Security Testing Services
In einer sich rasant ändernden Risikolandschaft werden die Bedrohungen immer grösser, da immer neue Angriffsmethoden entstehen. Daher ist es heutzutage essenziell, dass Unternehmen ihre IT-Landschaft regelmässig auf Schwachstellen überprüfen. Regelmässige Penetrationstests sind entscheidend, um potenzielle Sicherheitslücken frühzeitig zu erkennen und zu beheben.
Unsere Pentester (Ethical Hacker) kennen die Tricks, Methoden und Tools der Hacker und finden dadurch die Schwachstellen in Ihren System und Netzwerken, bevor es die Angreifer tun.
Penetration Testing
Ob ganze Applikationen oder einzelne Systeme, ob eigens entwickelte Webapplikation oder eingekaufte Software, ein Penetration Test deckt mögliche Risiken und Schwachstellen auf.
Attack Simulation
Realistische Angriffssimulationen durchführbar in kleineren, einzelnen Modulen für die Überprüfung der Abwehrfähigkeit z. B. für Ransomware.
Red Team
Wie reagiert das interne Blue Team bei einem realistischen Angriff? Dieser Service richtet sich an Unternehmen, die ihre hohe Cyberresilienz noch weiter durch MITRE ATT&CK-basierte Szenarien verbessern wollen.
Basic Security Health Check
Für Organisationen, die in einem ersten Schritt wissen möchten, wie es um ihren Grundschutz steht (Standortbestimmung).
Active Directory Assessment
Das Active Directory (kurz AD) ist das Herzstück jedes Unternehmens und somit bevorzugt für eine Kompromittierung. Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufgedeckt werden, damit diese geschlossen werden.
Interner Penetration Test: Ein interner Penetration Test (Assumed Breach) untersucht Angriffswege im internen Netzwerk eines Unternehmens. Es wird nach kompromittierten Systemen gesucht und Angriffspfade identifiziert. Das Ziel ist es, sich vor Ransomware und unerlaubter Verbreitung zu schützen.
Externer Penetration Test: Ein externer Penetration Test untersucht aus dem Internet erreichbare Systeme auf potenzielle Angriffe. Der Fokus liegt auf realistischen Angriffswegen, um Systeme zu kompromittieren und sich intern weiter auszubreiten. Ein externer Penetration Test kann mit Phishing-Awareness-Kampagnen und OSINT-Gathering kombiniert werden, um ein umfassendes Bild der externen Angriffsfläche zu erhalten.
Web Application Penetration Test: Penetration Test nach ASVS. Der OWASP Application Security Verification Standard (ASVS) wird verwendet, um Web-Applikationen auf Sicherheitsanforderungen und -massnahmen zu prüfen. Er definiert funktionale und nicht-funktionale Sicherheitsmassnahmen für das Design, die Entwicklung und den Test von modernen Webanwendungen.
Cloud Penetration Test: Das Shared Responsibility Model ermöglicht die Übertragung von Verantwortung an den Provider. Dennoch ist es wichtig, die Angriffsfläche zu überprüfen und Zugriffsrechte restriktiv zu halten. Hybrid-Lösungen, wie die Integration einer on-premise Active Directory mit Azure AD, können neue Angriffsmöglichkeiten eröffnen. Weitere Microsoft M365 Elemente wie Teams und SharePoint können auch geprüft werden.
Application Penetration Test: Bei einem Application Penetration Test kann jede beliebige Applikation des Kunden auf Schwachstellen geprüft werden. Der Fokus liegt auf realistischen Angriffswegen, um Systeme zu kompromittieren und zu manipulieren.
Mobile App Penetration Test: Im Mobile Application Penetration Test werden Sicherheitslücken und fehlende Härtungsmassnahmen in Mobile Apps geprüft. Der bewährte Mobile Application Security Verification Standard (MASVS) von OWASP wird verwendet. MASVS definiert Sicherheitsüberprüfungsstufen (MASVS-L1 und MASVS-L2) und Reverse-Engineering-Resilienzanforderungen (MASVS-R). Die Erfüllung der Anforderungen führt zu sicheren Apps, die Best Practices folgen.
Mit einer Attack Simulation werden die Sicherheitsmassnahmen sowie die Widerstandsfähigkeit eines Unternehmens mit einem massgeschneiderten Angriffsszenario geprüft. Unsere Experten führen eine realistische und kontrollierte Nachstellung von Hackerangriffen durch, um Schwachstellen aufzudecken und potenzielle Risiken zu identifizieren.
Vorgehen: In einer Attack Simulation werden eine oder mehrere Komponenten einer realen Cyberattacke simuliert und untersucht, wie verwundbar ein Unternehmen für eine bestimmte Form einer Attacke ist. Dies sind Open Source Intelligence (OSINT), Dark Web Research, physische Sicherheit, WLAN Audit und Assumed Breach.
Ziel: Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufdeckt werden, damit diese geschlossen werden können.
Ein Red Teaming umfasst die gezielte Simulation von Angriffen durch unsere Experten, um Ihre Widerstandsfähigkeit gegenüber realen Bedrohungen zu testen. Diese Dienstleistung beinhaltet fortgeschrittene Angriffsszenarien.
Vorgehen: Bei einem Red Teaming werden zunächst Ziele und Angriffsszenarien gemeinsam definiert. Das Team führt anschliesssend aktive Angriffe durch. Die Aufbereitung und der Austausch der Erkenntnisse mit dem Blue Team nach der Operation ist ein zentraler Bestandteil eines Red Teamings.
Ziel: Das Ziel eines Red Teaming ist es, die Widerstandsfähigkeit einer Organisation gegenüber realistischen und gezielten Cyberangriffen zu testen. Dadurch werden Sicherheitslücken und Schwachstellen von Personen, Prozessen und Technologien zur Verteidigung der Umgebung aufgedeckt, um anschliessend geeignete Massnahmen zur Verbesserung der Sicherheit zu ergreifen. Weiter soll mit einem Red Teaming auch geprüft werden, ob das Blue Team (Verteidiger, externes SOC) die Angriffe erkenne können.
Der Grundschutz ist der minimal benötigte Schutz eines Unternehmens. Dieser Grundschutz umfasst eine Reihe von Massnahmen und Kontrollen, die implementiert werden, um die Informationssicherheit zu gewährleisten und potenzielle Risiken und Bedrohungen zu minimieren.
Vorgehen: Bei einem Basic Security Health Check wird die Organisation auf diesen Grundschutz geprüft. Dabei werden folgende Elemente der Reihe nach geprüft: Client Hardening, Active Directories & PW Management, Backup Prozesse & Firewall Konfiguration, vorhanden sein von Phishing Awareness und ob aktives Patchmanagement gelebt wird.
Ziel: Der Basic Health Check dient als Standortbestimmung. Dabei werden vorhandene Schwachstellen im Grundschutz geprüft und aufgedeckt, welche im Standard Vorgehen von Angreifer ausgenützt werden können, damit diese geschlossen werden können.
Die Kompromittierung des Active Directory ist das Ziel vieler Cyber Attacken. Daher ist es zwingend notwendig, dass das Active Directory gut gehärtet ist.
Vorgehen: Beim einem Active Directory Assessment werden dieselben Methoden, Vorgehe, Angriffspfade und Tools (Bloodhund, Pingcastle, Powerview), wie bei realen Angriffen verwendet, um Schwachstellen aufzudecken.
Ziel: Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufdeckt werden. Durch das Umsetzen der Handlungsempfehlungen werden diese Angriffspfade geschlossen und das Active Directory wird robuster gegen Angriffe.
Unsere Security Testing Services:
Penetration Testing
Ob ganze Applikationen oder einzelne Systeme, ob eigens entwickelte Webapplikation oder eingekaufte Software, ein Penetration Test deckt mögliche Risiken und Schwachstellen auf.
Interner Penetration Test: Ein interner Penetration Test (Assumed Breach) untersucht Angriffswege im internen Netzwerk eines Unternehmens. Es wird nach kompromittierten Systemen gesucht und Angriffspfade identifiziert. Das Ziel ist es, sich vor Ransomware und unerlaubter Verbreitung zu schützen.
Externer Penetration Test: Ein externer Penetration Test untersucht aus dem Internet erreichbare Systeme auf potenzielle Angriffe. Der Fokus liegt auf realistischen Angriffswegen, um Systeme zu kompromittieren und sich intern weiter auszubreiten. Ein externer Penetration Test kann mit Phishing-Awareness-Kampagnen und OSINT-Gathering kombiniert werden, um ein umfassendes Bild der externen Angriffsfläche zu erhalten.
Web Application Penetration Test: Penetration Test nach ASVS. Der OWASP Application Security Verification Standard (ASVS) wird verwendet, um Web-Applikationen auf Sicherheitsanforderungen und -massnahmen zu prüfen. Er definiert funktionale und nicht-funktionale Sicherheitsmassnahmen für das Design, die Entwicklung und den Test von modernen Webanwendungen.
Cloud Penetration Test: Das Shared Responsibility Model ermöglicht die Übertragung von Verantwortung an den Provider. Dennoch ist es wichtig, die Angriffsfläche zu überprüfen und Zugriffsrechte restriktiv zu halten. Hybrid-Lösungen, wie die Integration einer on-premise Active Directory mit Azure AD, können neue Angriffsmöglichkeiten eröffnen. Weitere Microsoft M365 Elemente wie Teams und SharePoint können auch geprüft werden.
Application Penetration Test: Bei einem Application Penetration Test kann jede beliebige Applikation des Kunden auf Schwachstellen geprüft werden. Der Fokus liegt auf realistischen Angriffswegen, um Systeme zu kompromittieren und zu manipulieren.
Mobile App Penetration Test: Im Mobile Application Penetration Test werden Sicherheitslücken und fehlende Härtungsmassnahmen in Mobile Apps geprüft. Der bewährte Mobile Application Security Verification Standard (MASVS) von OWASP wird verwendet. MASVS definiert Sicherheitsüberprüfungsstufen (MASVS-L1 und MASVS-L2) und Reverse-Engineering-Resilienzanforderungen (MASVS-R). Die Erfüllung der Anforderungen führt zu sicheren Apps, die Best Practices folgen.
Attack Simulation
Realistische Angriffssimulationen durchführbar in kleineren, einzelnen Modulen für die Überprüfung der Abwehrfähigkeit z. B. für Ransomware.
Mit einer Attack Simulation werden die Sicherheitsmassnahmen sowie die Widerstandsfähigkeit eines Unternehmens mit einem massgeschneiderten Angriffsszenario geprüft. Unsere Experten führen eine realistische und kontrollierte Nachstellung von Hackerangriffen durch, um Schwachstellen aufzudecken und potenzielle Risiken zu identifizieren.
Vorgehen: In einer Attack Simulation werden eine oder mehrere Komponenten einer realen Cyberattacke simuliert und untersucht, wie verwundbar ein Unternehmen für eine bestimmte Form einer Attacke ist. Dies sind Open Source Intelligence (OSINT), Dark Web Research, physische Sicherheit, WLAN Audit und Assumed Breach.
Ziel: Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufdeckt werden, damit diese geschlossen werden können.
Red Teaming
Wie reagiert das interne Blue Team bei einem realistischen Angriff? Dieser Service richtet sich an Unternehmen, die ihre hohe Cyberresilienz noch weiter durch MITRE ATT&CK-basierte Szenarien verbessern wollen.
Ein Red Teaming umfasst die gezielte Simulation von Angriffen durch unsere Experten, um Ihre Widerstandsfähigkeit gegenüber realen Bedrohungen zu testen. Diese Dienstleistung beinhaltet fortgeschrittene Angriffsszenarien.
Vorgehen: Bei einem Red Teaming werden zunächst Ziele und Angriffsszenarien gemeinsam definiert. Das Team führt anschliesssend aktive Angriffe durch. Die Aufbereitung und der Austausch der Erkenntnisse mit dem Blue Team nach der Operation ist ein zentraler Bestandteil eines Red Teamings.
Ziel: Das Ziel eines Red Teaming ist es, die Widerstandsfähigkeit einer Organisation gegenüber realistischen und gezielten Cyberangriffen zu testen. Dadurch werden Sicherheitslücken und Schwachstellen von Personen, Prozessen und Technologien zur Verteidigung der Umgebung aufgedeckt, um anschliessend geeignete Massnahmen zur Verbesserung der Sicherheit zu ergreifen. Weiter soll mit einem Red Teaming auch geprüft werden, ob das Blue Team (Verteidiger, externes SOC) die Angriffe erkenne können.
Basic Security Health Check
Für Organisationen, die in einem ersten Schritt wissen möchten, wie es um ihren Grundschutz steht (Standortbestimmung).
Der Grundschutz ist der minimal benötigte Schutz eines Unternehmens. Dieser Grundschutz umfasst eine Reihe von Massnahmen und Kontrollen, die implementiert werden, um die Informationssicherheit zu gewährleisten und potenzielle Risiken und Bedrohungen zu minimieren.
Vorgehen: Bei einem Basic Security Health Check wird die Organisation auf diesen Grundschutz geprüft. Dabei werden folgende Elemente der Reihe nach geprüft: Client Hardening, Active Directories & PW Management, Backup Prozesse & Firewall Konfiguration, vorhanden sein von Phishing Awareness und ob aktives Patchmanagement gelebt wird.
Ziel: Der Basic Health Check dient als Standortbestimmung. Dabei werden vorhandene Schwachstellen im Grundschutz geprüft und aufgedeckt, welche im Standard Vorgehen von Angreifer ausgenützt werden können, damit diese geschlossen werden können.
Active Directory Assessment (AD)
Das Active Directory (kurz AD) ist das Herzstück jedes Unternehmens und somit bevorzugt für eine Kompromittierung. Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufgedeckt werden, damit diese geschlossen werden.
Die Kompromittierung des Active Directory ist das Ziel vieler Cyber Attacken. Daher ist es zwingend notwendig, dass das Active Directory gut gehärtet ist.
Vorgehen: Beim einem Active Directory Assessment werden dieselben Methoden, Vorgehe, Angriffspfade und Tools (Bloodhund, Pingcastle, Powerview), wie bei realen Angriffen verwendet, um Schwachstellen aufzudecken.
Ziel: Vorhandene Schwachstellen, welche von Angreifer ausgenützt werden, können aufdeckt werden. Durch das Umsetzen der Handlungsempfehlungen werden diese Angriffspfade geschlossen und das Active Directory wird robuster gegen Angriffe.