testy penetracyjne

Testy penetracyjne

Testy penetracyjne to symulacja hakerskiego ataku, którego celem jest weryfikacja zabezpieczeń danego zasobu, takiego jak sieci czy wszelkiego rodzaju aplikacje, od aplikacji webowych, przez aplikacje mobilne, po aplikacje desktopowe oraz klient-serwer. Dotychczas wykonaliśmy setki testów penetracyjnych, zarówno dla biznesu jak i infrastruktury krytycznej.

Testy bezpieczeństwa IT

Jest to jedna z naszych głównych usług, posiadamy wieloletnie doświadczenie w testach cyberbezpieczeństwa i dotychczas przeprowadziliśmy już kilkaset testów penetracyjnych dla wielu znanych międzynarodowych organizacji, od banków, przez firmy e-commerce, po instytucje państwowe i różnego rodzaju przedsiębiorstwa wchodzące w skład infrastruktury krytycznej. Wszyscy pentesterzy wykonujący testy bezpieczeństwa posiadają najbardziej uznany na świecie certyfikat OSCP (Offensive Security Certified Professional), a dodatkowo wiele innych certyfikatów, również z podziałem na poszczególne specjalizacje pentestów jak na przykład sieci bezprzewodowe (Wi-Fi) i certyfikat OSWP (Offensive Security Wireless Professional), czy też certyfikaty innych podmiotów, przykładowo GIAC Exploit Researcher and Advanced Penetration Tester (GXPN). Każdy pentester posiada ponadto wieloletnie doświadczenie zawodowe w zakresie testów bezpieczeństwa dla znanych podmiotów. Tym samym spełniamy z nawiązką wymagania standardów takich jak na przykład PCI DSS Penetration Testing Guidance. Wszystkie raporty tworzone są przez naszych konsultantów, a nie bezmyślnie generowane przez automatyczne oprogramowanie. Nasi testerzy penetracyjni znaleźli wiele słabości i luk w zabezpieczeniach powszechnie wykorzystywanego oprogramowania, a dzięki czemu ich wiedza jest powszechnie uznana.

Dlaczego my? Wiedza i doświadczenie

Posiadamy bogate doświadczenie zawodowe na najwyższych stanowiskach związanych z realizacją testów penetracyjnych, wliczając w to zarówno międzynarodowe grupy bankowe (np. Paweł Wyleciał pracował jako lider zespołu pentesterów, a zarazem główny tester penetracyjny w brytyjskiej grupie bankowej RBS – Royal Bank of Scotland) jak i największe na świecie firmy konsultingowe (np. Adam Ziaja pracował jako starszy konsultant ofensywnego cyberbezpieczeństwa – wliczając w to pentesty i red teaming – w globalnej firmie konsultingowej Deloitte).

Dotychczas wykonaliśmy dosłownie setki pentestów dla największych organizacji. Wliczając w to testy cyberbezpieczeństwa szerokiego spektrum instytucji finansowych, od praktycznie każdego rodzaju aplikacji bankowych udostępnianych klientom, przez mainframe giełdy i infrastrukturę fabryki kart płatniczych, po aplikacje obsługujące fizyczne wpłatomaty, sortownie gotówki banku czy giełdy kryptowalut. Nie sposób wskazać rodzaj informatycznych systemów, których jeszcze nie testowaliśmy ponieważ nasze doświadczenie pokrywa także najbardziej krytyczne państwowe aplikacje, różnego rodzaju podmioty medyczne czy wiele innych organizacji wchodzących w skład infrastruktury krytycznej. Nasze kompetencje to nie tylko weryfikacja zabezpieczeń skrajnie krytycznych systemów ale również prywatne przedsiębiorstwa takie jak e-commerce, w tym znane sieci sklepów, witryny konkursów dużych przedsiębiorstw czy też różnego rodzaju startupy.

Każdy tester penetracyjny posiada realne doświadczenie zawodowe i kompetencje na poziomie starszego konsultanta oraz co najmniej najbardziej uznany na świecie certyfikat z tego zakresu czyli OSCP (Offensive Security Certified Professional), zazwyczaj zdany kilka lat wcześniej, a ponadto inne certyfikaty świadczące o kompetencjach w danych specjalizacjach ofensywnego bezpieczeństwa. Wszystkie prace realizujemy nie tylko zgodnie z najpopularniejszymi metodykami, ale również wyniki poszerzone są o nasze bogate doświadczenie zawodowe, efektem czego zgłaszane błędy niejednokrotnie wykraczały poza zakres uwzględniany w metodykach. Dzięki powyższym z nawiązką spełniamy zalecenia przykładowo standardu PCI DSS Penetration Testing Guidance. Nasza praca nie sprowadza się jedynie do uruchomienia automatycznego oprogramowania i wygenerowania raportu – prace wykonujemy przede wszystkim ręcznie, a tworzony przez nas raport zawiera konkretne i przydatne informacje. Do testów przystępujemy z nastawieniem, że od jakości naszej pracy zależeć będzie nie tylko zadowolenie klienta, ale przede wszystkim bezpieczeństwo, którego słabości mogą pociągnąć za sobą daleko idące konsekwencje wykraczające poza daną organizację.

Ponadto otrzymaliśmy liczne i publicznie dostępne podziękowania za zgłoszone błędy bezpieczeństwa w powszechnie znanych produktach globalnych marek, m.in. Adobe, Apple, BlackBerry, Google, Microsoft, Netflix, Nokia i VMware. Dodatkowo otrzymaliśmy też podziękowania w formie referencji od największych polskich portali takich jak Onet, Interia i Wirtualna Polska.

Warto również wspomnieć, że Paweł Wyleciał jest współtwórcą i organizatorem uznanej międzynarodowej konferencji WarCon, skupionej wokół ofensywnych aspektów cyberbezpieczeństwa – jest to nie tylko nasza praca, a prawie 20-letnia pasja, której poświęcamy się również w czasie wolnym. Adam Ziaja jest biegłym sądowym za zakresu informatyki z listy Sądu Okręgowego w Warszawie, ze szczególnym uwzględnieniem specjalizacji cyberbezpieczeństwo i hacking.

Nasza wiedza i doświadczenie pozwalają nam na symulowanie prawdziwych zaawansowanych hakerskich ataków na miarę XXI wieku. Zachęcamy do zapoznania się z naszymi sylwetkami oraz dostępnymi na życzenie licznymi referencjami od znanych podmiotów za realizację testów bezpieczeństwa.

Testy penetracyjne blackbox

Zarówno testy penetracyjne systemów informatycznych jak i testy penetracyjne aplikacji mogą być przeprowadzane z perspektywy potencjalnego włamywacza, oznacza to, że tester penetracyjny nie posiada dodatkowych informacji ponad te, które są dostępne publicznie. Innymi słowy w przypadku audyt bezpieczeństwa systemu teleinformatycznego pentester nie ma dostępu do architektury danej sieci, informacji o systemach w niej występujących itp. Z kolei przeprowadzając audyt bezpieczeństwa strony internetowej etyczny haker nie posiada dodatkowych dostępów poza tymi, które może uzyskać samodzielnie np. poprzez rejestrację konta w systemie.

Zazwyczaj przeprowadzając audyt bezpieczeństwa aplikacji webowych wykonujemy testy penetracyjne graybox, które dodatkowo pokrywają obszary aplikacji dostępne wyłącznie po uwierzytelnieniu, co pozwala na wykonanie testów horyzontalnych i wertykalnych eskalacji uprawnień między użytkownikami. Pionowa eskalacja to przypadek w którym użytkownik o niższych uprawnieniach może uzyskać szerszy dostęp, natomiast eskalacja pozioma polega na możliwości uzyskania dostępu do zasobów przeznaczonych dla innego użytkownika o tych samych lub zbliżonych uprawnieniach.

Testy penetracyjne whitebox

Tego typu audyty bezpieczeństwa są rozszerzoną wersją testów penetracyjnych graybox i polegają na wykorzystaniu praktycznie pełnej wiedzy o testowanych zasobach. W przypadku audytu bezpieczeństwa stron internetowych jest to przykładowo dodatkowy dostęp do dokumentacji i kodu źródłowego aplikacji webowej, poza tym co pentester otrzymuje w stosunku do testów blackbox.

Testy penetracyjne aplikacji webowych

Przeprowadzamy testy penetracyjne stron WWW zgodnie z najpopularniejszą i szeroko uznaną metodyką OWASP (The Open Web Application Security Project), z uwzględnieniem OWASP Top 10 oraz OWASP ASVS (Application Security Verification Standard). Prace przeprowadzane są w taki sposób aby odnaleźć jak najwięcej istotnych luk, a nie tylko tych, które opisane są w metodyce. Przede wszystkim szukamy błędów, które realnie mogą zaszkodzić biznesowi. Tego typu testy penetracyjne wykonywane są głównie manualnie, celem wykrycia nieznanych błędów, takich które są niemożliwe do wykrycia przez automatyczne oprogramowanie.

Testy penetracyjne aplikacji natywnych

Wykonujemy testy penetracyjne aplikacji desktopowych i testy penetracyjne aplikacji klient-serwer. Jesteśmy w stanie przetestować bezpieczeństwo aplikacji napisanych na platformy Windows, Linux oraz OS X.

Testy penetracyjne aplikacji mobilnych

Przeprowadzamy testy penetracyjne aplikacji mobilnych na platformy iOS oraz Android. Opieramy się na OWASP Mobile (The Open Web Application Security Project), z uwzględnieniem OWASP Mobile Top 10 oraz OWASP MASVS (Mobile Application Security Verification Standard) poszerzonymi o nasze doświadczenie w znajdowaniu luk w aplikacjach mobilnych.

Testy penetracyjne infrastruktury

Wykonujemy testy penetracyjne sieci każdego typu (LAN/WAN/WLAN/Wi-Fi), zgodnie z metodyką PTES (The Penetration Testing Execution Standard). Testy mogą być wykonane zarówno z sieci zewnętrznej (Internet, Wi-Fi itp) jak i wewnętrznej (LAN, VPN). Dzięki temu jesteśmy w stanie sprawdzić infrastrukturę tak jak gdyby atakujący był obecny w sieci wewnętrznej organizacji, co szczególnie w przypadku systemów Windows otwiera możliwość na wykonanie szeregu groźnych ataków.

Testy penetracyjne sieci LAN

Testy bezpieczeństwa sieci lokalnej mogą być wykonywane zarówno zdalnie, przez Internet (VPN) jak i lokalnie w siedzibie organizacji. Różnią się od typowych testów infrastruktury tym, że pentester posiada dostęp taki sam jak intruz, któremu udało się uzyskać dostęp do sieci wewnętrznej. Należy mieć tutaj również na uwadze, że jest to również symulacja wewnętrznego intruza, którym to może być przykładowo nieuczciwy pracownik działający na szkodę przedsiębiorstwa. Takie audyt bezpieczeństwa sieci LAN pozwala na większe spektrum ataków, na które wpływa również wewnętrzna konfiguracja sieci i systemów, jak na przykład ustawienia systemu Windows.

Testy penetracyjne sieci Wi-Fi

Testy penetracyjne Wi-Fi to audyt bezpieczeństwa sieci bezprzewodowych, który polega na próbach przełamania zabezpieczeń i może dotyczyć zarówno prób dostępu do niej jak i możliwości eskalacji po uzyskaniu dostępu, w ten sposób weryfikowana jest przykładowo separacja sieci czy klientów podłączonych do tego samego punktu dostępu. Posiadamy najbardziej uznany certyfikat z zakresu testów bezpieczeństwa sieci bezprzewodowych czyli OSWP (Offensive Security Wireless Professional).

Wykonujemy również inne ataki na klientów sieci bezprzewodowych, które są częścią usługi red teaming i polegają na atakach socjotechnicznych, przykładowo uruchomieniu fałszywego punktu dostępowego.

Certyfikaty

Posiadamy następujące certyfikaty z zakresu testów penetracyjnych i szeroko pojętego cyberbezpieczeństwa:

  • Offensive Security Certified Professional (OSCP) – cały zespół pentesterów
  • Offensive Security Wireless Professional (OSWP)
  • Offensive Security Certified Expert (OSCE)
  • GIAC Exploit Researcher and Advanced Penetration Tester (GXPN)
  • eLearnSecurity Web application Penetration Tester (eWPT)
  • eLearnSecurity Web application Penetration Tester eXtreme (eWPTX)
  • eLearnSecurity Mobile Application Penetration Tester (eMAPT)
  • Certified Ethical Hacker (CEH)
  • Certified Information Systems Security Professional (CISSP)
  • Certified Information Systems Auditor (CISA)

Koszt testów penetracyjnych

Cena testów penetracyjnych zależy głównie od czasochłonności oraz złożoności prac. Z oczywistych względów, takich jak dodatkowe koszta, praca zdalna (przez Internet) jest tańsza niż praca wykonywana lokalnie u klienta. W celu dokonania dokładnej wyceny prosimy o kontakt e-mailowy.

Testy penetracyjne zgodne z PCI DSS

Spełniamy wymagania Penetration Testing Guidance i wykonujemy testy penetracyjne w oparciu o zalecenia standardu PCI Data Security Standard (PCI DSS).

Każdy tester penetracyjny posiada co najmniej najbardziej uznany na świecie certyfikat z tego zakresu czyli OSCP (Offensive Security Certified Professional).

Poznaj naszą ofertę

Zajmujemy się realizacją najbardziej zaawansowanych technicznych aspektów cyberbezpieczeństwa, zarówno z zakresu ataku jak i obrony. Dzięki zróżnicowanemu doświadczeniu w wielu specjalizacjach bezpieczeństwa IT jesteśmy w stanie szerzej spojrzeć na realizację każdej poszczególnej usługi. Nasze umiejętności wynikają z szerokiego i wieloletniego doświadczenia zawodowego w cyberbezpieczeństwie oraz poparte są certyfikatami, publikacjami i referencjami od znanych podmiotów.