PL copy pending native review

Przeglądy WitnessOps

Dwa konkretne przeglądy bezpieczeństwa.

Poznaj jedno działanie agenta i ekspozycję systemu dostępnego z internetu. Porównaj zakres, materiały i cenę przed wysłaniem zgłoszenia.

Sprawdź jedno działanie agenta

Jedno istotne działanie agenta lub automatyzacji. Uprawnienia, zatwierdzanie i dowody wykonania.

Agent Action Security Review

Cena: €2 500 bez VAT

Zanim agent wykona ważne działanie, poznaj mechanizmy jego kontroli.

Dyrektorzy techniczni, liderzy zespołów inżynierskich i zespoły przygotowujące jedno istotne działanie agenta lub automatyzacji do wdrożenia, przekazania lub użycia przez klienta.

Co otrzymasz

  • Mapa działania wskazująca, kto lub co może zatwierdzić i wykonać uzgodnione działanie.
  • Przegląd ścieżki wykonania, uprawnień i zasad zatwierdzania.
  • Luki w zabezpieczeniach uporządkowane według priorytetu, powiązane z łańcuchem dowodowym i praktycznymi zaleceniami.
  • Jawne niewiadome: brakujące dowody i pytania, których przegląd nie rozstrzyga.
  • Pisemny raport i omówienie, które pomagają zespołowi zdecydować, co zmienić.

Termin: Termin realizacji według podpisanego SOW

Zakres i wyłączenia

Jedno istotne działanie agenta lub automatyzacji. Tylko odczyt, inspekcja, rekonstrukcja i raport. Bez instalacji platformy, zmian produkcyjnych, testów destrukcyjnych, eksploatacji, zmian danych uwierzytelniających, utrzymywania dostępu, ciągłego monitorowania i certyfikacji, że agent jest bezpieczny.

  • Jedno istotne działanie agenta lub automatyzacji
  • Tylko jedno istotne działanie agenta lub automatyzacji; programy obejmujące wiele workflow wymagają osobnej wyceny.
  • Domyślny tryb pracy: odczyt, inspekcja, rekonstrukcja i raportowanie.
  • Bez instalacji platformy, zmian produkcyjnych, testów destrukcyjnych, eksploatacji, zmian danych uwierzytelniających, utrzymywania dostępu, ciągłego monitorowania i certyfikacji, że agent jest bezpieczny.
  • Historyczne przykłady syntetyczne nie są próbką pełnego przeglądu i nie zmieniają uzgodnionych warunków handlowych.
Jak przebiega przegląd
  1. Niepoufna ocena. Nazwij istotne działanie, systemy i termin decyzji. Bez poświadczeń, sekretów i danych produkcyjnych.
  2. Uzgodniony zakres i upoważnienie. Potwierdź działanie, zasady dowodowe, odbiorców, cenę i obsługę w zaakceptowanej umowie. Opłata to €2 500 bez VAT.
  3. Ręczna rekonstrukcja. Odczyt, inspekcja, rekonstrukcja i raport na uzgodnionych dowodach. Bez wykonania przeglądanego działania.
  4. Raport i omówienie. Termin realizacji według podpisanego SOW. Decyzje o naprawach należą do Twojego zespołu.
Zgłoś przegląd agenta

Sprawdź ekspozycję zewnętrzną

Jeden autoryzowany system dostępny z internetu. To nie jest test penetracyjny.

External Attack Surface Review

Cena: €1 900 bez VAT

Poznaj ekspozycję swojego systemu w internecie i priorytety napraw.

Dyrektorzy techniczni, liderzy zespołów inżynierskich i zespoły SaaS przygotowujące jeden publicznie dostępny system do wdrożenia, przeglądu bezpieczeństwa dla klienta lub zmiany infrastruktury.

Co otrzymasz

  • Mapa publicznych hostów, usług i endpointów w uzgodnionej granicy systemu.
  • Ręcznie sprawdzone ustalenia z dowodami i jasnymi priorytetami: co poprawić najpierw.
  • Raport dla osób decyzyjnych i załącznik techniczny z zaleceniami napraw oraz jawnymi niewiadomymi.
  • Zapis zakresu i warunków zatrzymania, manifest i skróty plików; podpisany zapis i weryfikator offline, jeśli obsługiwane.
  • Jedno ukierunkowane sprawdzenie poprawek w ciągu 30 dni kalendarzowych od przekazania pierwszego raportu, obejmujące uzgodnione ustalenia.

Termin: Termin realizacji według podpisanego SOW

Zakres i wyłączenia

To nie jest test penetracyjny. Bez eksploatacji, testów uwierzytelnionych, brute force, zbierania danych uwierzytelniających, socjotechniki, odmowy usługi, działań destrukcyjnych, utrzymywania dostępu, malware, eksfiltracji, certyfikacji ani gwarancji bezpieczeństwa.

  • jeden autoryzowany system publicznie dostępny, wskazany przez domenę, host, aplikację, API, publiczny adres IP, publiczny endpoint chmurowy lub spójne połączenie tych elementów
  • do 1 rejestrowalnej domeny głównej
  • do 10 potwierdzonych hostname'ów first-party
  • do 3 publicznych adresów IP przypisanych klientowi
  • do 20 potwierdzonych publicznych endpointów usług
  • Usługi hostowane w chmurze mogą wejść w zakres, jeśli są dostępne z internetu i należą do uzgodnionego systemu. Konta chmurowe, IAM, sieci prywatne i infrastruktura dostawcy pozostają poza zakresem.
  • Przegląd wykorzystuje pasywne wykrywanie tam, gdzie ma ono zastosowanie, a następnie jawnie zatwierdzone kontrole niskiego ryzyka zgodnie z podpisanym harmonogramem celów.
  • Zatwierdzone klasy niskiego ryzyka obejmują DNS, TLS, HTTP(S), identyfikację usług i kontrole ekspozycji z listy dozwolonej.
  • wyłącznie nieuwierzytelniona perspektywa z zewnątrz
  • Bez eksploatacji, uwierzytelnionych testów aplikacji, testowania haseł, brute force, zbierania poświadczeń, socjotechniki, odmowy usługi, działań destrukcyjnych, utrzymywania dostępu, malware, zbierania danych klientów i eksfiltracji danych.
  • Bez przeglądu kodu źródłowego, aplikacji mobilnych, smart contractów, kont chmurowych, sieci wewnętrznej ani otwartego wykrywania subdomen lub zakresów IP.
  • To nie jest test penetracyjny. Nie jest to również certyfikacja zgodności, atest bezpieczeństwa ani gwarancja, że system jest bezpieczny, kompletny, zgodny lub wolny od podatności.
  • Cele poza potwierdzonym zakresem first-party pozostają nietknięte. Infrastruktura strony trzeciej lub współdzielona wymaga osobnego pisemnego upoważnienia.
Jak przebiega przegląd
  1. Zamówienie. Wskaż autoryzowany system dostępny z internetu i powód, dla którego jego zewnętrzna powierzchnia ataku ma teraz znaczenie. Podaj podstawę upoważnienia, ale nie wysyłaj sekretów ani materiałów produkcyjnych.
  2. Akceptacja zakresu. WitnessOps asynchronicznie akceptuje albo odrzuca granicę, potwierdza dostępność i zapisuje płatność. Rozmowa sprzedażowa nie jest wymagana.
  3. Przegląd. Tam, gdzie ma to zastosowanie, wykorzystujemy pasywne wykrywanie, a następnie wykonujemy wyłącznie jawnie zatwierdzone kontrole niskiego ryzyka zgodnie z podpisanym harmonogramem celów. Ręcznie weryfikujemy, usuwamy duplikaty, ustalamy priorytety i łączymy ustalenia z materiałami.
  4. Dostawa i retest. Przekazujemy raporty i pakiet do sprawdzenia. Termin realizacji według podpisanego SOW. Następnie jeden raz ponownie testujemy uzgodnione ustalenia w ciągu 30 dni kalendarzowych od przekazania raportu.
Zgłoś przegląd ekspozycjiZobacz zakres i wynikiSyntetyczny przykład

Zgłoszenie nie upoważnia do zbierania danych ani nie rozpoczyna przeglądu. Płatność i weryfikacja skrzynki nie stanowią zgody na inspekcję systemu.

Przeglądy nie przyznają certyfikacji zgodności. Raport, zapis ani weryfikator nie dowodzą, że system jest bezpieczny, kompletny lub wolny od podatności.

Najpierw zakres. Ustalenia ze źródłami.

Uzgodniona granica

Zakres, wyłączenia, cenę, upoważnienie i zasady obsługi materiałów uzgadniamy przed pracą.

Najpierw bez sekretów

Pierwsze zgłoszenie to krótki, niepoufny opis. Nie przesyłaj danych dostępowych ani materiałów produkcyjnych.

Jawne ograniczenia

Raport odróżnia ustalenia poparte źródłami, niedostępne materiały i pytania pozostające bez odpowiedzi.

Który z tych dwóch przeglądów pasuje?

Opisz decyzję, którą musisz podjąć. Potwierdzimy, czy pasuje Agent Action Security Review, przegląd ekspozycji zewnętrznej, czy żaden z nich. Zgłoszenie nie rozpoczyna pracy.

Zapytaj o dopasowanie
Przeglądy Agent Action i ekspozycji zewnętrznej | WitnessOps