maksutta
  • Vastaus 1 työpäivän kuluessa
  • NDA ennen teknisiä yksityiskohtia
  • Kiinteä hinta maksullisissa toimeksiannoissa
  • Ei sitoumuksia

Pyydä arviointia

Kuvaile järjestelmät ja tavoite. Asiakaspäällikkö vastaa 1 työpäivän kuluessa, esittää tarkentavia kysymyksiä ja kertoo seuraavan vaiheen.

Kenelle vastaamme

Vastaamme tähän osoitteeseen, ellet valitse toista kanavaa.

Yksityinen elinkeinonharjoittaja kirjoittaa oman nimensä.

Toivottu yhteyskanava
Mitä arvioidaan
Kiinnostavat palvelut

Valitse kaikki sopivat.

Maksuton tarkastus

Tarkastamme verkkosivustosi maksutta

Jos emme löydä ongelmia, saat myös raportin maksutta. Maksat raportista vain, jos löydämme ongelmia, ja sen hinta riippuu niiden määrästä ja vakavuudesta.

Maksuttoman verkkosivuston tietoturvatarkastuksen ehdot

Sovellusten tietoturva

Infrastruktuuri ja pilvi

Hyökkäyssimulaatiot

Tekoäly, Web3 ja kryptografia

Ohjelmat ja varmennus

Sovellusten tietoturva

Maksuton verkkosivuston tietoturvatarkastus

Tarkastelemme verkkosivustoasi ulkopuolelta samalla tavalla kuin hyökkääjä ja tarkastamme, voiko sille murtautua: heikot asetukset, vanhentuneet ohjelmistot, näkyvillä olevat tiedostot, turvattomat lomakkeet. Tarkastus on maksuton.

Lisätietoa palvelusta

Sovellusten tietoturva

Verkkosovellusten penetraatiotestaus

Yritämme murtautua verkkosovellukseesi niin kuin todellinen hyökkääjä: kirjautua muiden ihmisten tileille, lukea muiden asiakkaiden tietoja, muuttaa hintoja tai tilauksia. Saat tietää, mikä on mahdollista, ennen kuin rikolliset saavat sen selville.

Lisätietoa palvelusta

Sovellusten tietoturva

API-tietoturvatestaus

API-rajapinta on kanava, jonka kautta sovelluksesi, verkkosivustosi ja kumppanisi vaihtavat tietoja palvelimiesi kanssa. Testaamme, voiko kukaan sen kautta lukea tai muuttaa tietoja, jotka eivät kuulu hänelle.

Lisätietoa palvelusta

Sovellusten tietoturva

Mobiilisovellusten penetraatiotestaus

Tutkimme iOS- tai Android-sovelluksesi ja sen taustalla olevat palvelimet: mitä sovellus säilyttää puhelimessa, mitä siitä voidaan kaivaa esiin ja voiko sen pyyntöjä peukaloida.

Lisätietoa palvelusta

Sovellusten tietoturva

Lähdekoodin tietoturvakatselmointi

Asiantuntijamme lukevat tuotteesi lähdekoodin ja löytävät virheet, jotka johtavat murtoon, myös ne, joita ei näe ulkopuolelta.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Pilven ja Kubernetesin tietoturva-arviointi

Selvitämme, miten pilviympäristösi (AWS, Azure, Google Cloud, Kubernetes) on määritetty: kenellä on pääsy mihinkin, mitkä tiedot ovat avoimia internetiin ja kuinka pitkälle hyökkääjä pääsee ensimmäisen virheen jälkeen.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Infrastruktuurin penetraatiotestaus

Testaamme palvelimesi ja toimistoverkkosi ulkoa ja sisältä: pääseekö hyökkääjä sisään ja ulottuuko hän sen jälkeen kirjanpitojärjestelmään, sähköpostiin tai varmuuskopioihin.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Ulkoisen hyökkäyspinnan arviointi

Löydämme kaiken, mitä yrityksestäsi näkyy internetiin, myös sen, mikä on unohtunut: vanhat verkkosivustot, testipalvelimet, vuotaneet salasanat. Sitten näytämme, mihin niistä voi hyökätä.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

CI/CD:n ja toimitusketjun tietoturva

Selvitämme reitin, jonka koodisi kulkee kehittäjältä asiakkaalle: koontipalvelimet, kolmansien osapuolten kirjastot, pääsyavaimet. Se, joka hallitsee tätä reittiä, hallitsee tuotettasi.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Red Team -operaatiot

Täysimittainen harjoitus. Tiimimme toimii kuin todellinen hyökkääjä, jolla on tavoite, esimerkiksi päästä asiakastietoihin, ja näet, huomaako puolustuksesi sen ja pysäyttääkö se hyökkäyksen.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Purple Team -harjoitukset

Hyökkääjämme ja puolustajasi työskentelevät rinnakkain: näytämme hyökkäystekniikan, tiimisi tarkistaa, näkeekö se sen, ja valvonnan aukot suljetaan saman tien.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Käyttäjän manipuloinnin arviointi

Testaamme ihmisiä, emme koneita: tietojenkalasteluviestejä, puheluita ja pikaviestejä, joilla hyökkääjät hankkivat salasanoja. Saat tietää, kuinka moni työntekijä joutuisi harhaan johdetuksi ja mitä pitää kouluttaa.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Tekoälyn ja LLM-sovellusten tietoturvatestaus

Jos tuotteessasi on chatbot tai muu tekoälymalli, selvitämme, voiko sen suostutella paljastamaan luottamuksellisia tietoja, rikkomaan omia sääntöjään tai toimimaan jonkun toisen puolesta.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Älysopimusten auditointi

Ennen kuin älysopimus hallinnoi rahaa, etsimme sen koodista virheitä, joiden avulla joku voisi nostaa tai jäädyttää varat. Käyttöönoton jälkeen tällaisia virheitä ei voi korjata.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Kryptografian katselmointi

Selvitämme, miten tuotteesi salaa tietoja ja suojaa avaimia: onko algoritmit valittu oikein ja käytetäänkö niitä oikein. Virhe tässä tekee salauksesta hyödyttömän.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Bug bounty -ohjelman hallinta

Bug bounty on ohjelma, jossa riippumattomat tutkijat etsivät haavoittuvuuksia tuotteestasi ja saavat palkkion jokaisesta löytämästään. Käynnistämme ja hoidamme tällaisen ohjelman puolestasi.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Haavoittuvuuksien ilmoitusohjelma (VDP)

Julkinen sivu ja menettely, jotka kertovat tutkijoille, miten he voivat ilmoittaa haavoittuvuudesta sinulle turvallisesti. Ilman niitä raportit katoavat tai saapuvat uhkausten muodossa. Rakennamme prosessin ja käsittelemme saapuvat raportit.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Jatkuva penetraatiotestaus

Yhden vuosittaisen testin sijaan testaamme tuotteesi jokaisen merkittävän muutoksen ympäri vuoden, jotta uusi haavoittuvuus ei odota löytämistään kuukausia.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Compliance-penetraatiotestaus

Penetraatiotesti, joka järjestetään niin, että auditoija, viranomainen tai suuri asiakas hyväksyy sen raportin: PCI DSS, DORA, NIS2, ISO/IEC 27001, SOC 2.

Lisätietoa palvelusta

Kiinnostavat palvelut

En ole vielä varma

Valitse tämä, jos et tiedä, minkä palvelun tarvitset. Kuvaile tehtävä omin sanoin, niin asiantuntija ehdottaa palvelua vastauksessaan.

Verkkosivuston tai tärkeimmän testattavan järjestelmän verkkotunnus tai URL-osoite, esimerkiksi app.example.com.

Mitä pitää testata, miksi juuri nyt ja onko määräaikaa tai compliance-vaatimusta. Ei salasanoja, avaimia eikä haavoittuvuuksien yksityiskohtia.

Vahvistukset

Älä lähetä tällä lomakkeella kirjautumistietoja, avaimia tai haavoittuvuuden yksityiskohtia. Suojatusta kanavasta sovitaan ensimmäisen vastauksen jälkeen.

Automaattinen väärinkäyttötarkistus

Osaühing Ida Portal käsittelee tämän lomakkeen tietoja käydäkseen lomakkeen läpi ja vastatakseen sinulle. Käsittelyn oikeusperuste on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta tai, jos kirjoitat organisaation puolesta, 6 artiklan 1 kohdan f alakohta. Vastaanottajat, siirrot Euroopan talousalueen ulkopuolelle, säilytysajat ja oikeutesi kerrotaan tietosuojaselosteessa.