Pyydä arviointia

Kieli

Sovellusten tietoturva

Verkko, API, mobiili ja lähdekoodi

Infrastruktuuri ja pilvi

Verkot, pilvialustat, verkon ulkoreuna

Hyökkäyssimulaatiot

Tavoitteelliset hyökkäykset ihmisiä, prosesseja ja teknologiaa vastaan

Tekoäly, Web3 ja kryptografia

LLM-sovellukset, älysopimukset, kryptografinen suunnittelu

Ohjelmat ja varmennus

Bug bounty, haavoittuvuuksien ilmoittaminen, jatkuva testaus ja compliance-testaus

Kaikki palvelutKatso, miten toimimme
Pyydä arviointia

Red Team -operaatiot

Tavoitteellinen todellisen hyökkääjän simulaatio ihmisiä, prosesseja ja teknologiaa vastaan: havaittaisiinko hyökkäys ja pysäytettäisiinkö se.

Pyydä tätä palveluaKatso, miten toimimme

Hyökkäyssimulaatiot

Penetraatiotesti kysyy, mitä haavoittuvuuksia on olemassa. Red Team -operaatio kysyy toista: jos kyvykäs hyökkääjä päättäisi saavuttaa tietyn tavoitteen organisaatiossasi, huomaisiko kukaan, ja kuinka nopeasti hänet pysäytettäisiin?

Operaatio suunnitellaan määrittämiesi tavoitteiden, kuten pääsyn maksujärjestelmään tai lähdekoodiin, ja niiden hyökkääjien mukaan, jotka realistisesti tavoittelisivat niitä. Organisaatiossasi operaatiosta tietää vain pieni ohjausryhmä. Puolustajat kohtaavat operaation niin kuin kohtaisivat todellisen hyökkäyksen.

01Laajuus

Mitä testaamme

  • Uhkatieto: kuka hyökkäisi kimppuusi, miksi ja miten
  • Organisaation, sen henkilöstön ja toimittajien tiedustelu
  • Alkutunkeutuminen: tietojenkalastelu, näkyvillä olevat palvelut, toimittaja- ja kumppanikanavat
  • Käyttäjän manipulointi (social engineering) sähköpostitse, puhelimitse ja pikaviestimillä sovituissa rajoissa
  • Oletettu murto (assumed breach): lähtökohtana vaarantunut työasema tai tunnus
  • Pysyvyys, oikeuksien korotus, sivuttaisliike, puolustuksen kiertäminen
  • Toimet tavoitteiden saavuttamiseksi osoitettuina ilman haittaa tiedoille tai toiminnalle
  • Purple Teaming: läpikäynti tekniikka kerrallaan yhdessä puolustajien kanssa

02Toimintatapa

Miten työ tehdään

  1. Tavoitteet ja uhkamalli

    Määritämme tavoitteet yhdessä ohjausryhmän kanssa ja valitsemme emuloitavat hyökkääjät ja niiden tunnetut tekniikat.

  2. Valmistelu

    Infrastruktuuri, peitetarinat ja työkalut valmistellaan tätä operaatiota varten. Riskienhallinta, eskalointiyhteyshenkilöt ja keskeytysehdot sovitaan kirjallisesti.

  3. Toteutus

    Operaatio kestää viikkoja, ei päiviä, ja etenee todellisen hyökkääjän tahdissa. Ohjausryhmälle tiedotetaan jokaisesta merkittävästä vaiheesta.

  4. Läpikäynti

    Operaation jälkeen hyökkäys käydään läpi puolustajien kanssa vaihe vaiheelta. Jokainen tekniikka tarkistetaan lokeista: havaittiinko se, syntyikö hälytys, reagoitiinko siihen.

Menetelmät

03

Mitä saat

  • Hyökkäyksen kuvaus aikajanoineen ja todisteineen jokaisesta vaiheesta
  • Tekniikat luokiteltuina MITRE ATT&CK -luettelon mukaan ja kunkin havaitsemistila
  • Operaation tunnusmerkit, joiden avulla puolustajat voivat tehdä hakuja omiin tietoihinsa
  • Suositukset havaitsemiseen, reagointiin ja koventamiseen
  • Johdon yhteenveto
  • Tekninen raportti: jokainen havainto todisteineen, CVSS 4.0 -vektoreineen, CWE-luokkineen ja korjauksineen
  • Tulosten läpikäynti teknisen tiimisi kanssa
  • Yksi uusintatestaus jokaiselle havainnolle 60 päivän kuluessa raportin toimittamisesta
  • Testaustodistus uusintatestauksen jälkeen

04

Mitä tarvitsemme sinulta

  • Ohjausryhmä, jolla on valtuudet hyväksyä operaatio ja keskeyttää se
  • Tavoitteet määriteltyinä liiketoimintavaikutuksina
  • Kirjallinen hyväksyntä jokaiselle sallitulle käyttäjän manipuloinnin muodolle
  • Hätäyhteyshenkilöt tavoitettavissa koko operaation ajan

05Standardit

Menetelmän taustalla olevat standardit

06Kysymykset

Kysymyksiä tästä palvelusta

Onko tämä DORA-asetuksen mukainen uhkaperusteinen tunkeutumistestaus?

Menetelmä noudattaa TIBER-EU-kehystä, johon DORAn testausstandardit perustuvat: uhkatieto, Red Team -vaihe ja päätösvaihe, jossa hyökkäys käydään läpi. Muodollista DORAn mukaista testiä valvoo valvontaviranomaisesi, ja se asettaa palveluntarjoajille vaatimuksia, muun muassa referenssejä ja vakuutuksen. Se, täytämmekö testisi vaatimukset, selvitetään niitä vasten laajuuden määrittelyssä ennen mitään sitoumuksia.

Meille ei ole koskaan tehty penetraatiotestiä. Kannattaako aloittaa Red Teamingista?

Ei kannata. Red Team -operaatio testaa havaitsemista ja reagointia. Jos perustason haavoittuvuuksia ei ole löydetty ja korjattu, penetraatiotesti antaa samalla vaivalla paljon enemmän.

Mitkä ovat käyttäjän manipuloinnin rajat?

Ne sovitaan kirjallisesti ennen operaatiota. Mikään peitetarina ei käytä uhkailua, henkilökohtaisia vaikeuksia tai terveyttä, kohteina eivät ole työntekijöiden yksityiset tilit tai laitteet, eikä ketään työntekijää nimetä raportissa epäonnistuneeksi.

Mitä tapahtuu, jos löydätte merkkejä todellisesta hyökkääjästä?

Operaatio keskeytetään ja ohjausryhmälle ilmoitetaan heti. Kaikki, mitä olemme havainneet, luovutetaan tietoturvapoikkeaman käsittelyn tueksi.

08Pyyntö

Kerro, mitä pitää testata

  • Verkkosivuston tarkastus maksutta
  • Vastaus 1 työpäivän kuluessa
  • NDA ennen teknisiä yksityiskohtia
  • Kiinteä hinta maksullisissa toimeksiannoissa
  • Ei sitoumuksia

Pyydä arviointia

Kuvaile järjestelmät ja tavoite. Asiakaspäällikkö vastaa 1 työpäivän kuluessa, esittää tarkentavia kysymyksiä ja kertoo seuraavan vaiheen.

Kenelle vastaamme

Vastaamme tähän osoitteeseen, ellet valitse toista kanavaa.

Yksityinen elinkeinonharjoittaja kirjoittaa oman nimensä.

Toivottu yhteyskanava
Mitä arvioidaan
Kiinnostavat palvelut

Valitse kaikki sopivat.

Maksuton tarkastus

Tarkastamme verkkosivustosi maksutta

Jos emme löydä ongelmia, saat myös raportin maksutta. Maksat raportista vain, jos löydämme ongelmia, ja sen hinta riippuu niiden määrästä ja vakavuudesta.

Maksuttoman verkkosivuston tietoturvatarkastuksen ehdot

Sovellusten tietoturva

Infrastruktuuri ja pilvi

Hyökkäyssimulaatiot

Tekoäly, Web3 ja kryptografia

Ohjelmat ja varmennus

Sovellusten tietoturva

Maksuton verkkosivuston tietoturvatarkastus

Tarkastelemme verkkosivustoasi ulkopuolelta samalla tavalla kuin hyökkääjä ja tarkastamme, voiko sille murtautua: heikot asetukset, vanhentuneet ohjelmistot, näkyvillä olevat tiedostot, turvattomat lomakkeet. Tarkastus on maksuton.

Lisätietoa palvelusta

Sovellusten tietoturva

Verkkosovellusten penetraatiotestaus

Yritämme murtautua verkkosovellukseesi niin kuin todellinen hyökkääjä: kirjautua muiden ihmisten tileille, lukea muiden asiakkaiden tietoja, muuttaa hintoja tai tilauksia. Saat tietää, mikä on mahdollista, ennen kuin rikolliset saavat sen selville.

Lisätietoa palvelusta

Sovellusten tietoturva

API-tietoturvatestaus

API-rajapinta on kanava, jonka kautta sovelluksesi, verkkosivustosi ja kumppanisi vaihtavat tietoja palvelimiesi kanssa. Testaamme, voiko kukaan sen kautta lukea tai muuttaa tietoja, jotka eivät kuulu hänelle.

Lisätietoa palvelusta

Sovellusten tietoturva

Mobiilisovellusten penetraatiotestaus

Tutkimme iOS- tai Android-sovelluksesi ja sen taustalla olevat palvelimet: mitä sovellus säilyttää puhelimessa, mitä siitä voidaan kaivaa esiin ja voiko sen pyyntöjä peukaloida.

Lisätietoa palvelusta

Sovellusten tietoturva

Lähdekoodin tietoturvakatselmointi

Asiantuntijamme lukevat tuotteesi lähdekoodin ja löytävät virheet, jotka johtavat murtoon, myös ne, joita ei näe ulkopuolelta.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Pilven ja Kubernetesin tietoturva-arviointi

Selvitämme, miten pilviympäristösi (AWS, Azure, Google Cloud, Kubernetes) on määritetty: kenellä on pääsy mihinkin, mitkä tiedot ovat avoimia internetiin ja kuinka pitkälle hyökkääjä pääsee ensimmäisen virheen jälkeen.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Infrastruktuurin penetraatiotestaus

Testaamme palvelimesi ja toimistoverkkosi ulkoa ja sisältä: pääseekö hyökkääjä sisään ja ulottuuko hän sen jälkeen kirjanpitojärjestelmään, sähköpostiin tai varmuuskopioihin.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

Ulkoisen hyökkäyspinnan arviointi

Löydämme kaiken, mitä yrityksestäsi näkyy internetiin, myös sen, mikä on unohtunut: vanhat verkkosivustot, testipalvelimet, vuotaneet salasanat. Sitten näytämme, mihin niistä voi hyökätä.

Lisätietoa palvelusta

Infrastruktuuri ja pilvi

CI/CD:n ja toimitusketjun tietoturva

Selvitämme reitin, jonka koodisi kulkee kehittäjältä asiakkaalle: koontipalvelimet, kolmansien osapuolten kirjastot, pääsyavaimet. Se, joka hallitsee tätä reittiä, hallitsee tuotettasi.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Red Team -operaatiot

Täysimittainen harjoitus. Tiimimme toimii kuin todellinen hyökkääjä, jolla on tavoite, esimerkiksi päästä asiakastietoihin, ja näet, huomaako puolustuksesi sen ja pysäyttääkö se hyökkäyksen.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Purple Team -harjoitukset

Hyökkääjämme ja puolustajasi työskentelevät rinnakkain: näytämme hyökkäystekniikan, tiimisi tarkistaa, näkeekö se sen, ja valvonnan aukot suljetaan saman tien.

Lisätietoa palvelusta

Hyökkäyssimulaatiot

Käyttäjän manipuloinnin arviointi

Testaamme ihmisiä, emme koneita: tietojenkalasteluviestejä, puheluita ja pikaviestejä, joilla hyökkääjät hankkivat salasanoja. Saat tietää, kuinka moni työntekijä joutuisi harhaan johdetuksi ja mitä pitää kouluttaa.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Tekoälyn ja LLM-sovellusten tietoturvatestaus

Jos tuotteessasi on chatbot tai muu tekoälymalli, selvitämme, voiko sen suostutella paljastamaan luottamuksellisia tietoja, rikkomaan omia sääntöjään tai toimimaan jonkun toisen puolesta.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Älysopimusten auditointi

Ennen kuin älysopimus hallinnoi rahaa, etsimme sen koodista virheitä, joiden avulla joku voisi nostaa tai jäädyttää varat. Käyttöönoton jälkeen tällaisia virheitä ei voi korjata.

Lisätietoa palvelusta

Tekoäly, Web3 ja kryptografia

Kryptografian katselmointi

Selvitämme, miten tuotteesi salaa tietoja ja suojaa avaimia: onko algoritmit valittu oikein ja käytetäänkö niitä oikein. Virhe tässä tekee salauksesta hyödyttömän.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Bug bounty -ohjelman hallinta

Bug bounty on ohjelma, jossa riippumattomat tutkijat etsivät haavoittuvuuksia tuotteestasi ja saavat palkkion jokaisesta löytämästään. Käynnistämme ja hoidamme tällaisen ohjelman puolestasi.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Haavoittuvuuksien ilmoitusohjelma (VDP)

Julkinen sivu ja menettely, jotka kertovat tutkijoille, miten he voivat ilmoittaa haavoittuvuudesta sinulle turvallisesti. Ilman niitä raportit katoavat tai saapuvat uhkausten muodossa. Rakennamme prosessin ja käsittelemme saapuvat raportit.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Jatkuva penetraatiotestaus

Yhden vuosittaisen testin sijaan testaamme tuotteesi jokaisen merkittävän muutoksen ympäri vuoden, jotta uusi haavoittuvuus ei odota löytämistään kuukausia.

Lisätietoa palvelusta

Ohjelmat ja varmennus

Compliance-penetraatiotestaus

Penetraatiotesti, joka järjestetään niin, että auditoija, viranomainen tai suuri asiakas hyväksyy sen raportin: PCI DSS, DORA, NIS2, ISO/IEC 27001, SOC 2.

Lisätietoa palvelusta

Kiinnostavat palvelut

En ole vielä varma

Valitse tämä, jos et tiedä, minkä palvelun tarvitset. Kuvaile tehtävä omin sanoin, niin asiantuntija ehdottaa palvelua vastauksessaan.

Verkkosivuston tai tärkeimmän testattavan järjestelmän verkkotunnus tai URL-osoite, esimerkiksi app.example.com.

Mitä pitää testata, miksi juuri nyt ja onko määräaikaa tai compliance-vaatimusta. Ei salasanoja, avaimia eikä haavoittuvuuksien yksityiskohtia.

Vahvistukset

Älä lähetä tällä lomakkeella kirjautumistietoja, avaimia tai haavoittuvuuden yksityiskohtia. Suojatusta kanavasta sovitaan ensimmäisen vastauksen jälkeen.

Automaattinen väärinkäyttötarkistus

Osaühing Ida Portal käsittelee tämän lomakkeen tietoja käydäkseen lomakkeen läpi ja vastatakseen sinulle. Käsittelyn oikeusperuste on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta tai, jos kirjoitat organisaation puolesta, 6 artiklan 1 kohdan f alakohta. Vastaanottajat, siirrot Euroopan talousalueen ulkopuolelle, säilytysajat ja oikeutesi kerrotaan tietosuojaselosteessa.