Testy penetracyjne

Testy penetracyjne (pentesty) są techniczną weryfikacją możliwości przełamania zabezpieczeń przez hakerów, innymi słowy jest to symulacja ataku hakerskiego. Testy bezpieczeństwa to nasza główna specjalizacja i jako ekspercka firma Red Team (zachęcamy do zapoznania się z sylwetkami naszych ekspertów) oferujemy tego typu profesjonalne audyty bezpieczeństwa w pełnym zakresie, wliczając w to m.in.:

• Testy penetracyjne aplikacji:
• • Testy penetracyjne aplikacji webowych, internetowych, stron internetowych, WWW;
  • Testy penetracyjne aplikacji „grubego klienta”, desktopowych, mobilnych;
• Testy penetracyjne infrastruktury:
• • systemy informatyczne, sieci, sieci bezprzewodowe, WiFi;
  • Testy penetracyjne SCADA, OT, IoT;
• Red Teaming:
• • ataki sieciowe, testy socjotechniczne, socjotechnika.

Nasz zespoł posiada następujące certyfikaty z zakresu ofensywnego bezpieczeństwa:

• OSCP (Offensive Security Certified Professional) – aż 10 osób z naszego zespołu!
• OSCE (Offensive Security Certified Expert)
• GXPN (GIAC Exploit Researcher and Advanced Penetration Tester)
• CISSP (Certified Information Systems Security Professional)
• CISA (Certified Information Systems Auditor)
• eWPT (eLearnSecurity Web application Penetration Tester)
• eMAPT (eLearnSecurity Mobile Application Penetration Tester)
• OSWP (Offensive Security Wireless Professional)
• CEH (EC-Council Certified Ethical Hacker)

Za co cenią nas klieci?

 Najwyższe kompetencje z zakresu technicznych aspektów cyberbezpieczeństwa – zobacz konkretne kwalifikacje naszego zespołu.

 W testach biorą udział tylko i wyłacznie osoby z obszernym doświadczeniem zawodowym na poziomie starszego konsultanta, każdy posiada minimum certyfikat OSCP (Offensive Security Certified Professional).

 Prace realizowane są zgodnie z najpopularniejszymi metodykami i standardami takimi jak OWASP, PTES, PCI DSS, […].

 Realizujemy prawdziwe testy penetracyjne – prace wykonywane są przede wszystkim ręcznie, a automatyczne narzędzia wykorzystywane są głównie w początkowych etapach. Dzięki czemu w raportach są wyszczególnione jedynie realnie występujące podatności.

 Wysokiej jakości raporty, pisane manualnie, a nie generowane przy pomocy automatycznych narzędzi. Raporty zawierają takie informacje jak nazwa podatności zgodna z ogólnie przyjętym nazewnictwem (np. z metodyką OWASP w przypadku webaplikacji); ryzyko w skali niskie-średnie-wysokie-krytyczne; ogólne informacje o podatności; scenariusz – kod ładunku, proof-of-concept (PoC); rekomendacje w punktach; odnośniki do dodatkowych informacji o podatności.

 Aby maksymalnie wykorzystać czas w trakcie testów penetracyjnych wykorzystujemy sprawdzone komercyjne oprogramowanie, które pozwala nam na sprawne i bezproblemowe działanie.

 Klient nie musi posiadać wiedzy eksperckiej – doradzamy, pomagamy wybrać najkorzystniejszą opcję i zawsze dostarczamy pracę najwyższej jakości, która podpisana jest nazwiskami konkretnych konsultantów realizujących dane zlecenie.

 Bezpieczeństwo to nasza kilkunastoletnia, prawie 20-letnia pasja – aktywne hobby i rozwój od końca lat 90-tych. Jest to główny powód dlaczego specjalizujemy się ekspercko w wielu dziedzinach cyberbezpieczeństwa, a zróżnicowana wiedza pozwala nam patrzeć z różnych stron na aspekty bezpieczeństwa organizacji.

W bezpieczeństwie zaufanie jest kluczowym czynnikiem – wierzymy, że kluczem do sukcesu jest uczciwość, transparentność, wysokie kwalifikacje i rzetelnie wykonana praca.

Doświadczenie zawodowe z zakresu testów penetracyjnych, tylko naszego podstawowego zespołu to:

• Ponad sto testów penetracyjnych dla podmiotów wchodzących w skład brytyjskiej międzynarodowej grupy bankowej
• Ponad pięćdziesiąt testów penetracyjnych dla podmiotów wchodzących w skład szwajcarskiej międzynarodowej grupy bankowej
• Ponad dwieście testów penetracyjnych dla dużego polskiego portalu internetowego
• Testy penetracyjne oraz audyt konfiguracji instytucji państwowej
• Testy penetracyjne polskiego wystawcy kart płatniczych dwóch najpopularniejszych vendorów
• Wielokrotne testy penetracyjne systemu do składania wniosków kredytowych, na zlecenie jednego z największych polskich banków
• Testy penetracyjne największego polskiego banku
• Testy penetracyjne dużego szwajcarskiego banku
• Testy penetracyjne jednego z polskich banków hipotecznych
• Testy penetracyjne zagranicznej giełdy
• Testy penetracyjne zagranicznego oddziału międzynarodowego banku
• Testy penetracyjne oprogramowania zagranicznego systemu emerytalnego
• Testy penetracyjne koncernu motoryzacyjnego
• Testy penetracyjne dwóch giełd kryptowalut
• Testy penetracyjne kilku sklepów znanych marek odzieżowych
• Testy penetracyjne znanego serwisu internetowego z ofertami pracy
• Testy penetracyjne znanego serwisu internetowego o finansach
• Testy penetracyjne i analizę konfiguracji sieci stacji paliw
• Testy penetracyjne zagranicznej aplikacji do zarządzania compliance w firmie
• Testy penetracyjne aplikacji znanej sieci przychodni lekarskich
• Testy penetracyjne i analiza kodu źródłowego aplikacji znanej zagranicznej wytwórni filmowej

Specyfika przeprowadzonych prac oraz umowy NDA nie pozwalają nam na ujawnienie nazw klientów. Nazwy klientów ujawnione są wyłącznie poniżej, w formie referencji, o ile nie zastrzeżono ich publikacji.

Jesteśmy w stanie zebrać nawet → 10 ← osobowy zespół testerów penetracyjnych o najwyższych kompetencjach na polskim rynku, w którym każdy posiada minimum certyfikat OSCP – poznaj nową jakość wynikającą z naszego obszernego i wieloletniego doświadczenia zawodowego związanego z bezpieczeństwem infrastruktury krytycznej.

Zachęcamy do wysyłania zapytań ofertowych, pomożemy również je sprecyzować. Zaproponujemy najlepsze podejście tak aby sprostać Państwa oczekiwaniom. Nasza wycena jest przejrzysta i opiera się o manday (dzień pracy jednego konsultanta) – jeśli na przykład posiadają Państwo aplikację, która nie jest obarczona wysokim ryzykiem to testy bezpieczeństwa mogą być wykonane ogólnikowo, w krótkim czasie. W przypadku jeśli mamy z kolei do czynienia z aplikacja finansową to zaproponujemy ilość manday adekwatną do wykonania jej audytu bezpieczeństwa – jesteśmy efektywni i elastyczni kosztowo, dlatego możemy dostosować testy penetracyjne do Państwa budżetu. Wyniki pracy prezentujemy w wysokiej jakości raportach – nie generujemy ich przy pomocy automatycznych narzędzi, nasze raporty zawierają konkretne informacje przekazane w przejrzystej postaci. Wykonujemy prawdziwe testy penetracyjne, a nie CTF czy bug bounty – wiemy, że najistotniejsze jest znalezienie jaknajwiększej ilości rzeczywiście występujących błędów, a nie zdobycie „flagi” przez poświęcenie całego czasu testów na eskalację jednej podatności. Efekty naszej pracy są zgodne z powszechnie wykorzystywanymi metodykami oraz standardami, wliczając w to OWASP czy PCI DSS. Dotychczas zaufało nam wiele podmiotów prywatnych oraz instytucje administracji publicznej – skorzystaj z naszych usług i przekonaj się czemu klienci zawsze do nas wracają, nie zależnie czy są to małe czy duże instytucje.

Posiadamy bogate i wieloletnie doświadczenie w pracy na najwyższych pentesterskich stanowiskach w międzynarodowych grupach bankowych – byliśmy etycznymi hakerami w brytyjskim RBS Group (Royal Bank of Scotland) oraz szwajcarskim UBS Group. Jako konsultanci wykonywaliśmy również testy penetracyjne dla wielu polskich banków oraz istytucji finansowych, na przykład dla wystawcy kart płatniczych. Nasze doświadczenie to nie tylko istytucje finansowe, ale też wiele znanych marek e-commerce (sieci sklepów odzieżowych czy elektronicznych), jak również podmioty z branży energetycznej, placówki medyczne czy instytucje rządowe – tzw. infrastruktura krytyczna. Ponadto za zgłoszone luki w zabezpieczeniach posiadamy dziesiątki podziękowań od powszechnie znanych podmiotów, wliczając w to Adobe, Apple, BlackBerry, Deutsche Telekom, eBay, Google, Uniwersytet Harvarda, Microsoft, Netflix, Nokia, VMware oraz Yahoo.

Nasze kwalifikacje poparte są najbardziej uznanymi technicznymi certyfikatami z zakresu testów penetracyjnych – m.in. OSCP (Offensive Security Certified Professional) i GXPN (GIAC Exploit Researcher and Advanced Penetration Tester). Przykładowo certyfikaty te są wyszczególnione w standardzie PCI DSS Penetration Testing Guidance (sekcja 3.1 Certifications). Posiadamy również inne certyfikaty poświadczające nasze kompetencje w zakresie testów penetracyjnych np. eWPT (eLearnSecurity Web application Penetration Tester) – aplikacje webowe; eMAPT (eLearnSecurity Mobile Application Penetration Tester) – aplikacje mobilne; OSWP (Offensive Security Wireless Professional) – sieci bezprzewodowe. Na tle konkurencji wyróżnia nas przede wszystkim fakt, iż w pracach, które wykonujemy biorą udział tylko i wyłącznie profesjonaliści z doświadczeniem oraz szeroko uznanymi certyfikatami – osoby te nie znajdują się jedynie w przesłanej ofercie – ponieważ naszym celem jest budowanie długoterminowej współpracy opartej na rzetelnie wykonanej pracy.

Adam Ziaja jest autorem książki „Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux” (ISBN 9788301193478) poruszającej tematykę informatyki śledczej i reagowania na incydenty (DFIR), wydanej przez Wydawnictwo Naukowe PWN. W książce zostały szczegółowo poruszone tematy ataków oraz ich wykrywania, kompletne zrozumienie ataków pozwala na lepsze wyniki samych testów penetracyjnych, jak również wykonanie wysokiej jakości raportu, który jest najważniejszym efektem pracy testerów penetracyjnych. Ponadto Adam Ziaja jest biegłym sądowym z listy Sądu Okręgowego w Warszawie ze szczególnym uwzględnieniem specjalizacji hacking.

Testy możliwe są w wariantach takich jak black box (testy czarnej skrzynki), gray box (testy szarej skrzynki) oraz white box (testy białej skrzynki). Testy czarnej skrzynki są audytem bezpieczeństwa z perspektywy realnego włamywacza, bez posiadania dodatkowej wiedzy, która nie jest ogólnodostępna. Testy szarej skrzynki natomiast to posiadanie dodatkowej wiedzy, bądź po prostu dostęp, na przykład do logów aplikacji. Testy białej skrzynki lub szklanej skrzynki polegają na audycie kodu aplikacji. W większości przypadków wykonywane są testy czarno i szaro skrzynkowe (w tym przypadku są to najczęściej konta użytkowników z różnymi uprawnieniami) ze względu na najlepszy czynnik ryzyka do ilości wykrywanych błędów i czasu jaki trzeba poświęcić na testy.

Wykonujemy testy bezpieczeństwa przede wszystkim aplikacji webowych (testy penetracyjne aplikacji webowych) zgodnie z metodyką OWASP (wliczając w to OWASP Top Ten jak również OWASP ASVS) oraz infrastruktury (testy bezpieczeństwa sieci) zgodnie z metodyką PTES – są to najpopularniejsze metodyki podejścia, pokrywające analizę ryzyka oraz powszechnie wykorzystywane standardy (np. PCI DSS). Wykonywane przez nas testy pokrywają także analizę podatności (vulnerability assessment) ponieważ w pierwszej kolejności do wyszukiwania błędów wykorzystujemy automatyczne oprogramowanie takie jak skaner podatności czy fuzzer (fuzzing), a następnie sprawdzamy bezpieczeństwo w sposób manualny. Wynikiem czego jest nie tylko wyeliminowanie błędów false positive (błąd pierwszego typu) i umieszczenie w raporcie jedynie rzeczywiście występujących podatności, ale również wykrycie podatności, które nie są możliwe do zidentyfikowania przez automatyczne oprogramowanie – tzw. luki 0-day. Takie podejście pozwala na rzetelne wykonanie testów penetracyjnych, które polegają na symulacji prawdziwego hakerskiego ataku – a nie wykorzystaniu jedynie automatycznych narzędzi, których wyniki zazwyczaj nie są zgodne w pełni ze stanem faktycznym. Skanery podatności często nie wykrywają słabości lub też błędnie je oznaczają – w ataku nawet wykorzystanie z pozoru błahych błedów może skutkować przełamaniem zabezpieczeń. Automatyczne skanowanie jest dla nas jedynie dodatkiem i pomocą, a nie głównym sposobem na wykonanie testu penetracyjnego – co więcej w trakcie wykonywania prac niejednokrotnie sami tworzymy automatyczne narzędzia, które przyspieszają naszą pracę oraz większają szansę na znalezienie podatności.

Q&A

• Czy Państwa raport/praca jest zgodna ze standardem […]?
• Nasza praca jest zgodna ze wszystkimi powszechnie wykorzystywanymi standardami (np. PCI DSS, NIST 800-115) i metodykami (np. OWASP Top 10, OWASP ASVS, PTES, OSSTMM). Ponadto posiadamy wysokie kalifikacje co również niejednokrotnie jest wymogiem tychże standardów.

• Czy wystawiacie Państwo certyfikat OWASP po audycie?
• Nie wystawiamy certyfikatu OWASP ponieważ takowy nie istnieje – „OWASP does not offer any certifications of products or services. Please note that any vendor claiming to have an "OWASP certification" is mistaken. These do not exist.”. Wykonujemy natomiast wszystkie testy penetracyjne aplikacji webowych zgodnie z metodyką OWASP.