Weryfikacja dokumentacji projektowej pod kątem założeń bezpieczeństwa
Zapewniamy kompleksowe uzgodnienie każdego projektu z aktualnie obowiązującymi regulacjami prawnymi, w tym RODO. Dołączenie specjalisty od bezpieczeństwa do zespołu wdrożeniowego już na etapie projektowania danego rozwiązania, pozwala na uniknięcie wielu błędów oraz daje szanse na duże oszczędności w późniejszym etapie cyklu życia aplikacji lub infrastruktury IT.

Testy penetracyjne
Wykonujemy testy penetracyjne, czyli kontrolowane próby przełamania zabezpieczeń, w zależności od potrzeb Klientów bez znajomości szczegółów budowy systemu (testy black-box), z częściową wiedzą (grey-box), jak i testy połączone z przeglądem kodu (testy white-box).

Testy bezpieczeństwa przeprowadzamy w oparciu o standardy OWASP (Open Web Application Security Project), w szczególności OWASP TOP 10 Classification, OWASP ASVS (Application Security Verifiication Standard) i OWASP Testing Guide 4.0 (w tym najlepsze praktyki w testowaniu bezpieczeństwa).

Wykonujemy testy bezpieczeństwa aplikacji mobilnych z wykorzystaniem emulatorów oraz na fizycznych urządzeniach mobilnych, w oparciu o klasyfikację podatności i zagrożeń z listy TOP 10 Mobile Risks organizacji OWASP.

Audyt konfiguracji zabezpieczeń infrastruktury, poszczególnych systemów/usług
Audyt przeprowadzamy za pomocą technik manualnych oraz przy użyciu narzędzi automatycznych.
Obejmuje:

• analizę,
• weryfikację podejścia do konfiguracji,
• sprawdzenie bezpieczeństwa konfiguracji z użyciem narzędzi automatycznych
• i analizę ryzyka opartego na wynikach i zalecenia optymalizacji bezpieczeństwa.

Przedmiotem testów są m.in.:

• uprawnienia,
• nieautoryzowany dostęp,
• konfiguracja
• oraz brakujące poprawki.

Testowanie odporności na ataki DoS/DDoS
Celem jest wykrycie braku ochrony przed niechcianymi działaniami, co prowadzi do zablokowania dostępu do danej usługi w Internecie. Weryfikujemy najczęstsze rodzaje ataków DDoS:

• UDP flood attack
  Wykonywane przez dedykowane skrypty, które generują pakiety UDP o losowych rozmiarach i przedziałach czasowych przypisanych do szacowanego obciążenia.
• HTTP flood attack
  Na podstawie symulacji różnych metod (POST i GET) obsługiwanych przez aplikację. Wygenerowany ruch aplikacji nie będzie odpowiadał standardowemu użytkownikowi, ale oczekiwanemu obciążeniu zasobów.

Audyt statyczny kodu źródłowego
Głównym celem jest zidentyfikowanie nieskutecznych konstrukcji i fragmentów kodu, które odzwierciedlają złe praktyki programistyczne lub błędy bezpieczeństwa. Analiza statyczna pozwala:

• zwiększyć wydajność i stabilność,
• unikać typowych błędów programowania,
• narzucać zasady i standardy kodowania,
• zwiększyć bezpieczeństwo na każdym kolejnym etapie testowania.

Analiza oparta jest na standardach OWASP, w szczególności na klasyfikacji OWASP Top 10 i OWASP Mobile Top 10, ale także na weryfikacji zgodności z: SANS 25, HIPAA, Mitre CWE, CVE NIST, PCI DSS, MISRA, BSIMM.

Testy socjotechniczne, testy procedur i zabezpieczeń fizycznych
Nasi audytorzy przeprowadzą kontrolowany atak socjotechniczny, aby zweryfikować poziom zabezpieczeń, przestrzegania procedur bezpieczeństwa oraz poziom świadomości bezpieczeństwa informacji w organizacji np.:

• próba nakłonienia pracownika do uruchomienia oprogramowania z dostarczonego pendrive;
• kampania e-mailingowa;
• próba nieautoryzowanego wejścia do budynku.

Możliwe jest przeprowadzenie szkolenia dla pracowników z zakresu bezpieczeństwa teleinformatycznego i aktualnych zagrożeń technicznych i socjotechnicznych.