Evaluris SPECTER™
SPECTER findet die Pfade, die Angreifer nutzen würden.
Bevor sie die Chance dazu bekommen.
Kontinuierliche, verifizierte Angriffspfad-Intelligence über externe, Web-, Cloud- und KI/ML-Oberflächen. Nachweis vor jedem Befund.
Demo-Ausgabe (Englisch)
“Your attackers don't pause between engagements. Your security validation shouldn't either.”
Warum Ihr aktueller Ansatz nicht ausreicht
01
Ihr letzter Pentest-Bericht war am Tag der Zustellung bereits veraltet.
Ein Entwickler hat neuen Code gepusht. Ein Ingenieur hat eine Cloud-Instanz gestartet. Eine Fehlkonfiguration ist durchgerutscht. Ihre Angriffsfläche hat sich verändert - Ihr Quartalsbericht nicht. SPECTER testet, was heute existiert, nicht was vor 90 Tagen existierte.
02
Scanner listen CVEs auf. Angreifer verketten sie.
Ein Scanner sieht einen fehlkonfigurierten Dienst. Ein Red Teamer sieht einen Pfad durch Ihr VPN zum Domain Controller. SPECTER denkt wie der Red Teamer - und verkettet einzelne Schwachstellen zu verifizierten Kill Chains mit Geschäftsauswirkung und Nachweis bei jedem Schritt.
03
Menschliche Red Teams sind leistungsstark. Aber sie können nicht jeden Tag aktiv sein.
Ihr Perimeter schläft nicht zwischen Quartals-Engagements. Die Angreifer, die ihn sondieren, auch nicht. SPECTER liefert kontinuierliche, autonome Red-Team-Validierung - über externe, Web-, Cloud- und KI/ML-Scope hinweg - ohne Terminfriktionen und Personalkosten.
Compliance
Penetrationstests sind eine gesetzliche Pflicht.
SPECTER erzeugt den belastbaren Compliance-Nachweis, den Ihre Aufsichtsbehörde, Ihr Prüfer und Ihr Vorstand verlangen.
DORA Artikel 25 & 26
Seit Januar 2025 müssen alle EU-Finanzinstitute ein dokumentiertes Testprogramm für digitale operationelle Resilienz vorhalten (Art. 25). Bedeutende Institute unterliegen einer Pflicht zu bedrohungsgeleiteten Penetrationstests (TLPT) alle drei Jahre gemäß Artikel 26. SPECTER liefert die kontinuierlichen Nachweise und die TLPT-fähige Methodik, die diese Pflichten erfordern.
NIS2 & PCI DSS v4.0.1
NIS2 erhöht die Anforderungen an Cybersecurity-Risikomanagement und Lieferkettensicherheit für wesentliche und wichtige Einrichtungen. PCI DSS v4.0.1 verlangt jährliche Penetrationstests und Nachtests nach jeder wesentlichen Änderung. SPECTER ordnet Befunde den Kontrollnachweisen zu, die Ihr Prüfer verwenden kann.
ISO/IEC 27001, GDPR & TIBER
ISO/IEC 27001:2022-Auditoren erwarten periodische Testnachweise für kritische Systeme. GDPR verbindet Datenschutz mit der Art, wie Sicherheitsvalidierung durchgeführt wird und wo Daten gespeichert werden. Die SPECTER-Methodik ist auf TIBER-EU und TIBER-BE ausgerichtet - die bedrohungsgeleiteten Testrahmenwerke der europäischen Finanzaufsichtsbehörden.
Ausgerichtet auf DORA (Art. 25 & 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE und den EU AI Act - mit unveränderlichen Missions-Aufzeichnungen und Behebungstracking.
Souveränität
Entwickelt von EU-Operatoren. EU-souverän by Design.
Konzipiert und betrieben von Evaluris Solutions OÜ in Tallinn, Estland. EU-Deployments halten Daten innerhalb der EU/des EWR - ohne US CLOUD Act-Exposition.
Managed
Von Evaluris betriebenes Engagement. Sie definieren Scope, Ziele und Freigabeschwellen. Wir betreiben die Plattform und liefern die Ergebnisse.
Private Deployment
Vollständiger SPECTER-Stack in Ihrer Umgebung - On-Premise oder Private Cloud. Ihre Daten verlassen nie Ihren Perimeter.
Hybrid
Cloud-Orchestrierung mit On-Site-Ausführung für Air-Gapped- oder segmentierte Umgebungen.
Von Praktikern entwickelt · Hauptsitz Estland · EU · Nordamerika
Abdeckung
Eine Plattform. Jeder Angriffswinkel, den ein Angreifer nutzen würde.
Extern, Web, Cloud, KI/ML und intern - kontinuierliche Abdeckung mit Nachweis bei jedem Schritt.
Pipeline
Vom Ziel zum verifizierten Angriffspfad.
Missionsparameter festlegen.
SPECTER denkt. Scannt nicht nur.
Intelligence, die Ihr Team tatsächlich nutzen kann.
PoC vor jedem Befund · MITRE ATT&CK · ATLAS · OWASP · TIBER-EU · DORA
SPECTER vs. alles andere, was Sie bisher probiert haben.
Traditionelle Pentests zeigen, was letztes Quartal falsch war. Schwachstellenscanner liefern statische CVE-Listen. SPECTER zeigt Ihnen, was ein Angreifer in Ihrer konkreten Umgebung ausnutzen kann - jetzt, mit Nachweis.
Kontinuierlich & verifiziert / Periodisch oder manuell / Nicht verfügbar
Intelligence, auf die Ihr CISO handeln kann.
Verifizierte Befunde. End-to-End-Angriffspfade vom initialen Zugriff bis zu den Kronjuwelen. Behebungsmaßnahmen, die Ihr Engineering-Team ohne Dolmetscher umsetzen kann. Entwickelt für den CISO, der mit Beweisen ins Vorstandsmeeting gehen muss - nicht mit Annahmen.
Die Bewertung identifizierte 3 verifizierte Angriffspfade von externer Exposition bis zur Domain-Kompromittierung. Kritischer Befund: Authentifizierungs-Bypass im Admin-Panel (T1556). Zwei hochkritische Probleme erfordern Patching innerhalb von 30 Tagen für Compliance.
Session-Fixation in /admin ermöglicht einem Angreifer, die Admin-Sitzung nach dem Login zu übernehmen. PoC: Anfrage mit fixierter Session-ID gibt gültiges Cookie zurück; vollständige Übernahme bestätigt.
Session-ID bei Privilegienänderung regenerieren; HttpOnly, Secure, SameSite=Strict auf Session-Cookie setzen; bestehende Sitzungen bei Fix-Deployment invalidieren.
4 Hops, verifiziert mit PoC bei jedem Schritt.
Jeder Bericht enthält
- Management SummaryEine Seite, vorstandstauglich
- Verifizierte AngriffspfadeVom Einstiegspunkt zum kritischen Asset
- MITRE ATT&CK + MITRE ATLASJede Technik getaggt, jede Taktik zugeordnet
- Konkrete BehebungsmaßnahmenSpezifische Schritte, Code wo anwendbar
- Unveränderliche Missions-AufzeichnungAppend-only, manipulationssicher, forensiktauglich
Export als PDF für Auditoren, Vorstände und Compliance-Teams. Ausgerichtet auf DORA (Art. 25 & 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE und den EU AI Act - bei jedem Durchlauf, nicht auf Anfrage.
Hören Sie auf zu raten, was Angreifer in Ihrer Umgebung erreichen können. Finden Sie es heraus.
SPECTER ist bereit für die erste Mission. Sehen Sie, was kontinuierliche autonome Validierung in Ihrer Umgebung aufdeckt - bevor es jemand anderes tut.
Oder per E-Mail [email protected]