...

Penetrationstest for IT-afdelinger og MSP'er

Testen skal passe ind i en drift, der kører

Beslutningen om at teste kan komme fra ledelsen, fra en kunde eller fra jer selv. Arbejdet havner under alle omstændigheder hos dem, der passer systemerne: adgangen skal åbnes, kontiene oprettes, spørgsmål besvares, mens testen står på, og bagefter skal fundene rettes.

Derfor planlægger jeg testen med de folk, der kender miljøet indefra. Så rammer testen de systemer, der betyder mest, og driften bliver forstyrret så lidt som muligt.

Det kan testen omfatte

• Internetvendte systemer
  Alt, hvad en fremmed kan nå fra internettet: VPN og anden fjernadgang, mailservere, webløsninger og administrationssider, som måske er blevet synlige ved en fejl.
• Det interne net
  Hvor langt man når med en almindelig brugeradgang, og om zonerne reelt er adskilt fra hinanden.
• Active Directory og Entra ID
  Grupper, tjenestekonti og rettigheder, der er vokset gennem årene, og sammenhængen mellem kataloget i huset og identiteterne i skyen.
• Microsoft 365, Azure og AWS
  De roller, delinger og adgange, I selv har sat op i jeres lejere og konti.
• Web og API
  Løsninger, I har ansvaret for at drive, også når en leverandør har skrevet koden.
• Trådløst netværk
  Om gæstenettet holdes ude af resten af netværket, og om uvedkommende kan få forbindelse.

Hvilke områder der kommer med, afhænger af det spørgsmål, testen skal besvare. Det afgrænser vi sammen, før I får et tilbud.

Forberedelse og testvindue

• Afgrænsning på skrift
  Hvilke net, adresser og systemer testen må røre, og hvilke der holdes udenfor, fx produktionsanlæg eller udstyr, som en anden leverandør ejer.
• Konti og udgangspunkt
  Testkonti med en udløbsdato og en forbindelse til nettet, som er afprøvet, inden testen begynder.
• Testvindue
  Tidspunktet lægges, så det passer med jeres driftskalender og servicevinduer. Skrøbelige systemer kan tages uden for arbejdstid.
• Kontaktpersoner
  I udpeger én person, der kan træffe beslutninger i hele perioden. Vi aftaler på forhånd, hvordan I får besked, hvis noget alvorligt dukker op undervejs.
• Overvågning og servicedesk
  Vi aftaler, hvem der skal vide besked, så overvågningen kan kende testen fra en rigtig hændelse, og servicedesken ved, hvad brugerne kan opleve.

Når I er MSP'en

Som driftsleverandør kan I stå i tre roller i samme test. Kunden er ofte opdragsgiver. I åbner for det miljø, I driver, og bagefter lander udbedringen typisk på jeres bord. Og jeres egne fjernstyringsværktøjer og fælles administratorkonti kan i sig selv være et testområde, fordi de giver adgang til mange kunder samtidig.

Før testen starter, skriver vi derfor ned, hvem der er opdragsgiver, hvem der giver lov til at teste de enkelte systemer, og hvem der får fundene at se. Rapporten tilhører opdragsgiveren, når opgaven er betalt.

Spørger jeres kunder til sikkerheden i jeres egen platform, kan I også selv bestille en test og bruge resultatet, når I svarer dem.

Efter testen

• Rapport og gennemgang
  Fundene er prioriteret, og vi går dem igennem sammen med dem, der skal rette dem.
• Kundeversion og engelsk udgave
  Skal resultatet videre til en kunde eller en ledelse, kan I tilkøbe en kundeversion af rapporten. Rapporten kan også leveres på engelsk mod betaling.
• Retest
  Når rettelserne er på plads, kan I tilkøbe en retest, der viser, om hullerne faktisk er lukket.
• Rammeaftale
  Har I mange test om året, tilbyder jeg rammeaftaler om penetrationstest til større kunder.

Uvildig og uafhængig

Rådgivningen er uvildig og uafhængig. Nielco IT har ikke indgået forhandleraftaler med leverandører af hverken udstyr, software eller drift, så forslagene til rettelser tager kun udgangspunkt i jeres miljø.

Jeg har over 30 år bag mig i IT-sikkerhed med opgaver for finanssektoren, offentlige myndigheder og virksomheder inden for kritisk infrastruktur, og jeg har indsigt i incident response og i, hvordan hackerangreb udvikler sig. Jeg underskriver gerne en fortrolighedsaftale.

Hvordan opgaverne prissættes, står under pris og tilbud. Vil I teste mere end teknikken, så se red teaming.

Skal jeres miljø testes?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om, hvad der skal testes, og hvornår det passer ind i driften.