--- title: Tjenester og priser description: Glippen tester sikkerheten i domener, nettverk, sky, applikasjoner og kode. Veiledende priser publisert på nett, skriftlig oppfølging og en rapport en utvikler kan bruke. canonical: https://glippen.no/tjenester --- # Tjenester og priser Alle priser er veiledende og oppgitt eks. mva. Endelig pris avtales skriftlig før arbeidet starter. Finner vi mer enn ventet innenfor avtalt omfang, koster det ikke mer. ## Ekstern sikkerhetssjekk Vi ser på ett domene slik en utenforstående ser det, og skriver ned det som faktisk er galt. - Veiledende pris: 9 900 kr eks. mva - Leveringstid: 3–5 virkedager - Side: https://glippen.no/tjenester/ekstern-sikkerhetssjekk ### Hva som testes - E-postsikkerhet: SPF, DKIM og DMARC, med faktisk policy og ikke bare tilstedeværelse - Sertifikat og TLS-konfigurasjon - Security headers - Eksponerte filer: .git, .env, backup-filer og liknende - Eksponert origin bak CDN - Kjente sårbarheter i det som er synlig utenfra - Passiv kartlegging av subdomener ### Ikke med i denne pakken - Innlogget testing. Det dekkes av webapp- og API-pentest - Sosial manipulering og phishing mot ansatte. Egen tjeneste - Internnett. Egen tjeneste ## Microsoft 365 / Azure-gjennomgang Gjennomgang av tilgangsstyringen i leietakeren din: hvem kommer inn, hvordan, og hva de kan nå. - Veiledende pris: 19 900 kr eks. mva - Leveringstid: Ca. 1 uke - Side: https://glippen.no/tjenester/microsoft-365-azure ### Hva som testes - Conditional Access: regler, hull og unntak - MFA-dekning per bruker og per rolle - Legacy auth som fortsatt er åpen - Ekstern deling og gjestetilganger - App-registreringer og samtykker - E-postautentisering - Administratorroller og hvor mange som har dem - Eksponerte tjenester ### Ikke med i denne pakken - Endepunktstesting. Klienter dekkes av internnett og Active Directory - Sosial manipulering og phishing mot ansatte. Egen tjeneste - AWS og Google Cloud. Egen tjeneste ## Webapp- og API-pentest Autentisert testing med en vanlig brukerrolle. Vi ser etter det som lar én bruker gjøre noe hen ikke skal. - Veiledende pris: 29 900 kr eks. mva - Leveringstid: 1–2 uker - Side: https://glippen.no/tjenester/webapp-og-api-pentest ### Hva som testes - Autorisasjon og IDOR - Tenant-isolasjon - API: BOLA, mass assignment og rate limiting - Sesjons- og innloggingsflyt - Hemmeligheter som ligger igjen i frontend - Sosial manipulering og phishing mot ansatte, når det er avtalt på forhånd - Alt som inngår i ekstern sikkerhetssjekk ### Ikke med i denne pakken - Gjennomgang av Microsoft 365- eller Azure-leietaker. Det er en egen tjeneste - Internnett og endepunkter. Egen tjeneste - Mobilapp. Egen tjeneste ## Stor webapp / kompleks plattform Flere roller, flere miljøer, integrasjoner mot andre systemer. Omfanget settes før vi begynner. - Veiledende pris: fra 49 900 kr eks. mva - Leveringstid: Avtales etter omfang - Side: https://glippen.no/tjenester/stor-webapp-kompleks-plattform ### Hva som testes - Alt i webapp- og API-pentest, inkludert sosial manipulering etter avtale - Flere brukerroller og rollegrenser - Flere miljøer og integrasjoner - Red team-orientert gjennomføring etter avtale, der vi etablerer og holder på tilgang for å vise hva som faktisk oppdages. All slik tilgang loggføres og fjernes når oppdraget er ferdig - Omfang settes sammen med deg før vi begynner ### Ikke med i denne pakken - Internnett og endepunkter, med mindre det tas inn i scope. Ellers egen tjeneste ## Internnett og Active Directory Vi tester nettverket innenfra, slik en angriper som allerede er inne ser det. Hvor langt rekker én kompromittert maskin. - Veiledende pris: 34 900 kr eks. mva - Leveringstid: 1–2 uker - Side: https://glippen.no/tjenester/internnett-og-active-directory ### Hva som testes - Kartlegging av nettverket fra en posisjon på innsiden - Active Directory: feilkonfigurasjoner, delegering, tjenestekontoer og angrepsstier mot Domain Admin - Passordkvalitet og gjenbruk, testet mot deres egne kontoer - Rettighetseskalering på klient og server - Sidelengs bevegelse mellom maskiner og segmenter - Nettverkssegmentering: hva en gjest eller en produksjonsmaskin faktisk når - Filområder og delte ressurser som er åpne for flere enn de skal ### Ikke med i denne pakken - Fysisk inntrengning. Vi trenger en posisjon på nettet, ikke i bygget - Sosial manipulering for å komme inn. Det er en egen tjeneste ## Skyplattform: AWS og Google Cloud Gjennomgang av kontoene deres i skyen: hvem har tilgang til hva, og hva ligger åpent som ikke skulle det. - Veiledende pris: 24 900 kr eks. mva - Leveringstid: Ca. 1 uke - Side: https://glippen.no/tjenester/skyplattform-aws-google-cloud ### Hva som testes - IAM: roller, policyer, og hvem som i praksis kan bli administrator - Lagring som ligger åpent: S3-bøtter, Cloud Storage og liknende - Nettverk og sikkerhetsgrupper, og hva som er eksponert mot internett - Nøkler og hemmeligheter som ligger i kode, miljøvariabler eller image - Logging og varsling: ville dere sett det - Kontoer og tilganger som ikke lenger er i bruk ### Ikke med i denne pakken - Selve plattformen til leverandøren. Vi tester deres konto, ikke Amazon eller Google - Applikasjonen som kjører i skyen. Det er webapp- og API-pentest ## Mobilapp: iOS og Android Vi tester appen og det den snakker med. Det som ligger lagret på telefonen, og det som går over nettet. - Veiledende pris: 29 900 kr eks. mva - Leveringstid: 1–2 uker - Side: https://glippen.no/tjenester/mobilapp-ios-android ### Hva som testes - API-et appen bruker, testet som en autentisert bruker - Data lagret på enheten: filer, databaser, nøkkelring og logger - Trafikk mellom app og server, inkludert certificate pinning - Autentisering, sesjoner og hvordan tokens oppbevares - Hva appen røper ved reversering av pakken - Tredjeparts SDK-er og hva de sender ut ### Ikke med i denne pakken - Operativsystemet på telefonen. Vi tester appen, ikke iOS eller Android - Backend ut over det appen bruker. Det er webapp- og API-pentest ## Kodegjennomgang Vi leser koden i stedet for å gjette utenfra. Det finner ting en test aldri kommer borti. - Veiledende pris: fra 24 900 kr eks. mva - Leveringstid: Avtales etter omfang - Side: https://glippen.no/tjenester/kodegjennomgang ### Hva som testes - Autentisering, sesjonshåndtering og tilgangskontroll, lest i koden - Håndtering av inndata der den faktisk skjer - Hemmeligheter i koden og i historikken til repoet - Avhengigheter med kjente sårbarheter, og om dere faktisk bruker den sårbare delen - Kryptografi: hva som brukes, hvordan, og med hvilke nøkler - Byggekjeden og hva som kan påvirke den ### Ikke med i denne pakken - Full gjennomgang av alt. Vi avtaler hvilke deler som er verdt tiden - Retting av koden. Vi peker på hva som er galt og hvordan det bør løses ## Phishing-simulering En kontrollert phishing-kampanje mot deres egne ansatte, for å se hva som skjer og hva som fanges opp. - Veiledende pris: 19 900 kr eks. mva - Leveringstid: 2–3 uker - Side: https://glippen.no/tjenester/phishing-simulering ### Hva som testes - Kampanje tilpasset virksomheten, avtalt med dere på forhånd - Måling av hvem som åpner, klikker og oppgir opplysninger - Om det ble meldt fra, og hvor lang tid det tok - Om noe ble stoppet av tekniske tiltak underveis - Anbefalinger til opplæring, basert på det som faktisk skjedde ### Ikke med i denne pakken - Utpeking av enkeltansatte. Resultatene rapporteres samlet, ikke per person - Innhenting av faktiske passord. Vi registrerer at noe ble oppgitt, ikke hva - Kampanjer rettet mot noen utenfor virksomheten deres ## Full gjennomgang Alt over, satt sammen til ett oppdrag: utsiden, innsiden, skyen, applikasjonene og folkene. Omfanget settes først. - Veiledende pris: fra 99 900 kr eks. mva - Leveringstid: Avtales etter omfang - Side: https://glippen.no/tjenester/full-gjennomgang ### Hva som testes - Ekstern angrepsflate og e-postsikkerhet - Microsoft 365, Azure og skyplattform der det er aktuelt - Webapplikasjoner, API-er og mobilapper i avtalt omfang - Internnett, Active Directory og klienter - Kodegjennomgang av de delene som betyr mest - Phishing-simulering etter avtale - Fulle angrepskjeder på tvers, altså hvor langt én inngang faktisk rekker - Omfang settes sammen med deg før vi begynner ### Ikke med i denne pakken - Det som står under absolutte unntak nedenfor. De gjelder uansett pris ## Løpende tjenester - **Domeneovervåking**: Automatiske sjekker av DNS, sertifikater og e-postoppsett. Du får beskjed når noe endrer seg. fra 990 kr/mnd eks. mva - **Angrepsflateovervåking**: Regelmessige, automatiske sjekker av tjenestene deres: nytt subdomene, ny åpen port, ny tjeneste på nett. Du får beskjed samme uke. 2 490 kr/mnd eks. mva - **Årsavtale**: Én test i året, retest, løpende automatisk overvåking og 20 % avslag på merarbeid utenfor avtalen. 19 900 kr/år eks. mva - **Retest**: Vi sjekker at det som var galt faktisk er rettet. Inkludert i 30 dager etter levering. 4 900 kr eks. mva ## Dette gjør vi aldri - Tjenestenektangrep (DoS/DDoS), eller bevisst forsøk på å ta ned en tjeneste. Dette gjør vi aldri, uansett hva som bestilles. - Bevisst destruktive handlinger, sletting eller endring av produksjonsdata. - Fysisk inntrengning eller angrep mot maskinvare. Alt arbeid gjøres eksternt. - Andres systemer, data eller applikasjoner. Vi tester bare det dere selv eier. - Alt som ikke står i det signerte scope-dokumentet. - Uthenting av personopplysninger ut over det som er nødvendig for å dokumentere et funn.