Como parte do teste de penetração externo, nossos testadores de penetração procuram especificamente vulnerabilidades que não podem ser detectadas ou exploradas por ferramentas automatizadas. Isso também inclui a coleta de informações, a busca de informações para identificar os sistemas clientes que estão disponíveis gratuitamente na Internet. Esses sistemas disponíveis representam a superfície de ataque exposta, que, em princípio, está disponível para qualquer invasor anônimo pela Internet. Dependendo dos serviços previamente identificados, os demais testes específicos são adaptados e realizados.

O teste de penetração de aplicativos móveis da Secure é baseado no OWASP Mobile Application Security Verification Standard (MASVS) e para a API de back-end, os testes são retirados do OWASP Web Security Testing Guide. Isso garante que todos os vetores de ataque técnico relevantes sejam cobertos pelo teste de penetração. Para levar em consideração os diferentes requisitos de segurança dos aplicativos móveis, o MASVS divide todos os testes em dois níveis: O nível 1 deve ser atendido por todos os aplicativos móveis e confirma a proteção básica contra possíveis ataques, tanto no próprio aplicativo quanto na API de back-end. O Nível 2 se destina a aplicativos com maiores requisitos de segurança, como aplicativos de e-banking ou aplicativos do setor de saúde. Isso inclui, por exemplo, medidas de defesa em profundidade, como a fixação de certificados ou a aplicação de segurança básica do dispositivo.

A simulação de phishing é usada para determinar se, e quantos, funcionários são suscetíveis a um e-mail de phishing, se medidas organizacionais estão em vigor para relatar e-mails de phishing e se elas estão sendo tomadas. Os funcionários são atraídos para um site falso, onde são solicitados a divulgar informações confidenciais. Os indicadores que apontam para um e-mail de phishing podem variar à vontade.

Como parte de nossas auditorias de engenharia social, verificamos o comportamento de segurança de seus funcionários. Nossos engenheiros sociais tentam obter informações confidenciais de seus funcionários por meio de contato pessoal, explorando sua confiança, credulidade e prestatividade ou mesmo demandas excessivas e insegurança. Dependendo do objetivo da auditoria e do grupo-alvo, usamos diferentes métodos de auditoria e tipos de ataques de engenharia social. Estes vão desde o contato pessoal com a pessoa visada por telefone ou fisicamente no local, ao contato eletrônico através de e-mail, chat ou plataformas de redes sociais, ao contato postal. Mas também a entrega direcionada de mídia de armazenamento USB manipulada ou a análise sistemática de dados na Internet fazem parte de nosso repertório de ataques.

Durante esta auditoria, ocorre uma revisão técnica do e-mail ou endereço de e-mail e infraestrutura de proxy. Ele verifica se há deficiências técnicas ou de configuração que permitem que um invasor acesse inicialmente a rede interna com a ajuda de anexos de e-mail mal-intencionados ou links de download para controlar sistemas internos e permitir o roubo de dados despercebido.

Essa auditoria envolve uma verificação técnica do aplicativo da web (incluindo o servidor no qual o aplicativo da web é operado) da perspectiva de um script kiddie ou de um invasor que age principalmente de forma automática. O objetivo da auditoria de segurança de aplicativos da web é identificar vulnerabilidades obviamente críticas (chamadas de "frutos mais fáceis") e avaliar a superfície de ataque geral.

Esse teste de penetração envolve um exame técnico do aplicativo da web (incluindo o servidor no qual o aplicativo da web é operado) do ponto de vista de um invasor experiente - opcionalmente, o código-fonte também é analisado. O objetivo da auditoria de segurança de aplicativos da web é identificar vulnerabilidades que podem ameaçar o aplicativo imediatamente ou podem levar a um problema de segurança no futuro (por exemplo, através da combinação de outras vulnerabilidades). A auditoria é realizada de forma estruturada com base no OWASP Web Security Testing Guide (WSTG) e no OWASP Top 10 Web Application Security Risks e complementada com testes específicos da Secure.

Essa auditoria envolve uma revisão técnica da API da Web (incluindo o servidor no qual a API da Web é operada) da perspectiva de um invasor experiente. A auditoria é realizada de forma estruturada com base no OWASP Web Security Testing Guide (WSTG), bem como no OWASP API Top 10 Security Risks e complementada com testes específicos da Secure, para que todas as possibilidades de ataque, bem como o potencial perigo de atacantes avançados, possam ser levados em consideração.

A auditoria WLAN verifica todos os parâmetros relevantes para a segurança da infraestrutura WLAN. O objetivo da auditoria é verificar as medidas de segurança existentes e a aplicação dos padrões da indústria e identificar possíveis vetores de ataque. Assim, o perigo de um ataque externo é avaliado de forma realista, tanto da perspectiva de um invasor anônimo quanto em um contexto autenticado conectado à rede.

Essa auditoria envolve uma revisão técnica de um cliente Windows físico ou virtual ou de um servidor de terminal do Windows Server. A auditoria identifica vulnerabilidades nas áreas de ataque relevantes (físicas, de rede e semelhantes) e verifica medidas de proteção importantes que impedem significativamente o uso de técnicas de ataque. O catálogo de verificação desenvolvido pela Secure é baseado em padrões de segurança reconhecidos, como os benchmarks "Center for Information Security" (CIS) e os Microsoft Security Baselines.