Was wir testen, und was nicht

In Scope

• Domains und SubdomainsAlles, was unter Ihren Domains auflöst, ist der Startpunkt eines Angreifers. Wir kartieren es, bevor wir es testen.
• WebanwendungenIhre öffentlichen Anwendungen sind der größte und am häufigsten veränderte Teil der Oberfläche. Sie bekommen die volle OWASP-Grundlage plus die modernen Angriffsklassen.
• APIs, REST und GraphQLAPIs tragen die Daten. Fehler bei der Autorisierung zwischen Objekten und zwischen Rollen sind das häufigste schwere Finding in externen Tests.
• Authentifizierung, auch OAuthLogin, Passwort-Reset, Sessions, Tokens und Single Sign-on testen wir als eine Kette, weil sie so angegriffen werden.
• Offene Dienste und Admin-OberflächenManagement-Interfaces, Datenbanken, Mail und Fernzugriff, die aus dem Internet antworten. Oft vergessen, oft der kürzeste Weg hinein.
• TLS und ZertifikateProtokollversionen, Cipher Suites, Zertifikatsketten und Hostnamen, geprüft gegen die aktuelle Praxis.
• E-Mail-Sicherheit: SPF, DKIM, DMARCKein Angriff auf Ihre Systeme, sondern auf Ihren Namen: Mit schwachen Einträgen kann jeder Mails als Sie verschicken.
• Authentifizierte Tests einer WebanwendungOptional, mit Testkonten, die Sie uns gebenDie meiste Logik liegt hinter dem Login. Mit Testkonten testen wir, was ein Kunde oder ein Mitarbeitender erreichen könnte.

Out of Scope

• Interne NetzeSie sind aus dem Internet nicht erreichbar. Sie zu testen braucht einen Zugang, den Sie uns geben müssten, und eine andere Autorisierung.
• VPN- oder Vor-Ort-ZugangDieselbe Grenze. Wir testen von außen, über die Adressen in der Vereinbarung, und sonst nichts.
• Social EngineeringEs richtet sich gegen Menschen, nicht gegen Systeme. Dafür braucht es einen anderen Rahmen der Zustimmung als eine Testvereinbarung für Ihre Server.
• Phishing-KampagnenAus demselben Grund. Wir schicken Ihren Mitarbeitenden keine Mails, und unsere Domains verschicken überhaupt keine.
• Denial of ServiceEr schadet der Verfügbarkeit, ohne Ihnen etwas über Ihre Sicherheit zu sagen. Kein autorisierter externer Test enthält ihn.
• Physische TestsNicht unser Fach. Wir testen, was das Internet erreicht.