レッドチームと攻撃チェーン
私たちは、アイデンティティ、アプリケーション、インフラストラクチャ全体の弱点を結び付けて、攻撃者が合意された目的をどのように達成できるかを調査します。 この取り組みでは、侵入時の防御、検出、および意思決定が問われます。
組織にとっての価値攻撃経路、そのビジネスへの影響、注意が必要な制御についての現実的なビュー。
攻撃的なセキュリティ
敵がたどるであろう経路をテストします。
ペネトレーションテスト、高度なレッドチームの取り組み、ゼロデイ機能、ジェイルブレイクされた AI が、認可された攻撃的研究に適用されます。
ニーズについて話し合う攻撃者は各コントロールを個別に評価しません。 彼らは、公開されたサービス、間違った権限、見落とされた信頼関係などのシーケンスを探します。 私たちは、明確に許可された範囲内で、これらの部分がどのように組み合わされるかを調査します。
エンゲージメントは、何を守る必要があるか、何を学ぶ必要があるかから始まります。 アプリケーションの評価、インフラストラクチャ テスト、およびレッド チームの演習により、さまざまな質問に答えられます。 当社は、組織に有用な証拠を提供する形式を選択します。
その結果、曝露、曝露を可能にする条件、曝露を減らすための行動について優先順位が付けられた説明が得られます。 技術的な発見には意思決定レベルの説明が添えられているため、修復を所有し、資金を提供し、最後まで実行することができます。
高度な攻撃能力
高度なツール。 専門家の判断。
私たちの取り組みでは、敵対者のシミュレーション、ゼロデイ調査と悪用、ジェイルブレイクされた AI を組み合わせています。 各技術は、許可された範囲内で定義された目的を果たします。
ゼロデイ研究と悪用
ゼロデイ脆弱性がミッションに関連しており、業務で許可されている場合には、ゼロデイ脆弱性を使用します。 研究、管理された検証、悪用は、事前に合意された取り扱いと開示のもと、重要な資産への経路に焦点を当てています。
組織にとっての価値確立された脆弱性チェックではまだカバーされていない可能性がある弱点に関する技術的証拠。
攻撃的な作業のためのジェイルブレイク AI
私たちは、ジェイルブレイクされた AI モデルを、仮説の探索、コードのレビュー、テスト シナリオの開発など、攻撃的な作業のための調査および分析ツールとして使用します。 スペシャリストは出力をレビューし、どのアクションをエンゲージメントに含めるか決定します。
組織にとっての価値研究は AI によってサポートされ、技術的発見はミッションを担当する専門家によって検証されます。
私たちが取り組む質問
- 攻撃者の開始位置からどこまで到達できるでしょうか?
- 意味のある攻撃経路に組み合わされる弱点はどれですか?
- あなたの制御装置はその経路を検出して遮断しますか?
- 最初に何を修正する必要がありますか?またその理由は何ですか?
あなたが奪うもの
- 物質的暴露に関する経営陣による評価
- 再現可能な証拠を伴う技術的発見
- 攻撃経路、使用された手法、および観察された影響
- 優先順位を付けた修復の推奨事項
- チームとの修復と合意された再テスト範囲
エンゲージメントがどのように展開されるか
ルールを定義する
資産、シナリオ、テスト期間、除外、停止条件、指定された連絡先について合意します。
攻撃経路を調査する
合意された範囲をテストし、証拠を保存し、合意されたチャネルを通じて重大な調査結果をエスカレーションします。
発見を行動に移す
ビジネス上の結果を説明し、修復の優先順位に同意し、再テストで何を検証するかを明確にします。
始める前の質問
レッドチームの演習は侵入テストと同じですか?
いいえ。侵入テストでは、定義された境界内の脆弱性を検査します。 レッドチームの演習は、合意された敵対シナリオに従い、予防、検出、対応を一緒に評価できます。 適切な形式はスコープ中に選択されます。
テストは本番環境に影響を与える可能性がありますか?
アクティブな評価には運用上の制約があります。 テスト期間、除外、エスカレーション連絡先、および停止条件は、作業を開始する前に合意されます。 侵入的なアクションには明示的な承認が必要です。
技術レポートのみを受け取ることになりますか?
この取り組みには、経営陣の見解と技術的証拠が含まれます。 その目的は、意思決定者と実装者に、何を変更する必要があるかについて共通の理解を与えることです。
攻撃者が見つける前にパスを見つけます。
最も重要な資産を教えてください。 私たちは、攻撃的な評価、研究の優先順位、組織が行う必要のある決定を定義します。