Evaluris SPECTER™
SPECTER leiab teed, mida ründajad kasutaksid.
Enne kui neil selleks võimalus tekib.
Pidev, verifitseeritud ründeteede luure välise, veebi-, pilve- ja AI/ML-pinna ulatuses. Tõend enne iga leidu.
Demo väljund (inglise keeles)
“Your attackers don't pause between engagements. Your security validation shouldn't either.”
Miks teie praegune lähenemine ei piisa
01
Teie viimane pentesti aruanne oli vananenud juba saabumise päeval.
Arendaja lükkas uue koodi. Insener käivitas pilveinstantsi. Valekonfiguratsioon libises sisse. Teie ründepind muutus - kvartaliaruanne mitte. SPECTER testib seda, mis eksisteerib täna, mitte seda, mis eksisteeris 90 päeva tagasi.
02
Skannerid loetlevad CVE-sid. Ründajad ahelavad neid.
Skanner näeb valesti konfigureeritud teenust. Red teamer näeb teed läbi VPN-i teie domeenikontrollerini. SPECTER mõtleb nagu red teamer - aheldades üksikud haavatavused verifitseeritud, ärimõjuga tapuahelateks, tõendiga igas etapis.
03
Inimeste red team'id on võimsad. Nad ei suuda igapäevaselt töötada.
Teie perimeeter ei maga kvartaliste engagement'ide vahel. Ega ka vastased, kes seda sondeerivad. SPECTER annab pideva, autonoomse red-team-tasemel valideerimise - välise, veebi-, pilve- ja AI/ML-skoobi ulatuses - ilma ajaplaneerimise hõõrdumise või tööjõukuluta.
Vastavus
Penetratsioonitestimine on õiguslik kohustus.
SPECTER loob kaitstava vastavuskirje, mida teie regulaator, audiitor ja juhatus nõuavad.
DORA artikkel 25 ja 26
Alates jaanuarist 2025 peavad kõik EL-i finantsüksused säilitama dokumenteeritud digitaalse operatiivse vastupidavuse testimise programmi (Art. 25). Olulised asutused seisavad silmitsi kohustusliku ohupõhise penetratsioonitestimisega (TLPT) iga kolme aasta tagant artikli 26 alusel. SPECTER loob pideva tõendusmaterjali ja TLPT-valmis metoodika, mida need kohustused nõuavad.
NIS2 ja PCI DSS v4.0.1
NIS2 tõstab küberturbe riskijuhtimise ja tarneahela ootusi oluliste ja tähtsate üksuste jaoks. PCI DSS v4.0.1 nõuab aastaseid penetratsiooniteste ja uuesti testimist pärast iga olulist muudatust. SPECTER kaardistab leiud kontrolli tõendusmaterjaliks, mida teie audiitor saab kasutada.
ISO/IEC 27001, GDPR ja TIBER
ISO/IEC 27001:2022 audiitorid ootavad perioodilist testimistõendust kriitiliste süsteemide jaoks. GDPR seob andmekaitse sellega, kuidas turvavalideerimist viiakse läbi ja kus andmed asuvad. SPECTER-i metoodika on joondatud TIBER-EU ja TIBER-BE ohupõhise testimise raamistikega, mida kasutavad Euroopa finantsjärelevalveasutused.
Joondatud DORA (Art. 25 & 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE ja EU AI Act'iga - muutumatute missioonikirjete ja paranduste jälgimisega.
Suveräänsus
Ehitatud EL-i operaatorite poolt. EL-suveräänne by design.
Kujundatud ja opereeritud Evaluris Solutions OÜ poolt Tallinnas, Eestis. EL-i paigaldused hoiavad andmed EL/EMP piires ilma US CLOUD Act'i riskita.
Managed
Evaluris-opereeritud engagement. Teie määrate skoobi, eesmärgid ja kinnitusläved. Meie opereerime platvormi ja edastame leiud.
Privaatne paigaldus
Täielik SPECTER-stack teie keskkonnas - on-premise'is või privaatpilves. Teie andmed ei lahku kunagi teie perimeetrist.
Hybrid
Pilveorkestratsioon koos kohapealse täitmiskihiga õhulõhega või segmenteeritud keskkondade jaoks.
Praktikute ehitatud · Peakontor Eestis · EL · Põhja-Ameerika
Katvus
Üks platvorm. Iga nurk, mida ründaja võtaks.
Väline, veeb, pilv, AI/ML ja sisemine - pidev katvus tõendiga igas etapis.
Pipeline
Sihtmärgist verifitseeritud ründeteeni.
Määrake missiooni parameetrid.
SPECTER arutleb. Mitte ainult ei skanni.
Luure, mida teie meeskond tegelikult kasutada saab.
PoC enne iga leidu · MITRE ATT&CK · ATLAS · OWASP · TIBER-EU · DORA
SPECTER vs. kõik muu, mida olete proovinud.
Traditsioonilised pentestid ütlevad teile, mis oli valesti eelmisel kvartalil. Haavatavusskannerid annavad teile staatilisi CVE-nimekirju. SPECTER ütleb teile, mida ründaja teie konkreetses keskkonnas praegu ekspluateerida saab - tõendusmaterjaliga.
Pidev ja verifitseeritud / Perioodiline või manuaalne / Pole saadaval
Luure, mille järgi teie CISO tegutseda saab.
Verifitseeritud leiud. Otsast lõpuni ründeteed esmasest pääsust kroonijuveelini. Parandused, mida teie insenerimeeskond ilma tõlgita täita saab. Ehitatud CISO jaoks, kes peab juhatuse koosolekule tõendusmaterjaliga tulema, mitte oletustega.
Hindamine tuvastas 3 verifitseeritud ründeteed välisest haavatavusest domeeni kompromissini. Kriitiline leid: autentimise ümbersõit adminipaneelis (T1556). Kaks kõrge tõsidusega probleemi nõuavad parandamist 30 päeva jooksul vastavuse tagamiseks.
Sessiooni fikseerimine /admin'is võimaldab ründajal administraatori sessiooni pärast sisselogimist kaaperdada. PoC: fikseeritud sessiooni ID-ga päring tagastab kehtiva küpsise; täielik ülevõtmine kinnitatud.
Regenereerige sessiooni ID privileegi muutumisel; seadke HttpOnly, Secure, SameSite=Strict sessiooniküpsisele; kehtetage olemasolevad sessioonid paranduse paigaldamisel.
4 hüpet, verifitseeritud PoC-ga igas etapis.
Iga aruanne sisaldab
- Juhatuse kokkuvõteÜks lehekülg, juhatusele valmis
- Verifitseeritud ründeteedSisenemispunktist kriitilise varani
- MITRE ATT&CK + MITRE ATLASIga tehnika märgistatud, iga taktika kaardistatud
- Konkreetsed parandusedTäpsed sammud, kood vajadusel
- Muutumatu missioonikirjeAinult lisatav, manipulatsioonikindel, kohtuekspertiisi tasemel
Eksporditav PDF-ina audiitoritele, juhatustele ja vastavusmeeskondadele. Joondatud DORA (Art. 25 & 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE ja EU AI Act'iga igal käivitamisel, mitte tellimisel.
Lõpetage arvamine, mida ründajad teie keskkonnas saavutada suudavad. Saage teada.
SPECTER on valmis oma esimeseks missiooniks. Vaadake, mida pidev autonoomne valideerimine teie keskkonnas esile toob - enne kui keegi teine seda teeb.
Või e-postiga [email protected]