Automatisierte Analysen
Jede Woche analysieren wir die im Umfang festgelegten Systeme und Umgebungen. Ein Spezialist prüft die Ergebnisse, und Sie erhalten Nachweise, Prioritäten und Empfehlungen zur Behebung der Schwachstellen.
Umfang definieren
Ihr Team für offensive Sicherheit, kontinuierlich.
Pentesty vereint Spezialisten und eigene Technologien in einem Programm für offensive Sicherheit, das auf Ihr Produkt und Ihr Geschäft zugeschnitten ist. Wir kombinieren Pentests, Red Team, automatisierte Analysen und weitere Leistungen aus unserem Portfolio nach Ihren Risiken und Zielen und begleiten Produktänderungen und den Fortschritt der Behebungen.
Ihr Sicherheitsprogramm zusammenstellenIhr Produkt bestimmt den Umfang.
Jeder Auftrag beginnt mit Ihrem Kontext: Ihrem Produkt, Ihren Risiken und Ihren Prioritäten. Darauf aufbauend erstellen wir einen individuellen Umfang und richten die Tests auf das aus, was Ihren Betrieb, Ihre Daten und das Vertrauen Ihrer Kunden gefährden kann.
Pentest
WebAnwendungen, Authentifizierung, Berechtigungen und Geschäftslogik. Wir bewerten die Abläufe, die Ihren Betrieb tragen.
APIAutorisierung, Datenoffenlegung, Integrationen und Isolation zwischen Benutzern und Organisationen.
MobileAndroid- und iOS-Apps, lokale Speicherung, Kommunikation und Integrationen im Umfang.
InfrastrukturInterne und externe Netzwerke, Dienste, Identitäten und vernetzte Geräte, einschließlich Kameras und Drehkreuzen. Wir bewerten die Sicherheit der im Umfang festgelegten Netzwerk-Assets.
CloudCloud-Konten und -Projekte, Berechtigungen, offengelegte Ressourcen und Vertrauensbeziehungen zwischen Diensten.
Red Team
- Kontinuierliches Red TeamUnser Team führt wiederkehrende Angriffssimulationen durch, überprüft die Ziele mit Ihrem Team und verifiziert die Behebungen zwischen den Übungen.
- Adversary EmulationSzenarien auf Basis relevanter Bedrohungen, um zu bewerten, wie Ihre Abwehr auf die in der Übung vorgesehenen Techniken reagiert.
- Social EngineeringSimulationen, um zu bewerten, wie Ihr Team Manipulations- und Betrugsversuche erkennt und darauf reagiert, nach vereinbarten Szenarien und Grenzen.
- Physisches EindringenTests des physischen Zugangs, integriert in die Red-Team-Szenarien, mit Orten, Zielen und Grenzen, die mit Ihrem Team vereinbart werden.
- Phishing-KampagnenVereinbarte Simulationen, um das Erkennen und Melden von Betrugsversuchen zu messen und Verbesserungen bei Menschen, Prozessen und Kontrollen anzuleiten.
So arbeiten wir
01
Kontext und Prioritäten
Wir verstehen Ihr Produkt, die Risiken für Ihr Geschäft und Ihre Ziele. Gemeinsam wählen wir die Leistungen aus und legen Umfang, Zugänge, Grenzen und Rhythmus des Programms fest.
02
Tests mit Spezialisten und eigenen Technologien
Wir führen die im Umfang vorgesehenen Tests und Übungen durch. Unsere eigenen Technologien unterstützen die Untersuchung, und unsere Spezialisten prüfen die Nachweise und bewerten die Auswirkungen auf Ihr Geschäft.
03
Befunde und Behebungsempfehlungen
Wir stellen die Befunde vor und priorisieren die Behebungen nach Auswirkung. Ihr Team erhält Nachweise und Empfehlungen zur Umsetzung, einschließlich eines Behebungs-Prompts pro Befund.
04
Retests und nächster Zyklus
Wir prüfen die Behebungen in den vereinbarten Retests und dokumentieren die Entwicklung der Befunde. Mit Ihrem Team überprüfen wir die Prioritäten, um den nächsten Zyklus zu planen und Produktänderungen zu berücksichtigen.
Ihr Sicherheitsprogramm zusammenstellen
Die Kombination der Leistungen, der Rhythmus und die Tiefe der Tests werden im Programmumfang festgelegt und mit Ihrem Team überprüft, wenn sich Risiken und Prioritäten ändern.
Klarheit für Entscheidungen. Nachweise zum Beheben.
Sie erhalten von Spezialisten validierte Nachweise und Behebungsprioritäten, die an die Auswirkung auf Ihr Unternehmen geknüpft sind, mit Tiefe und Format passend zu Ihrem Programm oder Projekt.
Unsere Methodik kennenlernenManagement-ZusammenfassungBeispielplattform
Drei Prioritäten für diese Runde
Die folgenden Risiken betreffen Kundendaten und Vertragsverhandlungen. Der erste Punkt sollte vor dem nächsten Release behoben werden.
- Datenexport ohne ZugriffskontrolleRisiko der Offenlegung von KundendatenHoch
- Sitzungen bleiben nach Passwortänderung gültigRisiko der KontoübernahmeMittel
- Weitreichende Berechtigungen eines DienstkontosVergrößert die Auswirkung eines möglichen unbefugten ZugriffsMittel
Technischer BerichtBeispielbefund · CVSS 8.6
Datenexport organisationsübergreifend zugänglich
Ein authentifizierter Benutzer kann Datensätze einer anderen Organisation exportieren, indem er die Kennung in der Anfrage ändert.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <Token der Organisation 2093> HTTP/2 200 Datensätze einer anderen Organisation
Empfehlung: serverseitig prüfen, ob der Benutzer zur angefragten Organisation gehört, bevor der Export erstellt wird.
Abdeckung und EinschränkungenBeispielplattform
Was bewertet wurde und unter welchen Bedingungen
- Webanwendung und AuthentifizierungMit zwei Zugriffsprofilen getestetBewertet
- Öffentliche API v2Staging-UmgebungBewertet
- Zahlungs-WebhooksKeine Partner-Zugangsdaten während des TestfenstersNicht eindeutig
- Android-AppNicht im Umfang dieser RundeNicht enthalten
Validierung der BehebungenBeispiel-Retest
Was sich seit der letzten Runde geändert hat
- Organisationsübergreifender DatenexportAnfrage liefert jetzt 403Behoben
- Sitzungen nach PasswortänderungMobile Sitzungen bleiben weiterhin aktivErfordert Aufmerksamkeit
- Berechtigungen des DienstkontosBerechtigungen auf das Nötige reduziertBehoben
Behebungs-PromptBeispielbefund
Bereit für Ihr Team oder Ihr KI-Tool
Kontext: Die Route GET /api/v2/orgs/:id/export prüft nicht, ob der Benutzer zur angefragten Organisation gehört. Aufgabe: Ergänzen Sie die Prüfung auf dem Server, bevor der Export erstellt wird, und geben Sie 403 zurück, wenn der Benutzer kein Mitglied ist. Validierung: Wiederholen Sie die Anfrage mit dem Token einer anderen Organisation und bestätigen Sie die 403. Bestätigen Sie danach, dass berechtigte Mitglieder weiterhin normal exportieren können.
Ihr Team prüft die Änderung und setzt sie um. Der Retest bestätigt das Ergebnis unter den vereinbarten Bedingungen.
Beispielhafter Inhalt. Tiefe und Format werden für Ihr Programm oder Projekt festgelegt.
Häufige Fragen
Noch Fragen? Schreiben Sie uns an support@pentesty.co
Welche Leistungen bietet Pentesty an?
Wir bieten Pentests für Web, API, Mobile, Infrastruktur und Cloud, automatisierte Analysen und Red-Team-Übungen, einschließlich Adversary Emulation, Social Engineering und Phishing. Wir kombinieren die Leistungen je nach vereinbartem Umfang in einem wiederkehrenden Programm oder einem Einzelprojekt.
Was ist der Unterschied zwischen Pentest und Red Team?
Der Pentest untersucht Schwachstellen in einem definierten Umfang. Das Red Team simuliert die Handlungen eines Angreifers, um zu bewerten, wie Ihre Teams und Kontrollen reagieren. Im kontinuierlichen Programm überprüfen wir die Ziele mit Ihrem Team, führen vereinbarte Kampagnen durch und begleiten die Behebungen. Die Übungen können Adversary Emulation, Social Engineering, Phishing und physisches Eindringen kombinieren.
Wie nutzt Pentesty eigene Technologien?
Unsere eigenen Technologien unterstützen die Spezialisten dabei, Schwachstellen zu untersuchen und die Analysen zu vertiefen. Sie prüfen die Nachweise, bewerten die Auswirkung auf Ihr Produkt und priorisieren die Behebungen nach den Risiken für Ihr Unternehmen.
Was erhalte ich am Ende des Auftrags?
Sie erhalten eine Management-Zusammenfassung und einen technischen Bericht. Jeder Befund enthält Nachweise, Priorität und Behebungsempfehlungen. Ihr Team prüft die Änderungen und setzt sie um. Wir präsentieren die Ergebnisse und, beim Red Team, die Angriffspfade und wie Ihre Teams und Kontrollen auf die Tests reagiert haben.
Was kostet es und wie lange dauert es?
Investition, Fristen und Häufigkeit hängen von den Systemen, Risiken, Zielen und der Tiefe der Arbeit ab. Leistungen, Umfang, Zeitplan, Ergebnisse und Retest-Bedingungen legen wir vor Beginn im Angebot fest.
Wie funktioniert das wiederkehrende Programm?
Wir beginnen mit den Risiken und Zielen Ihres Unternehmens, um festzulegen, welche Leistungen unseres Portfolios in jeder Phase sinnvoll sind. Während des Programms überprüfen wir die Prioritäten mit Ihrem Team, untersuchen Schwachstellen und validieren die vereinbarten Behebungen. Die Kombination der Leistungen, die Häufigkeit der Arbeiten und die Retests werden im Angebot festgelegt.
Kann ich ein Einzelprojekt beauftragen?
Ja. Wenn Sie ein System bewerten, ein bestimmtes Risiko untersuchen oder eine definierte Übung durchführen möchten, können wir ein Einzelprojekt aufsetzen. Umfang, Frist, Ergebnisse und Retest-Bedingungen werden im Angebot vereinbart.
Ist der Retest enthalten?
Der Retest prüft die Behebungen der vereinbarten Befunde. Ob er enthalten ist, seine Frist, die Anzahl der Runden und seine Grenzen werden im Angebot festgelegt. Neue Assets oder wesentliche Änderungen können einen neuen Umfang erfordern.
Hilft der Bericht bei Audits und Compliance?
Die Nachweise können Audits und Konformitätsbewertungen unterstützen. Die Anerkennung hängt von der Anforderung, dem Umfang und der Bewertung des Auditors ab. Der Bericht bescheinigt keine Konformität und garantiert keine Freigabe für ISO 27001, SOC 2, PCI DSS oder LGPD.
Wie werden die Tests genehmigt und durchgeführt?
Vor der Durchführung stimmen wir Genehmigung, Assets, zulässige Techniken, Zeitfenster, Kontakte und Abbruchbedingungen ab. Social Engineering und physische Aktivitäten haben eigene Grenzen. Der Umgang mit den Nachweisen wird mit dem Kunden vereinbart.
Erstellen wir den Umfang für Ihr Produkt?
Sprechen Sie mit unseren Spezialisten über Ihr Produkt, Ihre Risiken und Ihre Prioritäten. Gemeinsam legen wir die Arbeit fest, die für Ihr Unternehmen sinnvoll ist.
Mein Programm erstellen