Penetrationstest afdækker angrebsfladerne – OSINT

Penetrationstesten fremstiller jer, som i ses igennem en hackers øjne

Når en hacker går målrettet efter jeres virksomhed, sker det i større grad via de systemer, hvor overvågningen og sikkerheden ikke er prioriteret.

Det kan for eksempel være testsystemer, der fejlagtigt er blevet gjort tilgængelige på netværket, eller egenudviklede applikationer, som ikke er blev sikkerhedsopdateret.

Ved at kompromittere et af disse systemer, vil hackeren kunne få adgang til jeres bagvedliggende netværk og internt tilgængelige applikationer.

En pentester (whitehat) følger den metodik en hacker typisk vil benytte, hvor informationsindsamling udgør en stor del af testen. På den måde opnår I et reelt udefra – ind-billede på, hvilke systemer en hacker typisk vil gå efter.

Hvordan udføres en penetrationstest?

Pentesteren udføre en passiv informationsindsamling ud fra en open source intelligence-tilgang (OSINT). Her kortlægges relevant information omkring jeres systemer, opsætninger og medarbejdere.

Derefter udføres en aktiv informationsindsamling ved brug af pentesting tools, som undersøger de systemer, der er blevet vurderet til at være relevante.

Har disse systemer kendte sårbarheder, bliver disse udnyttet som næste fase i testen, med henblik at dokumenterer, at vi kan få adgang til systemerne.

Følgende elementer vil – så vidt muligt – blive inkluderet i vores penetrationstest:

• Forsøg på omgåelse af fysisk adgangskontrol.
• Kortlægning af angrebsflade.
• Social Engineering.
• Plantning af udstyr på netværk (fysisk)
• Webapplikationstest af medlemsportal.
• Credential stuffing (afprøvning af lækkede passwords)
• Afprøvning af potentielle sårbarheder på eksponerede enheder

Hvor ofte udføres en penetrationstest?

Pentests udføres typisk en gang om året, eller hvis et ekstraordinært stort og kritisk system installeres i netværket. Outputtet af testen kan være med til at synliggøre, hvor I er ekstra udsatte og bør fokusere jeres ressourcer på et overordnet niveau.

En penetrationstest kan også blive aktuel ad hoc, hvis bestyrelsen pludselig melder, at man ønsker en relistisk test af cybersikkerheden gennemført.

Rapportering

Arbejdet munder ud i udarbejdelsen af en udførlig rapport, der dokumenterer valg af metode og test cases og leverer prioritering af sårbarheder og forslag til mitigering.

Rapporten vil være to-delt, et ledelsresumé der i, ikke tekniske, termer kort beskriver jeres aktuelle it-sikkerhedsniveau og dernæst et teknisk afsnit hvor de fundne sårbarheder beskrives og vigtigst af alt, hvordan I får dem udbedret og dermed vanskeliggør et potentielt angreb.

Vi vil gerne holde et afrapporteringsmøde med jer.

Tag fat i os nedenfor for at få en dummy-rapport tilsendt.