他们不知道自己的暴露程度有多大
有控制措施，但没有人从外部对其进行测试。
语境
我们解决什么。
安全性不是用印章来证明的：它是用范围、方法和证据来证明的。在接触任何东西之前，我们都会处理授权资产并遵守明确的规则。
报告不会成为行动
数百个没有优先权或责任的发现。
标准是在最后一刻制定的
用于审计的文件，而不是用于操作的控制。
解决方案
我们可以在 Cyber 中执行什么。
每个解决方案都声明其模式。最终范围在承诺价格或日期之前确定。
01·定义范围解决方案
定义范围渗透测试重新测试
经书面授权，在 Web、移动设备、API 或网络上进行受控测试。
- 参与范围和规则
- 测试和证据
- 技术和执行报告
- 重新测试关键发现
02·定制项目
云和基础设施强化
配置审查和差距缩小。
- 身份和网络审查
- 安全配置
- 按影响优先排序
- 确认
03·分期项目
IAM/PAM 和零信任
最低访问权限、MFA 和特权帐户控制。
- 交通地图
- 政策和角色
- MFA 和特权
- 监控
04·托管服务
意识和网络钓鱼
包含基线、活动和监控的计划。
- 培养诊断
- 模拟活动
- 训练
- 演变报告
可交付成果
你收到什么。
- 技术和执行报告
- 按影响优先排序的调查结果
- 证据和建议
- 开发计划修复和重新测试
证据。 这六个区域是按指示宣布的。 24/7 覆盖范围和服务水平由合同确认。
包括
- 范围界定和授权
- 受控测试
- 闭幕会议
- 验证关键关闭
不包括
- 24/7 SOC 监控，无需容量和合同
- 客户ISO认证
- 未经授权对第三方系统进行操作
工作方式
四个时刻，记录决定。
- 理解背景、限制和成功标准。如果没有这个，范围就只是猜测。
- 定义可交付成果、排除情况、假设和条件。您可以在这里决定是否有报价或评论。
- 跑步提议和确认的团队，通过可交付成果控制访问和进度。
- 交付和测量验收、转移以及（如果适用）带指示器的操作。
工具
我们用什么来做到这一点。
我们实施的技术和平台。集成水平按项目确定。
语境
处理案件的项目、文件和权限。
代理商
他们准备分析、草稿和可重复的任务。
控制
按角色进行人工审查、可追溯性和权限。
这一行的合作伙伴
谁贡献什么。
常见问题
他们在雇用前通常会问什么。
如果缺少问题，请将其写在请求中。我们已将其添加到您的回复中。
你们提供 24/7 SOC 吗？
仅在范围、能力和合同允许的情况下。我们不默认承诺或将其发布为主动服务。
你能保证不被黑吗？
不会。没有哪个认真的供应商可以保证这一点。我们降低风险、验证控制并留下证据。
测试能否影响生产？
交战规则中定义：窗口、强度、排除资产和紧急联系。