We zetten AI-modellen die gebouwd zijn voor securitytesten in op je systemen, binnen de scope die je tekent. Onze testers sturen elke run en controleren elke bevinding voordat die in je rapport komt.
Aanvallers gebruiken nu AI-modellen waarvan de veiligheidsgrenzen zijn verwijderd. Die modellen vinden zwakke plekken sneller en gaan de hele nacht door. HackMoat zet hetzelfde soort model eerst in tegen jouw bedrijf, met een schriftelijke machtiging, binnen de doelen en het testvenster die jij bepaalt. Ervaren testers bepalen wat de AI mag proberen, volgen elke stap live en bevestigen elke bevinding met de hand. Je krijgt een rapport dat je auditor accepteert, zodat je de problemen oplost voordat iemand anders ze vindt.
Bekijk de film van 57 seconden (Engels, met ondertiteling)
Waarom AI-gedreven
Klassieke pentest
Aanvaller met AI
HackMoat
Snelheid
Klassieke pentestDagen handwerk per doel
Aanvaller met AIUren, dag en nacht
HackMoatUren, dag en nacht
Dekking
Klassieke pentestWat in de begrote dagen past
Aanvaller met AIAlles wat hij kan bereiken
HackMoatAlles binnen je getekende scope
Controle
Klassieke pentestTesters
Aanvaller met AINiemand
HackMoatJouw scope, jouw venster, onze testers
Resultaat
Klassieke pentestEen rapport
Aanvaller met AIEen inbraak
HackMoatEen gecontroleerd rapport en een hertest
Aanvallers zetten deze modellen al in tegen bedrijven zoals het jouwe. Elke week zonder test is een week waarin zij als eerste kunnen kijken.
Kies de diepgang die je nodig hebt
Elk pakket is een vaste scope tegen een vaste prijs. Grotere pakketten bevatten alles uit de kleinere.
01
Scout
Eén AI-gedreven aanvalsrun op je externe perimeter, gecontroleerd door een tester. Je publieke aanvalsoppervlak, getest van buitenaf.
De volledige AI-gedreven campagne: extern, intern en cloud, gestuurd en gecontroleerd door onze testers. Mensen, cloud en herstel, een jaar lang getest.
Een gesprek van 45 minuten met een van onze testers. We lopen je aanvalsoppervlak door, adviseren het juiste pakket en beantwoorden je vragen over hoe we testen.
De € 500 wordt volledig verrekend als je binnen 30 dagen een pakket boekt.
Kies een pakket en betaal online via Stripe. De prijs ligt vast en staat vooraf vermeld. Je hoeft niet op een offerte te wachten.
2
Teken de machtiging
Je tekent de testmachtiging online. Dat is de juridische toestemming om te testen. Hij legt de scope, de systemen en het testvenster vast.
3
Wij testen
We testen alleen wat je hebt gemachtigd, en alleen binnen het afgesproken venster. Vinden we iets kritieks, dan hoor je dat dezelfde dag.
4
Lees het rapport, dan de hertest
Je leest het volledige rapport in je eigen klantportaal. Heb je de bevindingen opgelost, dan testen we ze opnieuw.
Zo ziet een bevinding eruit
Elke bevinding beschrijft wat we deden, wat het betekent voor je bedrijf en hoe je het oplost. Dit is een voorbeeld, zonder klantgegevens.
Voorbeeld. Geanonimiseerd, geen echte klantHM-0417-01
KritiekCVSS 9.8
Domeinbeheerder in 3 u 12 min via een ongepatchte VPN-gateway
// Aanvalspad
1vpn.client.example:443
2CVE-2024-3400
3ad01.corp.local
Wat we vonden
De VPN-gateway aan de internetzijde draaide een firmwareversie met een publiek bekende kwetsbaarheid. Van daaruit bereikten we het interne netwerk en namen we de domeincontroller over.
Impact op het bedrijf
Een aanvaller met dezelfde toegang kan gegevens lezen, versleutelen of verwijderen op elk Windows-systeem in het bedrijf.
Oplossing
Installeer de patch van de leverancier, vervang alle inloggegevens die op de gateway staan en beperk beheertoegang tot het beheernetwerk. Na je bevestiging testen we opnieuw.
Een rapport waar je mee verder kunt
01
Managementsamenvatting
Twee pagina’s in gewone taal voor de directie: wat we testten, de belangrijkste risico’s en wat je eerst moet doen.
02
Bevindingen met score
Elke bevinding krijgt een CVSS-score, de gangbare schaal voor ernst in de sector, en een prioriteit op basis van jouw bedrijfscontext.
03
Bewijs
Screenshots, requests en tijdstempels bij elke bevinding, zodat je team die kan reproduceren en controleren.
04
Herstelstappen
Concrete oplossingen per bevinding, geschreven voor de mensen die ze uitvoeren.
05
Scope en methode
Precies wat binnen de scope viel, wanneer we testten en welke methoden we gebruikten. Auditors vragen hierom.
06
Resultaten van de hertest
Na de hertest laat het rapport zien welke bevindingen gesloten zijn en welke nog openstaan.
NIS2 en ISO 27001
NIS2 is de EU-richtlijn die essentiële en belangrijke entiteiten verplicht om cybersecurityrisico’s te beheersen en te beoordelen of hun maatregelen werken. ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging en vraagt om regelmatige technische tests.
Een penetratietest maakt je niet vanzelf compliant. Hij levert wel onafhankelijk bewijs dat je maatregelen zijn getest, welke bevindingen er waren en wanneer die zijn opgelost.
NIS2
Bewijs voor de beoordeling van de effectiviteit van je risicobeheersmaatregelen (artikel 21).
ISO 27001
Input voor technisch kwetsbaarheidsbeheer en voor beveiligingstests tijdens ontwikkeling (Annex A, 8.8 en 8.29).
Fortress
Inclusief een samenvatting voor het bestuur die elke bevinding koppelt aan de relevante eisen uit NIS2 en ISO 27001.
Veelgestelde vragen
Is dit legaal?
Ja, omdat jij er toestemming voor geeft. Voordat we beginnen, teken je een testmachtiging waarin de systemen, de scope en het testvenster staan. Daarbuiten testen we niets. Wordt een systeem door een derde partij gehost, dan bevestig je dat je het mag laten testen.
Gaat er iets kapot door het testen?
We testen productiesystemen met zorg. We vermijden denial-of-service-technieken en destructieve acties, en we spreken een testvenster af dat jou uitkomt. Lijkt iets instabiel, dan stoppen we en bellen we je.
Is het veilig om AI onze systemen te laten aanvallen?
De AI raakt alleen de doelen in je getekende machtiging aan, alleen binnen je testvenster, en stopt bij het bewijs: hij wijzigt, verwijdert of neemt geen gegevens. Een tester volgt elke run live en kan die direct stoppen, en je noodcontact kan de test op elk moment stoppen.
Wie zijn de testers?
Ervaren pentesters die werken volgens openbare methoden zoals OWASP en PTES. De testers op jouw opdracht staan bij naam in je testmachtiging en zijn gebonden aan geheimhouding.
Hoe lang duurt het?
Het testen begint meestal binnen twee weken na de getekende machtiging. Voor Scout krijg je het rapport binnen 10 werkdagen na de start van het testen. Siege en Fortress duren langer, omdat de scope groter is. De data spreken we vooraf met je af.
Wat hebben jullie van ons nodig?
Een getekende machtiging, een contactpersoon die tijdens het testen bereikbaar is en de gegevens van de systemen binnen de scope. Voor Siege en Fortress sturen we een kleine remote appliance die je op je interne netwerk aansluit.
Gaan onze gegevens een AI-model in?
Bevindingen en bewijs blijven in je eigen klantportaal en worden verwijderd zoals beschreven in onze privacyverklaring.
Weet het eerder dan zij
Boek online een pakket, of mail ons als je twijfelt welke scope past.