PLEN
Umów rozmowę
Wszystkie usługi
Testy i audyty

Testy penetracyjne i audyty

Test penetracyjny pokazuje, co atakujący może osiągnąć w Twojej sieci. Audyt ISO 27001, NIS2 albo DORA pokazuje, czego brakuje do spełnienia wymagań. W obu przypadkach dostajesz listę luk z oceną ryzyka i plan działań.

Poproś o wycenęUmów rozmowę

Co obejmują usługi

Pentest zewnętrzny

Kontrolowany atak na wszystko, co Twoja firma wystawia do internetu, z perspektywy atakującego z zewnątrz.

  • Mapa powierzchni ataku: domeny, subdomeny, adresy i usługi widoczne z internetu.
  • Dostęp zdalny i poczta: VPN, pulpit zdalny, serwery pocztowe i panele logowania.
  • Wyszukiwanie podatności i kontrolowane próby ich wykorzystania.
  • Próby logowania słabymi hasłami w granicach ustalonych w zasadach testu.
  • Ocena, co atakujący osiągnąłby w praktyce i jak daleko by zaszedł.
Poproś o wycenę tej usługi

Pentest wewnętrzny (LAN i Active Directory)

Symulacja atakującego, który jest już w sieci, na przykład przez przejęty laptop pracownika albo zainfekowany załącznik.

  • Segmentacja sieci: czy z sieci biurowej da się dojść do serwerów i systemów produkcyjnych.
  • Active Directory: ścieżki do uprawnień administratora domeny, Kerberoasting, AS-REP roasting i usługi certyfikatów (ADCS).
  • Stare protokoły i ustawienia, które ułatwiają przejęcie haseł, na przykład LLMNR i brak podpisywania SMB.
  • Ruch boczny między komputerami i eskalacja uprawnień.
  • Hasła lokalnych administratorów, uprawnienia kont serwisowych i zabezpieczenie stacji roboczych.
Poproś o wycenę tej usługi

Audyt ISO 27001, NIS2 i DORA

Ocena zgodności i dojrzałości względem wybranych wymagań. Sprawdzamy dokumenty, rozmawiamy z osobami odpowiedzialnymi i oglądamy działające zabezpieczenia. Wynik pokazuje stan przed audytem certyfikującym ISO 27001 albo przed audytem z art. 15 ustawy o KSC.

  • ISO 27001: rozdziały 4 do 10 normy i 93 zabezpieczenia załącznika A.
  • NIS2 i ustawa o KSC: środki zarządzania ryzykiem z art. 21 dyrektywy, zgłaszanie incydentów i odpowiedzialność zarządu.
  • DORA: zarządzanie ryzykiem ICT, incydenty, testy odporności i ryzyko dostawców ICT.
  • Próbki dowodów: konfiguracje, uprawnienia, kopie zapasowe i rejestry zdarzeń.
Poproś o wycenę tej usługi

Metodyki i normy

Testy prowadzimy według PTES i NIST SP 800-115. Techniki opisujemy w języku MITRE ATT&CK, żeby zespół bezpieczeństwa mógł je łatwo powiązać z monitoringiem. Audyty prowadzimy według wymagań normy i przepisów, z odniesieniem do konkretnego punktu przy każdym ustaleniu.

  • PTES
  • NIST SP 800-115
  • MITRE ATT&CK
  • CVSS 4.0
  • ISO/IEC 27001:2022
  • NIS2
  • DORA

Jak pracujemy

1

Zakres i zasady

Ustalamy na piśmie zakres, termin i zasady testu albo audytu, w tym wyłączenia i osoby kontaktowe. Podpisujemy zobowiązanie poufności.

2

Rozpoznanie albo przegląd dokumentów

Przy teście mapujemy cele i punkty wejścia. Przy audycie czytamy polityki, procedury i rejestry.

3

Test albo badanie zabezpieczeń

Przy teście wykonujemy kontrolowane ataki. Przy audycie rozmawiamy z osobami odpowiedzialnymi i sprawdzamy próbki dowodów.

4

Raport

Przekazujemy raport z listą luk, oceną ryzyka i planem działań z priorytetami.

5

Omówienie i ponowne sprawdzenie

Omawiamy wyniki z zarządem i zespołem technicznym. Po poprawkach możemy sprawdzić je ponownie.

Co dostajesz

  • Raport z listą luk i oceną ryzyka.
  • Plan działań z priorytetami i szacunkiem pracy.
  • Podsumowanie dla zarządu prostym językiem.
  • Omówienie wyników i potwierdzenie usunięcia luk po ponownym sprawdzeniu.

Co zawiera raport

  • Przy teście: ścieżka ataku krok po kroku, dowody, ocena CVSS 4.0 i odniesienie do MITRE ATT&CK.
  • Przy audycie: ustalenie z odniesieniem do punktu normy albo artykułu przepisu.
  • Ocena zgodności w każdym obszarze.
  • Plan naprawczy z priorytetami, terminami i szacunkiem pracy.

Czego potrzebujemy od Ciebie

  • Przy pentescie zewnętrznym: lista domen i adresów objętych testem.
  • Przy pentescie wewnętrznym: dostęp do sieci przez komputer albo VPN i zwykłe konto domenowe.
  • Przy audycie: dostęp do dokumentacji i czas osób odpowiedzialnych na rozmowy.
  • Osoba kontaktowa po Twojej stronie przez cały czas prac.

Pytania i odpowiedzi

Czym różni się audyt od testu penetracyjnego?

Audyt sprawdza, czy firma ma i stosuje wymagane zasady, procesy i zabezpieczenia. Test penetracyjny sprawdza w praktyce, czy zabezpieczenia wytrzymują atak. Najlepiej działają razem.

Czy test penetracyjny jest wymagany przez NIS2 albo DORA?

NIS2 wymaga oceny skuteczności środków bezpieczeństwa i obsługi podatności, a testy są najprostszym dowodem. DORA wprost wymaga programu testów odporności cyfrowej, a wybrane instytucje finansowe muszą co trzy lata przechodzić testy penetracyjne oparte na analizie zagrożeń (TLPT).

Ile trwa test albo audyt?

Zależy od liczby adresów, systemów i lokalizacji. Termin realizacji podajemy w wycenie po krótkiej ankiecie o zakresie.

Czy po audycie pomożecie usunąć luki?

Tak. Luki możemy zamknąć w ramach usługi vCISO, a plan naprawczy prowadzić w Guardiso z terminami i osobami odpowiedzialnymi.

Zacznijmy od zakresu

Wypełnij krótką ankietę o zakresie prac. Przygotujemy wycenę z terminem i sposobem realizacji. Dane chronimy zobowiązaniem poufności.

Poproś o wycenęUmów rozmowę

Pozostałe usługi

vCISO: wsparcie przy wdrożeniu i certyfikacjiUsługi cyberbezpieczeństwaWszystkie usługi