Penetration test di rete
Perimetro esterno e parco interno. Che cosa è raggiungibile, che cosa è sfruttabile e che cosa si raggiunge da lì.
Penetration test e Red Team
Da un sottodominio dimenticato fino al suo ciclo dei pagamenti.
È esattamente a questo che serve un penetration test. Si percorre dall'esterno verso l'interno, poi legga esattamente che cosa le arriverà sulla scrivania alla fine.
01
La catena
Dalla ricognizione ai gioielli della corona, in sei passiUn'intrusione non è un exploit geniale. Sono sei errori ordinari, messi in fila da qualcuno abbastanza paziente da guardare.
-
01
Ricognizione
Nomi del personale, sottodomini dimenticati e credenziali già presenti in vecchi data breach. Non viene inviato nulla, non c'è nulla da rilevare.
Accesso ottenutonessuno
-
02
Punto d'ingresso
Un utente dell'amministrazione apre l'allegato. Un solo carattere era diverso nel dominio del mittente, e tanto basta.
Accesso ottenutouna postazione di lavoro
-
03
Elevare i privilegi
Da utente standard ad amministratore locale tramite un servizio non aggiornato dal 2023, poi con le credenziali in cache di un amministratore IT.
Accesso ottenutoamministratore locale
-
04
Spostarsi
Lateralmente nel suo parco macchine, usando i suoi stessi strumenti di gestione remota. Nessun malware, solo binari firmati.
Accesso ottenutopiù host
-
05
Dominio
Un account di servizio con diritti di dominio e una password cambiata l'ultima volta nel 2019 consegna l'intera directory.
Accesso ottenutoamministratore di dominio
-
06
Gioielli della corona
Il ciclo dei pagamenti, gli archivi dei clienti e i backup che avrebbero dovuto sopravvivere proprio a questo.
Accesso ottenutotutto ciò che conta
Composizione illustrativa di riscontri che vediamo ripetutamente, non l'ambiente di un singolo cliente.
02
Progetti
Prezzo fisso su un perimetro scrittoCalibrato su ciò che va davvero testato, non un report di scanner con sopra un logo.
Test web e API
Test autenticati e attenti alla logica di business, sulle applicazioni che i suoi clienti e il suo personale usano davvero.
Active Directory e identità
Errori di configurazione ADCS, Kerberoasting e catene di ACL, più i percorsi laterali che aprono nel dominio.
Valutazione Red Team
Orientata a un obiettivo e a perimetro completo. Concordiamo un obiettivo la cui perdita farebbe davvero male, poi lo perseguiamo senza avvisare i suoi difensori.
Assumed breach e prontezza al ransomware
Partiamo dall'interno, come fa il ransomware. Fin dove arriva un solo portatile compromesso, e può toccare i suoi backup?
Phishing e ingegneria sociale
Pretesti realistici contro caselle di posta e linee telefoniche reali. Misurati e poi trasformati in formazione anziché in colpe.
Tutti i servizi, perimetro e copertura in dettaglio
Disponibile anche
- Purple teamGli stessi attacchi, eseguiti accanto ai suoi difensori, così che ogni mancato rilevamento diventi una regola di detection prima che andiamo via.
- Revisione di sicurezza cloudConfigurazione e identità in Azure, esaminate nel modo in cui un attaccante si muoverebbe davvero.
- Detection engineeringRegole Microsoft Sentinel in KQL mappate su MITRE ATT&CK, scritte da chi passa il resto dell'anno a eluderle.
- Stesura di reportTrasformare riscontri grezzi in un documento su cui il suo consiglio e i suoi ingegneri possano agire dalla stessa pagina.
- Consulenza di sicurezzaRevisione della postura e consulenza sulle vulnerabilità per team che hanno bisogno di competenza offensiva senior senza un'assunzione a tempo pieno.
03
Il deliverable
Le cifre qui sotto sono indicativeUn documento, due lettori: chi firma il rischio e l'ingegnere che deve chiuderlo.
Riscontri per gravità
- 3 Critici
- 7 Alti
- 14 Medi
- 22 Bassi e informativi
Tracciamento della remediation
- Escalation tramite template di certificatoChiuso
- Servizio di stampa non aggiornatoChiuso
- Segmentazione di rete dei backupAperto
- MFA sulla VPN legacyIn corso
Riscontro 01Critico
Qualsiasi dipendente poteva emettere a se stesso un certificato come amministratore di dominio
- Prova
- Un template per postazioni di lavoro sulla sua autorità di certificazione lasciava scegliere al richiedente quale nome finisse sul certificato, e la registrazione era aperta a ogni utente del dominio. Da un account ordinario ne abbiamo emesso uno a nome dell'amministratore di dominio e ci siamo autenticati con esso. ID della richiesta, ACL del template e output dei comandi nell'Appendice C.
- Impatto
- Qualsiasi account del personale, o uno qualsiasi che cada in un phishing, diventa amministratore di dominio in meno di due minuti. Non viene eseguito alcun exploit e non cambia alcuna password, quindi i suoi log mostrano normale attività sui certificati. Il certificato resta valido per un anno, perciò reimpostare tutte le password del dominio non basterebbe a cacciarci.
- Correzione
- Rimuova dal template il flag che consente al richiedente di indicare il soggetto, limiti la registrazione alle macchine che ne hanno davvero bisogno e revochi tutto ciò che è stato emesso da quel template dalla sua pubblicazione. I soli reset delle password non chiudono questo problema.
Nuovo testTemplate corretto e certificati revocati. Non più sfruttabile.
Come si svolge il progetto
- Settimana 0
Call di perimetro, poi perimetro scritto e prezzo fisso entro 24 ore
- Settimana 1
Finestra di test. Il suo team conosce le date, i suoi difensori no
- Giorno 3
Tutto ciò che è critico viene segnalato nell'ora stessa in cui lo troviamo
- Settimana 2
Report, poi una sessione di confronto con chi dovrà correggere
- Settimana 6
Nuovo test di tutto ciò che ha chiuso, poi una lettera di attestazione che il suo revisore può accettare
04
Certificazioni
Ognuna verificabile in modo indipendenteCertificazioni che può verificare lei stesso, non loghi su una pagina.
- OSCP+Offensive Security Certified Professional
- eCPPTCertified Professional Penetration Tester
- eWPTWeb Application Penetration Tester
- eCIRCertified Incident Responder
- AZ-500Azure Security Engineer Associate
- SC-200Security Operations Analyst Associate
- SC-300Identity and Access Administrator Associate
05
Prezzi
Concordato per iscritto prima che inizi qualsiasi cosaPerimetro e costo si definiscono dopo la call di perimetro, e da lì restano fermi.
da 500 $ Test di applicazione web Di norma da 3 a 5 giorni
da 1.500 $ Rete interna e Active Directory Di norma da 5 a 10 giorni
Punti di partenza, non stime che si spostano una volta iniziato il lavoro.
Vedi tutti i prezziLo trovi con noi, non con loro.
Ci dica che cosa farebbe più male perdere, e le diremo quanto riusciamo ad avvicinarci.
Prenota una call di perimetro
30 minuti, senza presentazione commerciale. Scelga l'orario che preferisce.