Zum Inhalt springen
hackmoat

So testen wir

Wir haben HackMoat gegründet, weil Angreifer KI früher hatten als die Verteidiger. Wir setzen dieselbe Klasse von Modellen ein, vertraglich geregelt und innerhalb eines unterzeichneten Umfangs, damit Sie zuerst sehen, was Angreifer sehen würden.

Der Auftrag, Phase für Phase

Wir folgen dem Aufbau von PTES, dem Penetration Testing Execution Standard, einer öffentlichen Beschreibung, wie ein Test ablaufen sollte.

  1. 1

    Vorbereitung

    Umfang, Testzeitraum, Ansprechpersonen und Testregeln, festgehalten in der unterzeichneten Freigabe.

  2. 2

    Aufklärung

    Wir erfassen, was erreichbar ist: Domains, Hosts, Dienste und Anwendungen im Umfang.

  3. 3

    Schwachstellenanalyse

    Wir suchen nach Schwachstellen und kombinieren automatisierte Scans mit manueller Prüfung.

  4. 4

    Ausnutzung

    Wir bestätigen jede Schwachstelle, indem wir sie im Rahmen der Freigabe ausnutzen, und zeigen so ihre tatsächliche Auswirkung.

  5. 5

    Bericht und Retest

    Wir dokumentieren jeden Befund mit Nachweis und Behebung und prüfen anschließend Ihre Korrekturen.

Unsere Standards

OWASP
Das Open Worldwide Application Security Project. Für Anwendungstests nutzen wir seinen Web Security Testing Guide, zur Erläuterung häufiger Risiken seine Top 10.
PTES
Der Penetration Testing Execution Standard. Er gliedert jeden Auftrag von der Vorbereitung bis zum Bericht.
CVSS
Das Common Vulnerability Scoring System. Jeder Befund erhält einen CVSS-Score, damit der Schweregrad über Berichte und Anbieter hinweg vergleichbar ist.

Unsere Grundsätze

  • 01

    Erst die Freigabe

    Ohne unterzeichnete Freigabe beginnt kein Test. Was außerhalb liegt, berühren wir nicht.

  • 02

    Fester Umfang, fester Preis

    Sie wissen vor Beginn, was getestet wird und was es kostet. Keine Abrechnung nach Stunden, keine Überraschungen.

  • 03

    Kein Schaden

    Wir verzichten auf zerstörerische Techniken und Denial of Service. Wird ein System instabil, brechen wir ab.

  • 04

    Belege statt Meinungen

    Zu jedem Befund gibt es einen Nachweis, den Ihr Team nachvollziehen kann. Keine ungeprüften Scanner-Ausgaben.

  • 05

    Frühe Information

    Kritische Befunde melden wir noch am selben Tag, nicht Wochen später im Abschlussbericht.

  • 06

    Grundsätzlich vertraulich

    Befunde bleiben zwischen Ihnen und uns. Berichte sind nur in Ihrem geschützten Kundenportal verfügbar.

Erst die Freigabe. Dann der Beweis.
Jeder Test beginnt mit einer unterzeichneten Freigabe und endet mit Nachweisen, die Ihr Team selbst prüfen kann.