Evaluris SPECTER™
SPECTER trouve les chemins qu'un attaquant emprunterait.
Avant qu'il n'en ait l'occasion.
Renseignement continu et vérifié sur les chemins d'attaque à travers les surfaces externe, web, cloud et IA/ML. Des preuves pour chaque constat.
Démonstration (en anglais)
“Your attackers don't pause between engagements. Your security validation shouldn't either.”
Pourquoi votre approche actuelle ne suffit pas
01
Votre dernier rapport de pentest était obsolète le jour même de sa remise.
Un développeur a poussé du code. Un ingénieur a lancé une instance cloud. Une mauvaise configuration s'est glissée. Votre surface d'attaque a changé, mais pas votre rapport trimestriel. SPECTER teste ce qui existe aujourd'hui, pas ce qui existait il y a 90 jours.
02
Les scanners listent des CVE. Les attaquants les enchaînent.
Un scanner détecte un service mal configuré. Un red teamer y voit un chemin à travers votre VPN jusqu'à votre contrôleur de domaine. SPECTER raisonne comme le red teamer : il enchaîne les expositions individuelles en chemins d'attaque vérifiés avec impact métier, preuve à l'appui à chaque étape.
03
Les équipes red team humaines sont puissantes. Elles ne peuvent pas intervenir tous les jours.
Votre périmètre ne dort pas entre deux engagements trimestriels. Les adversaires qui le sondent non plus. SPECTER assure une validation continue et autonome de niveau red team - sur les périmètres externe, web, cloud et IA/ML - sans les contraintes de planification ni les coûts de personnel.
Conformité
Le test de pénétration est une obligation légale.
SPECTER produit le dossier de conformité défendable exigé par votre régulateur, votre auditeur et votre conseil d'administration.
DORA Article 25 et 26
Depuis janvier 2025, toutes les entités financières de l'UE doivent maintenir un programme documenté de tests de résilience opérationnelle numérique (Art. 25). Les établissements significatifs sont soumis à des tests de pénétration pilotés par la menace (TLPT) tous les trois ans au titre de l'Article 26. SPECTER produit les preuves continues et la méthodologie TLPT que ces obligations exigent.
NIS2 et PCI DSS v4.0.1
NIS2 rehausse les exigences de gestion des risques cyber et de chaîne d'approvisionnement pour les entités essentielles et importantes. PCI DSS v4.0.1 exige des tests de pénétration annuels et un retest après chaque changement significatif. SPECTER associe les résultats à des preuves de contrôle exploitables par votre auditeur.
ISO/IEC 27001, GDPR et TIBER
Les auditeurs ISO/IEC 27001:2022 attendent des preuves de tests périodiques pour les systèmes critiques. Le GDPR lie la protection des données à la manière dont la validation sécuritaire est conduite et où les données résident. La méthodologie SPECTER s'aligne sur les cadres de test pilotés par la menace TIBER-EU et TIBER-BE utilisés par les superviseurs financiers européens.
Aligné sur DORA (Art. 25 et 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE et EU AI Act - avec des enregistrements de mission immuables et un suivi des remédiations.
Souveraineté
Conçu par des opérateurs européens. Souverain par conception.
Conçu et opéré par Evaluris Solutions OÜ à Tallinn, Estonie. Les déploiements européens conservent les données dans l'UE/EEE sans exposition au US CLOUD Act.
Géré
Engagement opéré par Evaluris. Vous définissez le périmètre, les objectifs et les seuils d'approbation. Nous opérons la plateforme et livrons les résultats.
Déploiement privé
La pile SPECTER complète dans votre environnement - sur site ou cloud privé. Vos données ne quittent jamais votre périmètre.
Hybride
Orchestration cloud avec exécution sur site pour les environnements isolés ou segmentés.
Conçu par des praticiens · Siège en Estonie · UE · Amérique du Nord
Couverture
Une plateforme. Chaque angle qu'un attaquant utiliserait.
Externe, web, cloud, IA/ML et interne - couverture continue avec preuve à chaque étape.
Pipeline
De la cible au chemin d'attaque vérifié.
Définissez les paramètres de mission.
SPECTER raisonne. Il ne se contente pas de scanner.
Du renseignement réellement exploitable par votre équipe.
PoC avant chaque constat · MITRE ATT&CK · ATLAS · OWASP · TIBER-EU · DORA
SPECTER face à tout ce que vous avez déjà essayé.
Les pentests traditionnels vous disent ce qui n'allait pas le trimestre dernier. Les scanners de vulnérabilités vous donnent des listes statiques de CVE. SPECTER vous montre ce qu'un attaquant peut exploiter dans votre environnement précis, maintenant, avec preuve à l'appui.
Continu et vérifié / Périodique ou manuel / Non disponible
Du renseignement exploitable par votre RSSI.
Constats vérifiés. Chemins d'attaque de bout en bout, de l'accès initial aux actifs critiques. Remédiations exécutables par votre équipe technique sans traducteur. Conçu pour le RSSI qui doit se présenter devant le conseil d'administration avec des preuves, pas des hypothèses.
L'évaluation a identifié 3 chemins d'attaque vérifiés, de l'exposition externe à la compromission du domaine. Constat critique : contournement de l'authentification dans le panneau d'administration (T1556). Deux problèmes de sévérité élevée nécessitent un correctif sous 30 jours pour la conformité.
La fixation de session sur /admin permet à un attaquant de détourner la session administrateur après connexion. PoC : une requête avec un ID de session fixé renvoie un cookie valide ; prise de contrôle totale confirmée.
Régénérer l'ID de session lors du changement de privilège ; définir HttpOnly, Secure, SameSite=Strict sur le cookie de session ; invalider les sessions existantes lors du déploiement du correctif.
4 sauts, vérifiés avec PoC à chaque étape.
Chaque rapport comprend
- Synthèse exécutiveUne page, prête pour le conseil
- Chemins d'attaque vérifiésDu point d'entrée à l'actif critique
- MITRE ATT&CK + MITRE ATLASChaque technique identifiée, chaque tactique cartographiée
- Remédiation concrèteÉtapes spécifiques, code le cas échéant
- Enregistrement de mission immuableAjout seul, inviolable, de qualité forensique
Export PDF prêt pour les auditeurs, les conseils d'administration et les équipes conformité. Aligné sur DORA (Art. 25 et 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE et EU AI Act, à chaque exécution, pas sur demande.
Arrêtez de deviner ce que les attaquants peuvent atteindre dans votre environnement. Découvrez-le.
SPECTER est prêt à lancer sa première mission. Voyez ce que la validation autonome continue révèle dans votre environnement - avant que quelqu'un d'autre ne le fasse.
Ou par e-mail [email protected]