Etikus hackelés és biztonsági felmérés
Egyszeri (point-in-time) vagy folyamatos pentest, proaktív biztonsági felmérés. Minden szolgáltatásnak fix hatóköre, szabványos módszertana és egységes szállítandó anyaga van: vezetői és technikai jelentés, megállapítások az ügyfélplatformon, 60 napos újrateszt. Bevált nemzetközi szabványokra építünk, és ezeket saját laborunkban szerzett gyakorlattal egészítjük ki.
Alkalmazásbiztonság
Az alkalmazások jelentik a szervezet legláthatóbb felületét, és jellemzően ezeket célozzák elsőként a támadók.
A1Webalkalmazás-pentest
Hitelesítés, munkamenet, jogosultság (IDOR), injekciók, SSRF, fájlfeltöltés és üzleti logika, minden szerepkörből. OWASP WSTG és ASVS L1/L2 alapján.
A2API-pentest
REST, GraphQL, SOAP és WCF. BOLA/BFLA, mass assignment, rate limiting, túlzott adatvisszaadás, JWT/JOSE-hibák (OWASP API Security Top 10).
A3Mobilalkalmazás-pentest
Android (Google és Huawei HMS) és iOS: adattárolás, kommunikáció, certificate pinning, root/jailbreak-észlelés, MDM-környezet (OWASP MASVS), a backend API-val együtt. Gray-boxban a legjobb az átfutási idő.
A4Vastag kliens
Asztali .NET-, Java- és Electron-alkalmazások: forgalom, lokális adattárolás, DLL-hijack, közvetlen adatbázis-kapcsolat.
A5MI / LLM-alkalmazás
Chatbotok, RAG-rendszerek és MI-ügynökök: közvetlen és közvetett prompt injection, adatszivárgás, eszközhívások visszaélése (OWASP LLM Top 10).
Infrastruktúra
A hálózat és az identitás a legtöbb incidens útvonala: innen jut el a támadó a koronaékszerig.
B1Külső hálózati pentest + ASM
Támadásifelület-felderítés, VPN- és távelérési portálok, kitett adminfelületek, aldomain-átvétel, e-mail-biztonság.
B2Belső hálózat + Active Directory
Egy átlagos munkavállaló fiókjából indulunk, és megmutatjuk, meddig jut el vele egy támadó: Kerberoasting, ADCS (ESC1–8), NTLM relay, delegáció, megosztások, SQL Server. Ez a red team előszobája, „út a Domain Adminig” ábrával.
B3Wi-Fi-biztonság
Vállalati WPA2/3-Enterprise, vendéghálózat elszigetelése, RADIUS-konfiguráció, rogue AP.
B5Munkaállomás és „elveszett laptop”
Lemeztitkosítás, helyi jogosultság-emelés, USB-eszközkezelés, EDR-megkerülhetőség mérése, tárolt hitelesítő adatok.
B6802.1x / NAC és szegmentáció
Szabad fali portról: hálózati hozzáférés-védelem megkerülése, VLAN-ugrás, elérhető zónák validálása.
E1Red Team és Purple Team
Nem egyes hibákat keresünk, hanem a szervezet immunrendszerét teszteljük: észleli-e a valós támadási láncot (MITRE ATT&CK), meg tudja-e állítani, és milyen gyorsan áll helyre. Purple teamként a védelmi csapattal együtt mérjük, mit lát az EDR és a SIEM.
Felhő és Microsoft 365
A legtöbb kkv-nál a Microsoft 365 a legfontosabb rendszer: levelezés, dokumentumok, identitás.
B4Microsoft 365 / Entra ID felülvizsgálat
MFA-lefedettség, Conditional Access, legacy hitelesítés, adminszerepkörök, OAuth-hozzájárulások, levéltovábbítás, auditnaplózás, külső megosztás.
B4Azure / AWS / GCP
Azure, AWS, GCP és Oracle Cloud: IAM és jogosultság-emelési utak, nyilvános erőforrások, hálózati szabályok, naplózás, mentések. Infrastructure-as-Code (Terraform, Bicep) felülvizsgálata. Rétegenként haladunk, így gyorsabb és olcsóbb.
Ipari (OT) biztonság
A gyártásban a kibertámadás nem csak adat: gép, selejt, leállás és emberi biztonság a tét.
C1OT-alapfelmérés (passzív)
Interjúk, bejárás, passzív forgalomrögzítés tükrözött portról. Eredmény: eszközleltár, kommunikációs mátrix, Purdue/IEC 62443 zónamodell, javítási ütemterv. A vezérlőkhöz nem nyúlunk.
C2OT-pentest (kontrollált)
Csak tesztkörnyezetben vagy karbantartási ablakban, írásos OT-felhatalmazással: IT→OT átjárhatóság, mérnöki állomás, HMI, PLC-hozzáférés-védelem, OPC-UA biztonsági mód.
C4IoT és beágyazott eszközök
A teljes ökoszisztéma: eszköz, firmware (visszafejtés, beégetett jelszavak, frissítési lánc), mobilapp, felhő-backend és hardveres interfészek (UART, JTAG, SPI). Gyártóknak termékkiadás előtt, üzemeltetőknek beszerzéskor.
C3Szegmentáció tervezése és validálása
Zónák és csatornák (IEC 62443-3-2), IT/OT DMZ, biztonságos gyártói távkarbantartás; utána validáljuk, hogy tényleg nem jut át a forgalom.
Folyamatos szolgáltatások
A támadási felület két vizsgálat között is változik, ezért folyamatos figyelemmel kísérjük.
F1ASM Alap
Heti külső felderítés és szkennelés, riasztás az új aldomainekre, portokra és kritikus találatokra, havi riport a portálon.
F2ASM Plusz
Az Alap csomag tartalma + a kritikus találatok kézi validálása, negyedéves vezetői riport, 1 nap külső pentest negyedévente.
F3Folyamatos pentest
Negyedéves kisebb tesztek az új funkciókra és változásokra, újrateszt, trend a portálon.
F4NIS2-retainer
Negyedéves ellenőrzés, phishing-szimuláció, éves újrafelmérés, dokumentáció a következő audithoz.
NIS2, tanácsadás és oktatás
A technikai vizsgálatot folyamat-, felelősségi és tudatossági intézkedésekkel egészítjük ki.
G1NIS2 beszállítói gyorsfelmérés
Érettségi pontszám a NIS2 10 minimum intézkedésére, technikai gyorsellenőrzés, 90 napos javítási terv, a partneri kérdőív igaz válaszokkal. Nem hivatalos audit: arra készítünk fel.
G2Architektúra-felülvizsgálat
Fenyegetésmodellezés (STRIDE) a tervek alapján, még fejlesztés vagy beszerzés előtt, amikor a hibák a legolcsóbban javíthatók.
G3Javítás-támogatás
Konzultáció a fejlesztőkkel és az üzemeltetőkkel, hibavariánsok felkutatása, biztonsági követelmények, regressziós tesztesetek.
D1Phishing-szimuláció
Egyeztetett kampány, összesített statisztika név szerinti megszégyenítés nélkül, utána célzott tréning.
G4Tréningek
Kiberbiztonsági tudatosság (kvízzel, tanúsítvánnyal), OT-biztonság üzemi dolgozóknak és karbantartóknak, NIS2 vezetőknek.
Költséghatékony scoping
Azonos konfigurációjú eszközökből és gépképekből elég a mintát vizsgálni. Sok szerepkörnél a reprezentatív minimumot választjuk. A gray-box teszt (dokumentáció + fiókok) ugyanannyi napból mélyebb eredményt ad, mint a black-box. Felhőben rétegenként haladunk.
Kérjen ajánlatot
Írja le röviden, milyen rendszert vizsgáltatna, és mi a vizsgálat célja: partneri vagy szabályozói elvárás, audit, új rendszer élesítése. Egy munkanapon belül felvesszük Önnel a kapcsolatot.