Schluss mat roden.
Fannt eraus wat en
Ugräifer maache géif.
Fir Organisatiounen déi scho eng Sécherheetsfunktioun hunn a méi brauche wéi e Froebou: Simulatioun vum Ugräifer, déif Pénétratiounstester a komplett Red-Team-Asätz. Op Är Ëmgéigend zougeschnidden, pro Asaz kalkuléiert, ni als Pak verkaaft.
Wat mir ënner
Beschoss huele kënnen
Jiddwer Punkt kann en eegestännegen Asaz sinn oder e Strang vun enger méi grousser Operatioun. Wou se sech an Ärer Ëmgéigend iwwerschneiden, soe mir dat beim Cadrage, amplaz Iech zwee dovun ze verkafen.
Web-Uwendungen an APIen
Manuellt, logikorientéiert Testen iwwer de Scanner eraus: Authentifikatioun a Sessiounsverwaltung, Zougrëffskontroll tëscht Rollen a Cliente, Injection-Ketten, an déi Geschäftslogik un deenen hire Mëssbrauch keen geduecht huet.
Internt Netz an Active Directory
Vum normale Benotzerkont bis zur Iwwernam vum Domain: bloussgeluechte Zougangsdaten, Mëssbrauch vun Delegatioun a Certificaten, Weeër vun der lateraler Bewegung, an d'Vertrauensbezéiungen tëscht Ären Domainen.
Cloud an Identitéiten
AWS, Azure, GCP, Microsoft 365 an Entra ID: Weeër fir d'Rechter auszebauen, Lücken am bedéngten Zougrëff, Mëssbrauch vun Token a Consenten, ope Späicher, an Identitéiten déi roueg Tenants verbannen.
Extern Ugrëffsfläch
Alles wat Dir ongewollt preisgitt: vergiessene Server a Subdomainen, Edge-Apparater a VPNen, Portaler vun Drëtten ënner Ärem Numm, an Zougangsdaten déi laang an Datelecks kurséieren.
Social Engineering
Geziilt Phishing op Basis vun echter Opklärung, Uriff mat Virwand, an d'Zoustellung vu Payloads géint Är tatsächlech Kontrollen — moossbar, belegt, a virdru mat Ärer Leedung ofgemaach.
Kierperlecht Andrénge
Zougang zu Gebaier, Étagen an Technikraim: Matlafen, Kopie vu Badgen, Virwand um Empfang — a wat en Andrénger erreecht, soubal e Laptop un Ärem Netz hänkt.
Mobile a Desktop-Clienten
iOS- an Android-Uwendungen esou wéi Desktop-Clienten: statesch an dynamesch Analys, lokal Datespäicherung, Certificate Pinning, an d'Backend-APIen dohannert.
Quellcode a Build-Pipeline
Code-Review vun den entscheedenden Deeler — Authentifikatioun, Autorisatioun, Kryptografie, Deserialiséierung — plus Är CI/CD-Pipeline, den Ëmgang mat Geheimnisser an Är Ofhängegkeeten.
Purple Team an Erkennung
Bekannten Techniken géint Äert SOC lafe loossen, Säit u Säit mat Äre Verteideger, a moossen wat protokolléiert gouf, wat Alarm ausgeléist huet a wat keen gesinn huet. D'Nojustéiere ass abegraff, net just eng Bewäertung.
En Test huet en Ëmfang.
En Asaz huet
e Zil.
E Pénétratiounstest beäntwert „wat ass hei futti“. En Red-Team-Asaz beäntwert déi méi schwiereg Fro: ka en fäegen, gedëllegen Ugräifer un dat kommen wat eis wierklech schueden géif — a géif et een mierken? Mir maache d'Zil mat Ärer Leedung aus a schaffen dann dorop hin, wéi et eng echt Ugräifergrupp géif maachen, iwwer all d'Weeër déi am Ëmfang sinn.
Bedrohungsgeleet Testen ënner DORA
Als Finanzentitéit erwaart Är Opsiicht ënner Ëmstänn bedrohungsgeleet Pénétratiounstester zousätzlech zu de gewéinlechen Tester. Mir erklären Iech gären, wat dee Kader ëmfaasst, wéi en sech vun eiser Aarbecht ënnerscheet a wéi en Asaz wéi eisen doniewent passt — abegraff den Hiweis, wéini Dir en akkreditéierten Ubidder braucht an net eis.
- Zilgeleet. Am Viraus ofgemaach a schrëftlech festgehalen: d'Bezuelsystem erreechen, eng Kopie vun der Clientsdatebank kréien, dauerhaften Zougang zum Handelsraum bekommen.
- Bedrohungsbaséiert. Mir modelléieren d'Gruppen déi Är Branche plausibel ins Viséier huelen a benotzen hir Method, amplaz einfach dat Séierst ze maachen.
- Vollt Spektrum. Extern, mënschlech, kierperlech an intern Weeër an engem Asaz — genee esou verketten sech echt Ugrëffer.
- Standardméisseg roueg. D'Erkennung ass Deel vum Resultat. Äert SOC gëtt net informéiert, ausser de Szenario verlaangt et.
- Kontrolléiert. Eng nominéiert Kontrollgrupp op Ärer Säit, eng duerchgehend op Deconfliction-Linn, an harten Ofbrochkriterien an den Asazreegelen.
- Nozevollzéien. All Schrëtt mat Zäitstempel, sou datt Dir déi ganz Kette duerno mat Äre Verteideger duerchgoe kënnt an d'Erkennungslécken zoumaacht.
Fënnef Phasen, keng Iwwerraschungen
Alles ass schrëftlech festgehalen, ier eppes ugepak gëtt. Dir wësst zu all Moment, wien testt, wat am Ëmfang läit a wéi Dir eis erreecht, falls eppes ausfält.
Ëmfang an Erlaabnes
Ziler, Ausschlëss, Testfënster an Eskalatiounskontakter — ënnerschriwwe vun engem deen dozou befugt ass.
Opklärung
Erfaassen wat existéiert a wat erreechbar ass — aus ëffentleche Quellen an am ofgemaachte Perimeter.
Ausnotzen
Kontrolléiert Ausnotzung a Rechtausbau, esou wäit verkette wéi den Ëmfang et erlaabt. Kritesch Feststellunge mellen mir nach deeselwechten Dag.
Bericht
Komplett ausgeschafft bannent fënnef Aarbechtsdeeg nom Enn vum Testfënster, duerno zesumme mat Ärem Team duerchgaang.
Nokontroll
Soubal Dir nogebessert hutt, kontrolléiere mir d'Korrekturen a ginn de Bericht nei eraus. Am Präis abegraff, net nach eng Kéier gerechent.
Fir zwee Publikummer zugläich geschriwwen
Eng Zesummefaassung déi Är Direktioun an Äre Assureur liese kënnen, an en technescheen Deel mat deem Är Ingenieuren ouni Iwwersetzung schaffen. Béides am selwechten Dokument, kloer getrennt.
Fir all Ausso e Beweis
Zu all Feststellung gehéieren d'Ufro, d'Äntwert, de Screenshot oder d'Kommandoausgab déi se beleeën — mat Schwieregrad a Reproduktiounsschrëtt, sou datt keen eis muss gleewen.
D'Erzielung vum Ugrëff
Eng chronologesch Duerstellung, wéi d'Kette Schrëtt fir Schrëtt entstan ass. Dat ass meeschtens deen Deel deen intern d'Meenung dréint — an deen deen déi meescht Beriichter ausloossen.
Moossnamen no Prioritéit
Keng Lëscht mat 80 no CVSS zortéierte Punkten, mä: wat als éischt, wat waarde kann, a wéi eng eenzeg Ännerung déi meescht Ugrëffsweeër op eemol ofschneit.
Methodiken no deene mir schaffen
Keng Päck. Kee Dagessaz
aus der Loft gegraff.
Jiddwer Asaz gëtt eenzel kalkuléiert
Zwou gläich grouss Firme kënne sech am Opwand ëm de Faktor fënnef ënnerscheeden. Dofir steet de Cadrage um Ufank: e Gespréich, e kuerze Froebou an, wann et hëlleft, e Bléck op Är Architektur ënner NDA. Dir kritt e schrëftlechen Ëmfang, Asazreegelen an e feste Devis, ier eppes gebucht gëtt. Wat den Devis bestëmmt:
- Unzuel a Komplexitéit vun Uwendungen, Rollen an Integratiounen
- Gréisst vun der interner Landschaft an Unzuel vun Domainen
- Bedeelegt Cloud-Tenants an Identitéitsubidder
- Ob Social Engineering oder kierperlechen Zougang abegraff ass
- Zilgeleeten Asaz oder ofgegrenzten technescheen Test
- Testfënster, Aarbecht ausserhalb vun de Bürosstonnen an Deeg virun Uert
- Ob Äert Erkennungsteam informéiert ass oder net
- Sprooch vum Bericht a vun der Opsiicht virgeschriwwe Format
De Cadrage kascht näischt a verflicht zu näischt. Wa Budget an Opwand net zesummepassen, soe mir Iech dat am éischte Gespréich.
Mat engem Cadrage ufänkenSot eis wat
gepréift soll ginn
Ee, zwee Sätz duergeleeën fir den Ufank. Wann Dir Är Ëmgéigend net per E-Mail beschreiwe wëllt, sot et — da setze mir fir d'éischt e Gespréich ënner NDA un.
L-4367 Belvaux, Lëtzebuerg