Vi finner glippen før noen andre gjør det.

Alle tjenester, med hva som ikke inngår

1. 01

   Bestilling

   Du fyller ut skjemaet. Du får svar innen én virkedag.

2. 02

   Scope og regler for testen

   Du får et scope-dokument til signering før noe testes.

3. 03

   Avtalt testvindu

   Vi blir enige om når testen kjøres, og hvem som skal varsles.

4. 04

   Rapport og skriftlig gjennomgang

   Rapport på avtalt dato, med skriftlig gjennomgang etterpå.

5. 05

   Retest innen 30 dager

   Når dere har rettet, tester vi på nytt. Inkludert i 30 dager.

Les hvert trinn i sin helhet

• Agentene får full testkapasitet innenfor avtalt omfang, og aldri utenfor.
• Ingenting kjøres før scope og skriftlig autorisasjon er signert.
• Vi bruker leverandører som ikke trener modeller på det som sendes gjennom API-et deres. Hva som sendes hvor, står i personvernerklæringen.

Slik oppfører vi oss underveis

• Vi gjør alt vi kan for at ingenting skal gå ned. Skjer det likevel noe, får du beskjed med en gang, ikke i rapporten fem dager senere.
• Alt vi endrer, forsøker vi å reversere. Rader vi oppretter, kontoer vi lager og spor vi ikke får fjernet selv, står dokumentert i rapporten så dere kan rydde resten.
• Hvert funn kommer med en proof of concept. Du skal kunne se nøyaktig hva som ble gjort, ikke bare få vite at noe var mulig.
• Et funn reproduseres minst to ganger før det havner i rapporten. Det som ikke lar seg reprodusere, blir ikke et funn. Det blir stående som avvist, med begrunnelse.
• Du får også vite hva som holdt. Ble et angrep stoppet, står det hvilken kontroll som tok det, og om vi kom rundt den likevel.

Se hva som skjer i hvert trinn

Veiledende pris, publisert på nett

Prisene står på tjenestesiden, så du vet omtrent hva det koster før du tar kontakt. De er veiledende fordi to oppdrag sjelden er like store. Du får prisen skriftlig før vi begynner, og da står den. Finner vi mer enn ventet underveis, koster det ikke mer.

Ingen møter, alt skriftlig

Du bestiller i et skjema og får svar på e-post. Skal noe avklares, avklarer vi det skriftlig og du får svar samme dag. Da har du også alt på papiret etterpå.

En rapport en utvikler kan bruke

Hvert funn har hvor det er, hvordan det ble funnet og hva som må endres. Ingen risikomatriser uten innhold, ingen funn som bare er en skjermdump av et verktøy.

Vi har sett det før

Funn fra bug bounty, tidligere oppdrag og offentlig kjent forskning ligger i grunnlaget vi tester mot. Det som er nytt for ett system, er sjelden nytt i verden.

Et menneske avgjør hva som er et funn

Det repeterbare kjøres av verktøy og agenter, og det er grunnen til at en test kan leveres raskt til en kjent pris. Men det er en person som setter omfanget, vurderer om et funn er reelt og skriver rapporten. Et verktøy som sier «mulig sårbarhet» har ikke funnet noe ennå.

Verktøyene er bygget for dette

Vi kjører programvare vi har bygget selv, laget for å teste og for å se sammenhenger på tvers av det som er kartlagt. Det er ikke en skanner med et nytt navn.

Grunnlaget oppdateres daglig

Nye CVE-er og publisert angrepskode hentes inn fortløpende, og regelverket testene kjøres etter oppdateres etter hvert som noe blir kjent. En test i dag leter etter det som ble kjent i går.

Vi følger med

Hendelser, varsler og nye angrepsmetoder leses etter hvert som de kommer. Det er en del av arbeidet, ikke noe som gjøres når det er tid til overs.

Vi vil heller at dere er trygge enn at noen kommer seg inn. Et innbrudd koster mer enn en test, og over det ligger et lovbestemt tak for overtredelsesgebyr som er satt høyt med vilje. Vi sier fra om det vi finner. Den neste som finner det, gjør kanskje ikke det. Regn på hva et avbrudd koster dere.

Systemene står ikke stille

Hver utrulling, hver nye integrasjon, hvert nye subdomene og hver ansatt som får en ny tilgang flytter på angrepsflaten. En rapport uten funn er verdt å ha, men den har en dato på seg, og den datoen blir eldre.

Det vi finner er sjelden eksotisk

Det vanligste er ikke avanserte angrep. Det er en autorisasjonssjekk som ligger i grensesnittet i stedet for i endepunktet, et domene uten DMARC-håndheving, en origin-server som svarer utenom brannmuren, eller et API uten ratebegrensning. Enkle ting å rette, når noen først har pekt på dem.

Et personvernbrudd koster mer enn testen

Kommer personopplysninger på avveie, har dere varslingsplikt til Datatilsynet innen 72 timer. Personvernforordningen gir tilsynsmyndighetene adgang til å ilegge gebyr på inntil 20 millioner euro, eller fire prosent av global årsomsetning dersom det er høyere. I tillegg kommer nedetiden, advokatene, kundene som spør, og kundene som ikke spør men bare slutter å ringe.

Kundene deres begynner å spørre

Stadig flere anbud og kundeavtaler krever dokumentasjon på at det er gjennomført sikkerhetstest. Da er det en fordel å ha en fersk rapport liggende, og ikke en fra i fjor.

Det er derfor vi tilbyr årsavtale og løpende overvåking. Én test i året fanger opp det som har endret seg, og overvåkingen sier fra mellom testene.

Hvorfor teste, og når dere ikke børSe årsavtale og overvåking

• Ekstern sjekk

  Se hva som er synlig utenfra

  Skriv inn et domene. Vi leser DNS, e-postoppsett, sertifikat og svarhoder, og gir deg funnene med alvorlighetsgrad. Tar noen sekunder.

  Prøv den

  Ingen e-post nødvendig

• Sikkerhetssjekk

  Svar på 14 spørsmål

  Spørsmålene vi selv ville stilt før en test. Svarene leses tilbake som funn, sortert med det som haster øverst.

  Prøv den

  Tre minutter, ingen e-post

• Sjekkliste

  22 ting dere kan sjekke selv

  Det vi skulle ønske flere gikk gjennom før de bestiller test. Med kommandoer som er klare til å limes inn.

  Prøv den

  Hele listen står på siden

• Regnestykket

  Hva et avbrudd koster dere

  Tre tall inn, og du får ut hva en dag uten drift koster og hva loven setter som øvre ramme. Hver linje viser hvor tallet kommer fra.

  Prøv den

  Ingen gjetting, ingen e-post

• Veiledninger
• Krav og regelverk
• Sammenligninger
• Metode
• Hvorfor sjekke jevnlig
• Hvorfor teste
• Hva koster en test
• Ordliste
• Hvem står bak
• Kontakt
• Endringslogg

• Jeg vil gjerne anbefale Erik på det varmeste. Han gjorde en grundig sikkerhetstest av nettsiden min og fant flere sårbarheter noen kritiske og andre av mindre betydning. Han jobbet svært grundig, forklarte funnene på en forståelig måte og var til stor hjelp med å finne ut hva som burde prioriteres. Veldig fornøyd med arbeidet og hjelpen jeg fikk!

• Gjennomførte en sikkerhetstest av nettsiden vår og fant et sårbart punkt vi ikke var klar over. Hullet ble tettet raskt, og vi fikk en tydelig forklaring på hva som var galt og hvordan det ble løst.

• Erik har bidratt til å øke sikkerheten i ReAI, noe som betyr utrolig mye for oss som leverandør av regnskapssystem.

• Som webdesigner er sikkerheten på nettsidene jeg lager en av tingene jeg virkelig tar på alvor. Derfor ble jeg veldig overrasket og skremt da Erik oppdaget at nettopp min egen nettside var et lett bytte for spoofing. Jeg er utrolig takknemlig for å ha blitt klar over dette slik at jeg kan gjøre noe med feilen, og vil gjerne anbefale andre bedrifter på det sterkeste å få sine nettsider sjekket også.

• Erik testet våre systemer og fant hull som vi ikke var klar over. Med hans hjelp klarte vi effektivt å tette disse før noen potensielle «black-hats» tok seg til rette og fikk tilgang til sensitiv data.

• erik.noblogg og offentlige skriv om funn

Foretak

Nilsen Konsult

Org.nr

931 405 861 MVA

E-post

[email protected]

Scope og regler for testen signeres skriftlig før noe kjøres. Du vet hva som skal testes, når det skjer, og hvilken IP-adresse trafikken kommer fra.