Sicherheitsanalysen
Finden Sie es, bevor es jemand anders tut.
Eine Analyse beantwortet eine Frage, die ein Audit nicht beantworten kann: Was lässt sich mit dem anstellen, was tatsächlich erreichbar ist? Das prüfen wir mit schriftlichem Auftrag, innerhalb eines vereinbarten Umfangs – und wir zeigen unsere Arbeit.
Schwere hängt vom Zusammenhang ab. Derselbe technische Fehler ist im einen System eine Fussnote und im anderen existenzbedrohend. Wir bewerten Befunde danach, was sie in Ihrer Umgebung erreichen – also müssen wir das Geschäft verstehen, bevor wir irgendetwas bewerten.
Das Problem
Eine Scanner-Ausgabe ist keine Analyse.
Automatische Werkzeuge finden bekannte Muster und erzeugen lange Listen – zum grössten Teil Rauschen, nichts davon verkettet. Was sie nicht sagen können: ob drei Befunde niedriger Schwere zusammen einen Weg vom offenen Internet bis in Ihre Kundendatenbank ergeben.
Wir setzen Werkzeuge ein, wo Werkzeuge effizient sind, und verbringen die Zeit dort, wo sie es nicht sind: bei der Logik Ihres konkreten Systems, bei den Annahmen, die es über seine eigenen Nutzer macht, und bei den Wegen zwischen Komponenten, die niemand ins Architekturbild gezeichnet hat.
Umfang
Was geprüft werden kann.
Jeder dieser Punkte ist ein eigener Umfang mit eigenem Auftrag, eigener Zeitplanung und eigenen Regeln.
- BedrohungsmodellierungStrukturierter Durchgang durch das System mit Ihren Entwicklern: Werte, Akteure, Eintrittspunkte – und was wirklich wehtäte.
- Web- und API-PrüfungAuthentisierung, Autorisierung, Geschäftslogik, Eingabebehandlung, Sitzungsverwaltung, Mandantentrennung.
- Cloud-KonfigurationIdentitäts- und Berechtigungspfade, offene Speicher, Netzerreichbarkeit und Rechteausweitung zwischen Konten.
- Internes NetzWas ein Angreifer erreicht, nachdem ein Arbeitsplatz gefallen ist – seitliche Bewegung, offenliegende Zugangsdaten, Segmentierung in der Praxis.
- Red-Team-ÜbungZielorientiertes, leises Vorgehen, das nebenbei misst, ob Ihre Erkennung und Reaktion tatsächlich anschlagen.
- NachprüfungEin gezielter zweiter Durchgang nach der Behebung, der je Befund feststellt, ob er geschlossen ist.
Ablauf
Wie eine Analyse läuft.
Beauftragen
Schriftlicher Umfang, Zielliste, Zeitfenster, erlaubte Techniken, Notfallkontakte und die Bedingung, unter der wir sofort abbrechen.
Kartieren
Aufnehmen, was wirklich erreichbar ist. Die meisten nützlichen Überraschungen passieren hier, bevor irgendetwas ausgenutzt wird.
Prüfen und verketten
Jeden Verdacht von Hand bestätigen und so weit verfolgen, wie der Umfang es zulässt – ein Befund ist erst real, wenn er vorgeführt ist.
Berichten und besprechen
Nachvollziehbare Beschreibungen, ein Durchgang mit Ihren Entwicklern und Einigkeit darüber, was zuerst behoben wird.
Ergebnisse
Was am Ende auf dem Tisch liegt.
Nachvollziehbare Befunde
Jeder mit den genauen Schritten, der betroffenen Komponente, dem beobachteten Ergebnis und der geschäftlichen Auswirkung.
Angriffserzählung
Die Wege, die funktioniert haben, von Anfang bis Ende – damit die Behebung die Route trifft und nicht nur den letzten Schritt.
Erkennungsnotizen
Was Ihre Überwachung von unserem Tun gesehen hat und was nicht – meist die nützlichere Hälfte.
Umgang
Was mit dem passiert, was wir finden.
Durchgehend verschlüsselt
Befunde, Nachweise und Berichte sind bei der Ablage und auf dem Weg verschlüsselt und laufen über einen Kanal, den Sie freigeben.
Termingerecht gelöscht
Testdaten und Nachweise werden zu einem vereinbarten Datum nach der Übergabe vernichtet. Die Frist steht im Vertrag.
Nie eine Referenz
Wir nennen keine Kunden, veröffentlichen keine Befunde und benutzen Ihre Umgebung ohne schriftliche Erlaubnis nicht als Beispiel.
Bereit, Ihre Annahmen prüfen zu lassen?
Schicken Sie uns das System, die Grenze, die Ihnen wichtig ist, und das Datum, bis zu dem der Bericht vorliegen soll. Umfang, Aufwand und Regeln werden schriftlich vereinbart, bevor irgendetwas angefasst wird.