Zakres oferty

Wykonujemy testy penetracyjne infrastruktury sieciowej, audyty bezpieczeństwa jak również usługi red teamingowe – techniki ofensywne pozwalające odnaleźć podatności, które umknęłyby niedostrzeżone do czasu prawdziwego ataku.

Główne korzyści:
  • Kompletna i obiektywna informacja o potencjalnych zagrożeniach oraz ich rzeczywistym wpływie na bezpieczeństwo zasobów IT organizacji.
  • Alokacja zasobów bezpieczeństwa zgodnie z rzeczywistymi potrzebami. Zapewnienie zgodności z tymi przepisami, które wymagają stosowania testów penetracyjnych czy okresowych audytów bezpieczeństwa.
  • Weryfikacja poziomu świadomości użytkowników końcowych w zakresie różnego rodzaju zagrożeń w szczególności ataków socjotechnicznych.
 
Testy i audyty są przeprowadzane są przez zespół inżynierów posiadających certyfikaty takie jak poświadczenie bezpieczeństwa osobowego do klauzuli "Tajne" oraz "NATO Secret", CISA, CISSP, Core Impact Certified Professional, Audytor wiodący ISO 27001.
Posiadają oni  wieloletnie doświadczenie w wykonywaniu prac wdrożeniowych, szkoleniowych oraz audytorskich pozyskane podczas realizacji szeregu skomplikowanych projektów dla największych firm i instytucji.

Firma Passus SA spełnia wymagania stawiane przez Agencję Bezpieczeństwa Wewnętrznego i posiada świadectwa bezpieczeństwa przemysłowego, które potwierdzają zdolność spółki do realizacji usług w instytucjach i gałęziach przemysłowych związanych z dostępem do informacji niejawnych - krajowych jak i NATO oraz Unii Europejskiej.

Testy penetracyjne
Nasza oferta zawiera pełny zakres testów penetracyjnych realizowanych z wykorzystaniem aplikacji CORE Impact Pro lub dedykowanych testów manualnych. Dedykowane, manualne testy penetracyjne odzwierciedlają faktyczny sposób działania cyberprzestępców podczas ataków wymierzonych w konkretną organizację.
Zakres oferty:
  • Testy penetracyjne sieci przewodowej
  • Testy penetracyjne sieci bezprzewodowej
  • Testy penetracyjne ochrony styku z internetem
  • Testy penetracyjne ochrony stacji roboczych
  • Testy penetracyjne ochrony poczty email
  • Testy penetracyjne infrastruktury Active Directory
  • Testy aplikacji (po dokładnym uzgodnieniu z działem bezpieczeństwa)
Audyty bezpieczeństwa

Oferujemy Państwu audyty mające na celu identyfikację słabych punktów w infrastrukturze IT, weryfikację skuteczności istniejących systemów bezpieczeństwa oraz uzyskanie rekomendacji dotyczących redukcji ryzyka uzyskania nieautoryzowanego dostępu do danych.

Audyt może obejmować następujące elementy:

  • infrastrukturę WiFi – audyt urządzeń jak i konfiguracji z próbą przełamania zabezpieczeń w celu uzyskania nieautoryzowanego dostępu do infrastruktury bezprzewodowej.
  • infrastrukturę 802.1x - audyt zarówno urządzeń jak i konfiguracji z próbą przełamania zabezpieczeń w celu uzyskania nieautoryzowanego dostępu do infrastruktury.
  • podatność pracowników – testy polegające na próbach uzyskania nieautoryzowanego dostępu do danych poprzez „atakowanie” pracowników, najczęściej poprzez phishing.
  • próba dostępu do dedykowanego zasobu
  • testowanie bezpieczeństwa aplikacji internetowych w oparciu o listę TOP10 OWASP
  • testy bezpieczeństwa realizowane z zewnątrz organizacji, pokazujące ewentualne możliwości przejęcia przez atakującego systemów dostępnych bezpośrednio z Internetu,
  • poszukiwanie istotnych, technicznych informacji o Kliencie (dane dot. firmy, kluczowych pracowników) dostępnych publicznie (metoda białego wywiadu - OSINT)
Redteaming

Rozszerzeniem naszej oferty są operacje red teaming. Są to techniki ofensywne polegające na symulacji ataku wymierzonego w pracownika, system, czy oprogramowanie z uwzględnieniem fizycznego wkroczenia do siedziby organizacji. Wyniki takich działań uwidaczniają różnice pomiędzy spełnianiem wymogów prawnych a faktycznym bezpieczeństwem. Pozwalają oszacować szczelność posiadanych przez organizację systemów oraz odnaleźć podatności w systemie, które umknęłyby niedostrzeżone do czasu prawdziwego ataku. 

W skład operacji redteamingowych oferowanych przez Passus wchodzą:

  1. Email Phishing

- Phishing wewnętrzny - akcja oparta na przesłaniu wiadomości email z domeny łudząco podobnej do domeny firmy z wiadomościami spersonalizowanymi dla poszczególnych grup pracowników. Akcja może mieć na celu instalacje złośliwego oprogramowania, wykradzenie danych do logowania itp.

 - Phishing zewnętrzny - akcja oparta na przesłaniu wiadomości email z zewnętrznej domeny o charakterze tematycznym w celu nakłonienia pracowników do np. otwarcia załącznika, kliknięcia na link w celu instalacje złośliwego oprogramowania, wykradzenie danych do logowania itp.

 

  1. WiFi

 - udostępnienie access pointa o nazwie zbliżonej do firmowych hotspot - akcja oparta o wystawienie na terenie budynku fałszywych AP, ich zadaniem jest wyciagnięcie danych dostępowych od pracowników.

- atak deautentykacyjny na urządzenia mobilne podpięte do sieci wifi na terenie ogólnodostępnym biurowca i przepięcie pracowników do podstawionego access point - - akcja ma na celu sprawdzenie konfiguracji urządzeń mobilnych i pozyskanie danych dostępowych.

- nasłuch sieci - akcja ma na celu sprawdzenie możliwości nasłuchiwania sieci bezprzewodowych z bliskiej odległości lub pozostawienie urządzenia do nasłuchu na terenie biurowca.

 

  1. Hardware attack

- uzbrojone gadżety pozyskane przez pracowników - akcja ma na celu sprawdzenie czy pracownicy podpinają do swoich zasobów urządzenia nieautoryzowane otrzymane od przypadkowych osób, lub znalezione „przypadkiem”, na terenie biurowca lub poza jego przestrzenią tym samym stwarzając zagrożenie instalacji  złośliwego oprogramowania na urządzeniu.

 

  1. Dostęp fizyczny

 - dostęp do poszczególnych stref budynku przez nieautoryzowaną osobę.

 - możliwość podjęcia próby wystawienia kanału zwrotnego z poszczególnych obszarów.

Masz pytania?


passus@passus.com

+48 695 444 803