Tests de Pénétration fondés sur la menace

Nous avons plus de 10 ans d'expérience dans la réalisation de différents types d'exercices de pentesting et de red teaming pour les secteurs bancaire, financier et des assurances. Nous avons une compréhension approfondie du cadre TIBER-EU, et nous la complétons avec une grande connaissance des approches de cybersécurité défensive.

Notre vaste expérience nous permet également de minimiser la perturbation des opérations lors de la réalisation d'un exercice TLPT, car nous connaissons les risques qui accompagnent l'exploration de vulnérabilités spécifiques et nous maintenons une ligne de communication ouverte avec le client pour décider quoi faire dans de telles circonstances.

Oui. Pour protéger les données des clients, Alter Solutions garantit les mesures suivantes :

1. Utilisation d'ordinateurs portables renforcés, de sorte qu'en cas de vol ou d'intrusion, les données que nous avons sur nos clients ne seront pas accessibles.
2. Utilisation de canaux de communication chiffrés pour chaque échange qui pourrait être critique. Par exemple : informations recueillies pendant la phase de renseignement sur les menaces ; rapport final avec les vulnérabilités détectées ; données personnelles des utilisateurs.
3. Suppression de toutes les données du client après la fin de l'exercice TLPT. Nous envoyons au client un document certifiant que nous avons supprimé toutes les informations recueillies pendant le processus de test.

Elles varient beaucoup d'un exercice à l'autre, en fonction de ce qui est découvert pendant la phase de renseignement sur les menaces. Quelques stratégies courantes qui pourraient être utilisées pour initier un Test de Pénétration Guidé par les Menaces sont l'ingénierie sociale (par exemple, les attaques de phishing), les intrusions physiques ou l'exploitation de vulnérabilités techniques.

Non, pas dans la façon dont il est réalisé, mais uniquement dans le temps consacré à la phase de renseignement sur les menaces. N'oubliez pas que le TLPT est spécifiquement conçu pour les institutions financières critiques, il n'aura donc jamais à être adapté aux petites ou moyennes entreprises. Si de telles entités recherchent un audit de sécurité complet, les approches conventionnelles de Red Teaming ou de Pentesting sont plus appropriées.

Principalement les étapes initiales de la phase de préparation, où le client doit sélectionner le fournisseur de renseignement sur les menaces et les testeurs (internes, externes ou les deux), définir les canaux et processus de communication, et préparer le document de spécification du périmètre.

À la fin, le plan de remédiation est également de la responsabilité de l'institution financière – le fournisseur TLPT fournit simplement le rapport de test avec des recommandations pour corriger les vulnérabilités techniques, mais c'est ensuite au client de décider comment les mettre en pratique.

Oui, mais les membres assignés à chaque équipe doivent être différents et agir de manière indépendante. Si l'institution financière utilise des testeurs internes, alors le fournisseur de renseignement sur les menaces doit être externe.