Kas yra grėsmėmis grįstas testavimas (TLPT) ir kaip jis susijęs su DORA?

TLPT – tai griežčiausia DORA atitikties testavimo rūšis, kai simuliuojamos realios, tikslinės kibernetinės atakos prieš kritines sistemas. Grėsmėmis grįstas testavimas privalomas didesnėms, sistemiškai svarbioms finansų organizacijoms ir padeda įvertinti, kaip jos reaguoja į grėsmes bei atsistato po incidento.

Kaip pasiruošti įsilaužimų testavimui?

Norint tinkamai pasiruošti įsilaužimų testavimui, reikia aiškiai apibrėžti testavimo apimtį, iš anksto paruošti reikiamas prieigas, gerai suprasti įmonės IT sistemą, aptarti metodiką bei informuoti vidines komandas. Svarbu ir bendradarbiavimas testavimo metu – be to net patyrę specialistai negalės pateikti tikslių rezultatų.

Kiek kainuoja įsilaužimų testavimas (pentest)?

Įsilaužimų testavimo kaina priklauso nuo apimties, sudėtingumo, testuojamų sistemų tipo, infrastruktūros dydžio ir testavimo gylio. Kainos skalė taip pat gali skirtis priklausomai nuo analizės detalumo ir reikalingos specializuotos kompetencijos. Svarbu pabrėžti, kad renkantis pigesnes pentest paslaugas, rizikuojama praleisti svarbius saugumo pažeidimus.

How much does penetration testing cost?

The cost of penetration testing varies depending on the scope, complexity, and type of systems tested. Factors include the size of your infrastructure, the depth of testing, and whether specialised expertise is required.

What is the difference between a penetration test and a vulnerability scan?

A vulnerability scan identifies potential weaknesses in systems automatically, while a penetration test actively exploits vulnerabilities to assess their real-world impact. Penetration testing provides a deeper, more practical insight into security risks.

How often should penetration testing be performed?

Penetration testing should be performed at least once a year, or after significant changes to your systems, applications, or infrastructure. Regular testing helps identify and address vulnerabilities before they can be exploited.

Įsilaužimų testavimo (pentest) paslaugos

Mūsų įsilaužimų testavimo pasiūlymai

Vidinio ir išorinio tinklo testavimas

Jūsų vidinio ir išorinio tinklo saugumo vertinimas, siekiant nustatyti silpnąsias vietas ir sustiprinti bendrą apsaugą.

Vidinio tinklo testavimas.

VPN ir nuotolinės prieigos testavimas.

Rezultatas:

Ataskaita su patvirtintais vidinio ir išorinio tinklo pažeidžiamumais bei prioritetinėmis jų šalinimo rekomendacijomis.

Užsisakyti paslaugą

Belaidžių tinklų (Wi-Fi) testavimas

Belaidžio tinklo saugumo vertinimas, siekiant nustatyti pažeidžiamumus ir užtikrinti saugų ryšį.

WiFi saugumo testavimas.

Nesankcionuotų prieigos taškų (rogue AP) aptikimas.

WPA2/WPA3 saugumo vertinimas.

Rezultatas:

Ataskaita su nustatytais belaidžio tinklo pažeidžiamumais ir saugios konfigūracijos rekomendacijomis.

Užsisakyti paslaugą

Web ir mobiliųjų aplikacijų testavimas

Web ir mobiliųjų aplikacijų vertinimas, siekiant nustatyti saugumo rizikas bei sustiprinti aplikacijų lygmens apsaugą.

OWASP Top 10 saugumo rizikos.

Autentifikavimas ir sesijos saugumas.

Autorizacija ir privilegijų eskalavimas.

API saugumo testavimas.

Rezultatas:

Ataskaita su patvirtintais aplikacijų lygmens pažeidžiamumais, jų šalinimo rekomendacijomis ir API apsaugos stiprinimo gairėmis.

Užsisakyti paslaugą

IoT įrenginių testavimas

IoT įrenginių saugumo vertinimas, siekiant nustatyti silpnąsias vietas ir užtikrinti įrenginių apsaugą.

Programinės aparatinės įrangos (firmware) analizė.

IoT sąsajų ir protokolų testavimas.

Įrenginių autentifikacijos ir prieigos kontrolės vertinimas.

Rezultatas:

Ataskaita su IoT specifiniais pažeidžiamumais ir saugios konfigūracijos bei atnaujinimų rekomendacijomis.

Užsisakyti paslaugą

Aparatinė įranga ir įrenginiai

Aparatinės įrangos ir įrenginių vertinimas, nustatantis žemo lygmens saugumo spragas.

Programinės aparatinės įrangos (firmware) atvirkštinė analizė.

Derinimo sąsajos testavimas.

Įrenginių išnaudojimo bandymai.

Rezultatas:

Ataskaita su nustatytais aparatinio lygmens pažeidžiamumais ir rekomendacijomis dėl saugios aparatinės architektūros.

Užsisakyti paslaugą

Fizinio perimetro testavimas

Fizinio saugumo priemonių vertinimas, siekiant nustatyti pažeidžiamumus ir užtikrinti patalpų apsaugą.

Nesankcionuoto patekimo simuliacija.

Tailgating ir kortelių klonavimo bandymai.

Prieigos kontrolės testavimas.

Rezultatas:

Ataskaita su nustatytomis fizinio saugumo spragomis ir rekomendacijomis dėl prieigos kontrolės stiprinimo.

Užsisakyti paslaugą

Socialinės inžinerijos testavimas

Žmogiškojo faktoriaus saugumo vertinimas, leidžiantis nustatyti rizikas ir didinti organizacijos sąmoningumą.

Sukčiavimo el. laiškais (phishing) kampanijų imitavimas.

Sukčiavimo telefonu (vishing) scenarijai.

Sukčiavimo trumposiomis žinutėmis (smishing) scenarijai.

Fizinio įsibrovimo simuliacija.

Rezultatas:

Ataskaita su įžvalgomis apie darbuotojų informuotumą bei rekomendacijomis dėl mokymų ir politikų atnaujinimo.

Užsisakyti paslaugą

Automobilių kibernetinio saugumo testavimas

Automobilių sistemų vertinimas, siekiant nustatyti pažeidžiamumus ir sustiprinti transporto priemonių saugumą.

CAN magistralės testavimas.

Telematikos sistemų saugumo vertinimas.

Infotainment ir programinės aparatinės įrangos (firmware) pažeidžiamumų testavimas.

Rezultatas:

Ataskaita su patvirtintais automobilių sistemų pažeidžiamumais ir rekomendacijomis dėl saugios integracijos bei stiprinimo.

Užsisakyti paslaugą

Grėsmių scenarijais paremtas įsilaužimų testavimas

Tikslinės, imituotos atakos, skirtos organizacijos atsparumui įvertinti ir reagavimo į grėsmes gebėjimams stiprinti.

Puolančiosios komandos pratybos (Red Teaming).

Bendrosios komandos pratybos (Purple Teaming).

Rezultatas:

TLPT ataskaita su DORA atitikties vertinimu.

Užsisakyti paslaugą

SOC paslaugų teikėjo efektyvumo testavimas

Kontroliuojamos atakų simuliacijos ir naudojimo scenarijų validavimas, siekiant įvertinti SOC gebėjimą aptikti, analizuoti, eskaluoti ir reaguoti į realistiškas grėsmes.

Bendrosios komandos pratybos (Purple Teaming), skirtos SOC aptikimo ir reagavimo gebėjimų vertinimui.

Įspėjimų, incidentų rūšiavimo, eskalavimo ir valdymo procesų validavimas.

SIEM, SOAR ir grėsmių aptikimo scenarijų testavimas.

Rezultatas:

SOC efektyvumo ataskaita, išryškinanti aptikimo spragas, reagavimo silpnąsias vietas ir rekomendacijas veiklos atsparumui stiprinti.

Užsisakyti paslaugą

AI ir LLM saugumo testavimas

AI aplikacijų ir LLM grįstų sprendimų saugumo vertinimas, padedantis nustatyti pažeidžiamumus ir sumažinti su modeliais, agentais, duomenimis bei API susijusias rizikas.

LLM grįstų sprendimų saugumo testavimas.

AI aplikacijų saugumo testavimas.

OWASP LLM Top 10 rizikų vertinimas.

Prompt injection bandymų simuliacijos.

AI agentų saugumo rizikų vertinimas.

RAG sprendimų saugumo vertinimas.

Duomenų apnuodijimo rizikų vertinimas.

API saugumo testavimas.

Rezultatas:

Ataskaita apie identifikuotus AI ir LLM pažeidžiamumus su praktinėmis rekomendacijomis, kaip juos pašalinti.

Užsisakyti paslaugą

Įsilaužimų testavimo procesas

Apimties nustatymas ir grėsmių modeliavimas

Apibrėžiame testavimo apimtį, identifikuojame galimas grėsmes ir parengiame individualų įsilaužimų testavimo planą.

Informacijos rinkimas

Atliekame žvalgybą (OSINT) ir sistemų identifikavimą, kad nustatytume galimus pažeidžiamumus.

Pažeidžiamumų analizė

Analizuojame konfigūracijas ir tikriname galimas spragas, lygindami rezultatus su pramonės standartais (NIST CSF 2.0, OWASP Top 10, CVSS).

Išnaudojimas

Imituojame realaus pasaulio atakas pagal PTES metodologiją, įskaitant privilegijų eskalavimą, kad patikrintume, kurios rizikos gali būti praktiškai išnaudotos.

Poveikio vertinimas

Testuojame prieigą prie duomenų ir vertiname galimą poveikį, siekdami įvertinti realias verslo pasekmes.

Ataskaitos parengimas

Ataskaitą rengiame vadovaudamiesi CREST metodika ir taikydami CVSS v3.1 rizikos vertinimo standartą, pateikdami aiškias, praktiškai įgyvendinamas pažeidžiamumų šalinimo rekomendacijas.