Testy penetracyjneeksperckie usługi

Testy penetracyjne (pentesty) są techniczną weryfikacją możliwości przełamania zabezpieczeń przez hakerów. Jako polska firma Red Team Red Team oferujemy tego typu eksperckie audyty bezpieczeństwa w pełnym zakresie, wliczając w to:

  • Testy penetracyjne aplikacji
    • webowych, internetowych, stron internetowych, www
    • desktopowych, grubego klienta
    • mobilnych
  • Testy penetracyjne infrastruktury
    • systemy informatyczne
    • sieci, sieci bezprzewodowe, WiFi
    • OT/IoT, SCADA
  • Red teaming
    • testy socjotechniczne, socjotechnika
ipn
Instytut Pamięci Narodowej (IPN)
24 lipca 2017

Posiadamy bogate i wieloletnie doświadczenie w pracy na najwyższych pentesterskich (etyczny haker) stanowiskach w międzynarodowych grupach bankowych – brytyjskim RBS Group (Royal Bank of Scotland) oraz szwajcarskim UBS Group. Jako konsultanci wykonywaliśmy również testy penetracyjne dla wielu polskich banków oraz istytucji finansowych, na przykład dla wystawcy kart płatniczych. Nasze doświadczenie to nie tylko istytucje finansowe, ale też wiele znanych firm e-commerce (sieci sklepów odzieżowych czy elektronicznych), jak również podmioty z branży energetycznej, placówki medyczne czy instytucje rządowe. Ponadto za zgłoszone luki w zabezpieczeniach posiadamy dziesiątki podziękowań od powszechnie znanych podmiotów wliczając w to Adobe, Apple, BlackBerry, Deutsche Telekom, eBay, Google, Uniwersytet Harvarda, Microsoft, Netflix, Nokia, VMware oraz Yahoo.

Nasze kwalifikacje poparte są najbardziej uznanymi technicznymi certyfikatami z zakresu testów penetracyjnych – m.in. OSCP (Offensive Security Certified Professional) i GXPN (GIAC Exploit Researcher and Advanced Penetration Tester). Przykładowo certyfikaty te są wyszczególnione w standardzie PCI DSS Penetration Testing Guidance (sekcja 3.1 Certifications). Posiadamy również inne certyfikaty poświadczające nasze kompetencje w zakresie testów penetracyjnych np. eWPT (eLearnSecurity Web application Penetration Tester) – aplikacje webowe; eMAPT (eLearnSecurity Mobile Application Penetration Tester) – aplikacje mobilne; OSWP (Offensive Security Wireless Professional) – sieci bezprzewodowe.

Praktyczna analiza powłamaniowa
„Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux” Adam Ziaja, Wydawnictwo Naukowe PWN

Adam Ziaja jest autorem książki „Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux” (ISBN 978-83-01-19347-8) poruszającej tematykę informatyki śledczej i reagowania na incydenty (DFIR), wydanej przez Wydawnictwo Naukowe PWN. W książce zostały szczegółowo poruszone tematy ataków oraz ich wykrywania, kompletne zrozumienie ataków pozwala na lepsze wyniki samych testów penetracyjnych, jak również wykonanie wysokiej jakości raportu, który jest najważniejszym efektem pracy testerów penetracyjnych.

Testy możliwe są w wariantach takich jak black box (testy czarnej skrzynki), gray box (testy szarej skrzynki) oraz white box (testy białej skrzynki). Testy czarnej skrzynki są audytem bezpieczeństwa z perspektywy realnego włamywacza, bez posiadania dodatkowej wiedzy, która nie jest ogólnodostępna. Testy szarej skrzynki natomiast to posiadanie dodatkowej wiedzy, bądź po prostu dostęp, na przykład do logów aplikacji. Testy białej skrzynki lub szklanej skrzynki polegają na audycie kodu aplikacji. W większości przypadków wykonywane są testy czarno i szaro skrzynkowe (w tym przypadku są to najczęściej konta użytkowników z różnymi uprawnieniami) ze względu na najlepszy czynnik ryzyka do ilości wykrywanych błędów i czasu jaki trzeba poświęcić na testy.

Wykonujemy testy bezpieczeństwa przede wszystkim aplikacji webowych (testy penetracyjne aplikacji webowych) zgodnie z metodyką OWASP (wliczając w to OWASP Top Ten jak również OWASP ASVS) oraz infrastruktury (testy bezpieczeństwa sieci) zgodnie z metodyką PTES – są to najpopularniejsze metodyki podejścia, pokrywające analizę ryzyka oraz powszechnie wykorzystywane standardy (np. PCI DSS). Wykonywane przez nas testy pokrywają także analizę podatności (vulnerability assessment) ponieważ w pierwszej kolejności do wyszukiwania błędów wykorzystujemy automatyczne oprogramowanie takie jak skaner podatności czy fuzzer (fuzzing), a następnie sprawdzamy bezpieczeństwo w sposób manualny. Wynikiem czego jest nie tylko wyeliminowanie błędów false positive (błąd pierwszego typu) i umieszczenie w raporcie jedynie rzeczywiście występujących podatności, ale również wykrycie podatności, które nie są możliwe do zidentyfikowania przez automatyczne oprogramowanie – tzw. luki 0-day. Takie podejście pozwala na rzetelne wykonanie testów penetracyjnych, które polegają na symulacji prawdziwego hakerskiego ataku – a nie wykorzystaniu jedynie automatycznych narzędzi, których wyniki zazwyczaj nie są zgodne w pełni ze stanem faktycznym. Skanery podatności często nie wykrywają słabości lub też błędnie je oznaczają – w ataku nawet wykorzystanie z pozoru błahych błedów może skutkować przełamaniem zabezpieczeń. Automatyczne skanowanie jest dla nas jedynie dodatkiem i pomocą, a nie głównym sposobem na wykonanie testu penetracyjnego – co więcej w trakcie wykonywania prac niejednokrotnie sami tworzymy automatyczne narzędzia, które przyspieszają naszą pracę oraz większają szansę na znalezienie podatności.


Q&A

  • Czy Państwa raport/praca jest zgodna ze standardem […]?
  • Nasza praca jest zgodna ze wszystkimi powszechnie wykorzystywanymi standardami (np. PCI DSS, NIST 800-115) i metodykami (np. OWASP Top 10, OWASP ASVS, PTES, OSSTMM). Ponadto posiadamy wysokie kalifikacje co również niejednokrotnie jest wymogiem tychże standardów.

Eksperckie usługi w zakresie bezpieczeństwa IT

Red Team Red Team to wysoce wyspecjalizowana polska firma zajmująca się usługami z zakresu bezpieczeństwa teleinformatycznego. Nasze kompetencje poparte są najbardziej uznanymi certyfikatami, referencjami od znanych podmiotów oraz doświadczeniem zawodowym na najwyższych technicznych stanowiskach, w znanych międzynarodowych firmach. Posiadamy eksperckie doświadczenie w wymienionych niżej dziedzinach:

Red team (atak, ofensywne bezpieczeństwo)

Blue team (obrona, defensywne bezpieczeństwo)

Przeprowadzamy kompleksowe audyty bezpieczeństwa teleinformatycznego (testy bezpieczeństwa). Zapraszamy do zapoznania się z naszymi sylwetkami zawodowymi. Ze względu na rozległe doświadczenie podejmujemy się również innych, nietypowych zleceń związanych z bezpieczeństwem teleinformatycznym.


  1. Autoryzowane ataki (symulacja) odzwierciedlające realne możliwości atakujących od warstwy sieciowej i socjotechniki po aspekty fizycznego bezpieczeństwa.
  2. Atak w postaci wysyłki wiadomości e-mail, która wygląda, jakby została wysłana przez osobę lub firmę znaną użytkownikowi.
  3. Zgodnie z prawem, tylko na zlecenie sądu lub organu państwowego prowadzącego postępowanie przygotowawcze w sprawach karnych.

Słowa kluczowe: testy penetracyjne, testy penetracyjne aplikacji webowych, red teaming, testy podatności, testy socjotechniczne, testy bezpieczeństwa, phishing, analiza powłamaniowa, threat hunting, threat intelligence, informatyka śledcza, reagowanie na incydenty, security operations center (soc), intrusion detection system (ids), audyt kodu źródłowego, audyt konfiguracji, audyt bezpieczeństwa, biegły sądowy z zakresu informatyki, ochrona infrastruktury krytycznej, red team, blue team, purple team, bug bounty.

Referencje

ipn
Instytut Pamięci Narodowej (IPN)
onet
Onet
interia
Interia
wp
Wirtualna Polska
empik
Empik
home
Home.pl

Nota prawna

Wszystkie działania w tym przede wszystkim ataki są wykonywane w pełni legalnie, przez zarejestrowaną na terenie polski firmę Red Team. Działania podejmowane są tylko i wyłącznie w granicach polskiego prawa oraz wymagają pisemnej autoryzacji ze strony danej organizacji. Ataki realizowane są w sposób kontrolowany i mają za cel poprawę bezpieczeństwa, jak również zwiększenie świadomości pracowników na temat dzisiejszych zagrożeń takich jak ataki ukierunkowane (APT). W trakcie realizacji czynności dokładamy wszelkich starań, aby nie zakłócić pracy systemów. Wszystkie informacje pozyskane w trakcie prac traktowane są jako w pełni poufne, wliczając w to na życzenie również nazwę klienta.