Gassås Gruppen– Oberoende leverantör inom IT- och informationssäkerhet

GASSÅS GRUPPENGassås är ett oberoende IT-säkerhetsföretag som hjälper våra kunder att jobba proaktivt med sitt säkerhetsarbete sedan starten 1997. Vi kan idag hjälpa er med alla typer av uppdrag inom informationssäkerhetsområdet.

Låt oss hjälpa er att hitta och bedöma riskerna! Vår

portfölj innehåller många verktyg som kan hjälpa

er i ert säkerhetsarbete. Vi utför årligen över 1500

olika säkerhetsanalyser och arbetar kontinuerligt

med att utveckla våra säkerhetstjänster. Om ni vet

var riskerna finns kan ni planera för hur ni skall

undvika dem. Ni kan bättre utnyttja era resurser,

er tid och er budget för att nå ett maximalt resultat

i en säker och stabilare miljö!

Som oberoende sitter vi inte i knät hos någon

eftersom vi inte säljer några produkter eller åtgär-

dar något vi hittar. Detta är en garanti för korrekta

analyser och råd om olika produkter och tjänster.

Med ett gammalt soldatnamn med bakgrund från Dalarna som förmedlar våra ledord;

strategi, struktur och säkerhet. Ledande inom IT-säkerhet sedan 1997.

Gassås är representant för Core Security på den skandinaviska marknaden samt European Training

Center (ETC) för Core Security i norra Europa. www.coresecurity.com

Vi levererar mätbar IT-säkerhet

SECURE IT Vårt koncept Secure IT består av olika säkerhetstester/analyser som kan behö-va göras på ett företags IT-miljö. Vår portfölj innehåller många olika verktyg för att vi på bästa sätt ska kunna hjälpa er i ert säkerhetsarbete.

Genom våra analyser och säkerhetstester kan or-

ganisationer på ett säkert sätt testa effektiviteten

hos sina skyddslösningar proaktivt. Vi kan testa

skyddet i trådbundna och trådlösa nätverk, klien-

ter, applikationer, mobila enheter och servrar m.m.

för att säkerställa att de är korrekt konfigurerade

och uppdaterade.

Ryggraden i vårt Secure IT koncept är vår egen-

utvecklade Secure IT-Appliance som utför kontinu-

erliga sårbarhetsanalyser automatiskt på insidan

i nätverket. Analysen görs på allt som har en IP-

adress och kommer med åtgärdsförslag och mät-

bara risker. Genom att kontinuerligt åtgärda sår-

barheter i IT-miljön får man mindre sårbara och

stabilare system, vilket innebär färre avbrott, hö-

gre kvalitè i driften och sänkta kostnader.

Vid behov kopplar vi sen på olika analyser såsom:

• Penetrationstest

• Lastanalys/Nätverksövervakning

• Applikationstest/Validering av kod

• Social Engineering

• Fördjupade Sårbarhetsanalyser

• Säkerhetstest av Mobila enheter

Våra analyser och säkerhetstester hjäl-per er att utvärdera era investeringar för informationssäkerhetFörsvarsmekanismer inklusive AV-system, IP och

IDS, säkerhet för meddelandehantering och web-

bapplikationer samt brandväggar kan kräva bety-

dande investeringar i tid och pengar. Det är där-

för som fler och fler organisationer använder sig

av våra analyser/säkerhetstester för heltäckande

datasäkerhetstestning för att validera effekten av

dessa verktyg, och att utvärdera sin avkastning på

investeringen, både före och efter att man har köpt

produkterna.

Genom att på ett säkert sätt simulera verkliga hot-

bilder, kan våra tester hjälpa er att bevisa om era

säkerhetslösningar effektivt kan upptäcka och fö-

rebygga attacker eller hjälpa dig att avgöra om du

behöver börja leta efter alternativ.

Vi kan också assistera vid inköpsprocessen genom

att kunna utvärdera produkter för att kunna be-

stämma ROI och säkerställa att framtida investe-

ringar blir så kostnadseffektiva som möjligt.

Alla våra tester bygger på ett stort bibliotek av sårbarheterVi använder faktiska sårbarheter, som finns aktiva

ute i omvärlden just nu, på ett kontrollerat sätt för

att på säkrast möjliga vis kunna utvärdera olika

skyddslösningar. Våra säkerhetstester bygger på

ett stort bibliotek med kommersiella sårbarheter

som emulerar olika attackvektorer och scenarier

på ett realistiskt sätt. Det finns också möjligheter

att skräddarsy sårbarheter och attackvektorer för

applikationer och tjänster som är egenutvecklade.

Biblioteket är utvecklat av säkerhetsexperter över

hela världen. Sårbarheterna testas och uppdateras

dagligen så att det alltid går att testa och skydda

sig mot de senaste sårbarheterna, även Zero-Day

attacker.

Order Nätverks-resurser

att skanna

Vald frekvens Skannings-resultat

Beslutadeåtgärder

Executiverapport

Sårbarhets-rapport

Intervju

Konfigurera Secure ITAppliance

Väljaskanningsfrekvens

Genomföraskanning

Generera kontinuerliga

rapporter

Hantera sårbarheter

löpande

Säkerhetskonsult Secure IT Appliance Ledningsgrupp IT-avdelning

L ITSecure IT Apppliance

Krav på att inte störadriftmiljö

SECURE IT APPLIANCE

Secure IT Appliance analyserar kundens nätverk

och servers (virtuella eller fysiska) upp till en gång

per dag. Som underlag för analysen hämtas hot och

sårbarheter från ett urval viktiga källor i världen.

Analystjänsten är klientfri, d.v.s. man behöver inte

installera någon mjukvara på servrar. Analysen

utförs direkt i nätverket från vår Secure IT app-

liance som gör kontinuerliga sårbarhetsanalyser

mot utvalda IP-adresser (enstaka IP-adresser och/

eller intervall av IP-adresser). Tjänsten omfattar

implementation, konfiguration samt kontinuerliga

sårbarhetsanalyser.

Målet med Secure IT Appliance är att identifiera

sårbarheter i ert nätverk, där ni får åtkomst till

rapporter via ett webbgränssnitt som även är op-

timerat för åtkomst i surfplattor. Rapporterna har

ett anpassat användargränssnitt på övergripande

”Executive” nivå samt ”Detaljerad” åtgärdsnivå.

Secure IT Appliance ger en möjlighet att konti-

nuerligt upptäcka och åtgärda sårbarheter i sitt

nätverk. Resultatet är mindre nertid, lägre risk för

imageförluster, lägre risk för informationsförluster

samt möjliggör att interna resurser kan användas

på bättre sätt.

Vår lösning är sluten och säker för produktions-

system, eftersom den inte installerar eller kör kod

under testning. Våra rapporter ger säkerhetsproffs

och utvecklare den kritiska informationen de be-

höver för att identifiera svagheter i säkerheten,

bestämma eventuella korrigeringar, och prioritera

saneringsinsatser.

Secure IT Appliance är ett egenutvecklat koncept för proaktivt säkerhetsarbete som syftar till att skapa en säkrare och stabilare drift av IT-miljöer genom kon-tinuerliga sårbarhetsanalayser på insidan av nätverket.

Secure IT-Appliance levererar mätbara

risker/sårbarheter.

Om ni vet var riskerna finns kan ni planera för

hur ni skall undvika dem. Ni kan bättre utnyttja

era resurser, er tid och er budget för att nå ett

maximalt resultat i en säker miljö!

Order Nätverks-resurser

att skanna

Vald frekvens Skannings-resultat

Beslutadeåtgärder

Executiverapport

Sårbarhets-rapport

Intervju

Konfigurera Secure ITAppliance

Väljaskanningsfrekvens

Genomföraskanning

Generera kontinuerliga

rapporter

Hantera sårbarheter

löpande

Säkerhetskonsult Secure IT Appliance Ledningsgrupp IT-avdelning

L ITSecure IT Apppliance

Krav på att inte störadriftmiljö

SECURE IT APPLIANCEAnvändningen av Secure IT Appliance är en god investering eftersom den ger en kontinuerlig heltäckande bild av de sårbarheter som kan utnyttjas såväl internt som externt. Analyserna fungerar som beslutsstöd och är användbara inför och under förändringsarbete samt för den dagliga driften av IT-miljöer och system.

• Mätbara resultat

• Analyserar kundens nätverk upp till en gång per dag

• Analys görs på plats i nätverket av en appliance (eller virtuellt) utan administratörs- och nät-verksrättigheter

• Uppdateras med nya sårbarheter dagligen

• Lättlästa rapporter med åtgärds-förslag

• Klientfri

• Tekniska delen av PCI DSS ingår

Mindre sårbara system innebär färre avbrott,

högre kvalitet i driften och sänkta kostnader.

APPLIKATIONSTEST

Känner ni en osäkerhet över hur era applikationer fungerar när det gäller säk-erhet eller hur de beter sig vid belastning, har ni mycket att vinna på att göra ett grundläggande applikationstest.

Vi arbetar med verktyg, anpassade för de olika typer av applikationer ni har inom er verksamhet, när vi

skall testa säkerheten av såväl webapplikationer som normala client/server applikationer. Testerna kan utfö-

ras i driftmiljö men bör istället genomföras i en virtuell miljö, så kallad “sandbox”, vilket medför att säkerheten

hos applikationen kan kontrolleras utan att påverka driftmiljön. För att även kunna testa egenutvecklade

applikationer görs specialskrivna script.

• Identifiering av sårbarheter i webapplikationer, webservrar samt tillhörande databaser

• Testar alla attackvektorer i OWASP (Open Web Application Security Project) Top 10

• Traditionell SQL Injection - testar databasanrop (OWASP A1)

• Blind SQL Injection - testar databasanrop (OWASP A1)

• OS Command Injection - testar isolering mellan webapplikation och operativsystem (OWASP A1)

• XSS (Cross Site Scripting) - testar sårbarheter som ger kontroll över användarens webläsare (OWASP A2)

• Reflective XSS, Persistent XSS samt Dynamic XSS

• Autentisering och sessionshantering - testar sårbarheter i inloggningsfunktioner (OWASP A3)

• Osäkra objektreferenser - testar för olänkade sidor, gamla versioner samt känsliga URL'er (OWASP A4)

• CSRF (Cross Site Request Forgery) - identifierar sårbarheter i anrop till applikationen (OWASP A5)

• Säkerhetskonfigurations problem - testar hela kedjan från webapplikation till underliggande hårdvara (OWASP A6)

• Säkerhetskontroll av kryptografi och certifi-kathantering/lagring (OWASP A7)

• Förhindrad URL-åtkomst - testar för sårbarheter vid åtkomst till känsliga sidor tex. admin mm. (OWASP A8)

• Otillräckligt skydd av transportlager - testar sårbarheter i konfiguration av SSL/TLS (OWASP A9)

• Ovaliderade omdirigeringar och vidarebeford-ringar (OWASP A10)

• RFI (Remote File Inclusion) - testar för risker i både fjärr och lokal inkludering av filer

• Konfigurationsproblem med WebDAV och CardDav mm.

• Tester av säkerhetslösningar (Firewall evade, obfuscating, fragmenting, encrypting)

• Kontrollerar nivå på kryptering av webapplika-tionen

• "Fingerprinting" för att se om standardsårbarhe-ter kan utnyttjas

• Dynamiskt genererad kod för att kontrollera säkerhetsbrister i kod samt plattform

• Konsekvensbeskrivning av eventuella intrång

• Informationsinsamling för att hantera sårbarhe-ter/risker och förebygga intrång

• Informationsinsamling för att ta fram förslag för förändrade policies för fortsatt utveckling

SÄKERHETSKONTROLL AV WEBAPPLIKATIONER SAMT VALIDERING AV KOD ENLIGT BEST PRACTICE

Vi kan även utföra en kontroll av programkod för egenutvecklade system (webapplikationer) utifrån ett

säkerhetsperspektiv. Dessutom görs en validering/kvalitetskontroll för att säkerställa att koden följer

Best Practice beträffande hur kodning skall göras på säkrast möjliga sätt.

Vid analyser av webapplikationer så görs bland annat följande typer av tester:

APPLIKATIONSTEST

SYFTESyftet med säkerhetstestet är att säkerställa att

den programkod som produceras för egenutveck-

lade system inte innehåller några risker med av-

seende på sårbarhet eller säkerhet, samt en upp-

följande validering/kvalitetskontroll, utifrån Best

Practice, för hur kodning bör ske på säkrast möj-

liga sätt. Målet med denna kontroll är att kunna

komma med förslag på åtgärder för att bättra på

säkerheten. Vidare är syftet att göra er medvetna

om riskerna med eventuellt upptäckta och iden-

tifierade sårbarheter och på så sätt höja säker-

hetsnivån markant. Detta kan även leda fram till

förändrade rutiner och arbetssätt vid kodning och

egen testning av kod.

GENOMFÖRANDEDen normala modellen för denna typ av analys är

att koden lyfts in i en ”sandbox-miljö” som vi till-

handahåller, alternativt om kunden har en testmil-

jö som lämpar sig för detta. Därefter kontrolleras

koden utifrån olika kriterier och tester/mätningar

av trafik sker för att identifiera potentiella risker

med hur systemet är kodat för att hantera olika

typer av funktioner och information. Utifrån detta

resultat kan sedan ett antal förbättringsåtgärder

samt en Best Practice skapas och presenteras för

att ge nya/förändrade rutiner som medför att man

kan säkra upp det fortsatta utvecklingsarbetet.

Vid analyser av webapplikationer så görs bland annat följande typer av tester:

LASTANALYS

Blir ett eller flera system långsamma utan att ni kan förstå varför eller upplever ni att prestanda och tillgänglighet i era trådbundna och/eller trådlösa system inte är det ni förväntat er?

Problem med prestandaNär det skapar frustration över att inte kunna ar-

beta normalt så kan en lastanalys vara aktuell för

att utreda de grundläggande orsakerna.

För att utreda problem med prestanda och tillgäng-

lighet i era trådbundna och/eller trådlösa system

kan vi genom en lastanalys få en bild av vilken

typ av trafik som passerar i nätverket. Därefter

kan man analysera detta resultat för att identifiera

onödig trafik samt eventuella flaskhalsar som kan

uppstå genom underdimensionerad hårdvara.

Att göra en lastanalys ger er en bild av hur de ana-

lyserade systemen påverkas och i rapporten ger vi

även förslag på förbättrande åtgärder.

NätverksövervakningVi kan vid behov även testa av prestanda och till-

gänglighet i trådbundna och/eller trådlösa system

genom olika verktyg för nätverksövervakning som

ger en bild över en längre tid av vilken typ av trafik

som passerar i nätverket. Resultatet analyseras för

att identifiera onödig trafik, eventuella konflikter

samt för att förhindra otillåten kommunikation i

nätverket från exempelvis virus eller trojaner.

Nätverksövervakningen resulterar i en rapport

med status på säkerheten i de analyserade syste-

men samt förslag på förbättrande åtgärder.

Cloudtjänster är ett kraftigt växande område

som förlitar sig på leverans av olika typer

av tjänster samt extern lagring av data som

kunden kommer åt via en delad nätverks-

infrastruktur. Normalt sett är tjänster och

lagring privat medan infrastruktur är publik

(internet). Kombinationen av olika tjänste-

leverantörer, lösningar för extern datalagring

samt leverantörer av internetanslutning ger

hög komplexitet med många inblandade par-

ter. Problemen med att bibehålla säkerheten i

hela kedjan från klient till server är uppenbar!

Vi testar och säkerställer kvaliteten hos de

parter som tillhandahåller era lösningar för

cloudtjänster och extern lagring.

TESTER AV CLOUDTJÄNSTER

PENETRATIONSTEST

Syftet med penetrationstest är att ge en bild av sårbarheten från utsidan på brandväggen samt komma med förslag på åtgärder för att bättra på säkerheten. Vidare är syftet även att göra er medvetna om riskerna med identifierade sår-barheter och på så sätt höja säkerhetsnivån markant

Hackarattacker och intrång i nätverket är van-

ligare än man kan tro. Vill det sig illa kan små

okända ändringar vid ett intrång påverka hela

nätverket och i vissa fall även användas som en

språngbräda vid attacker mot andra nätverk.

Vid ett penetrationstest kontrollerar vi säker-

heten genom att försöka utföra regelrätta in-

trångsförsök mot ett nätverk via externa system

(brandväggar, DMZ). Detta kan ske genom att man

exempelvis attackerar ett företags brandvägg el-

ler trådlösa nätverk för att därefter utvärdera sä-

kerheten. Om man kan få åtkomst i ett eller flera

system så gör man sedan en återkoppling för att

se om det därigenom går att få vidare åtkomst till

andra resurser även om dessa inte finns i ome-

delbar anslutning till de hackade systemen.

Den rapport vi presenterar efter ett penetrations-

test ger en indikation över statusen på säkerhe-

ten i de analyserade systemen samt förslag på

förbättrande åtgärder.

TESTA EFFEKTIVITETEN HOS IPS OCH IDS Nya hot och sårbarheter identifieras och utvecklas

kontinuerligt för att attackera och utnyttja system

för IDS och IPS. Det är extremt viktigt att förstå hur

era system och skyddsåtgärder kan kringgås innan

en attack händer på riktigt och någon sårbarhet ut-

nyttjas för kriminella ändamål. Vi kör attacker på

ett säkert sätt i en kontrollerad miljö för att identi-

fiera sårbarheter eller konfigurationsproblem i dina

säkerhets system.

PIVOTING: Spåra attackvektorer från

publika nätverk till åtkomst av backend data.

Vi använder verkliga penetrationstester i flera

steg som ger möjligheter att replikera attacker

som används av angripare för att påvisa de

steg som kan användas efter det första publika

nätverket utsatts för intrång. Genom att integrera

analyser av trådlösa nätverk, trådbundna nät-

verk, webbapplikationer och slutpunktstestning,

avslöjar och dokumenterar vi de vägar som

känslig data kan exponeras från bakomliggande

system.

Länkade Sårbarheter: utvärdera din expo-

nering mot hot och sårbarheter i flera steg

Cyberbrottslingar skapar allt mer komplexa attack-

metoder för att utvidga sin räckvidd till flera sys-

tem hos utnyttjade företag och organisationer. Vi

kan simulera flerstegs attacker genom att integre-

ra resultaten från nätverkspenetrationstester med

både tester av slutanvändare samt applikations

och webbapplikationstestning. Man kan utnyttja

sårbara och/eller utnyttjade system som identifie-

rats under tester av slutanvändare och applikatio-

ner som språngbrädor för att sedan starta lokala

attacker på andra nätverkssystem. Man kan också

använda information som skördas från utnyttjade

system för att skapa och leverera övertygande rik-

tade phishing tester som innehåller kundspecifik

information som till exempel namn på avsändare,

mottagare, företag, kontaktuppgifter mm. vilket

medför att mottagarens vaksamhet sänks.

INTRÅNGSTEST AV TRÅDLÖSA NÄTVERK Våra penetrationstestmöjligheter för trådlösa

nätverk och annan trådlös kommunikation gör

att du kan bedöma din organisations beredskap

mot verkliga attacker som kan startas via Wi-Fi-

nätverk, Bluetooth kommunikation eller via NFC

och RFID. Vi kan proaktivt replikera de åtgärder

som en blivande angripare kan använda sig av för

att avslöja exploaterbara svagheter i dina tråd-

lösa och trådbundna nätverk – samla in data vid

varje steg för effektiv och ändamålsenlig riskmi-

nimering. Vi kan replikera flerstegs attacker som

använder sig av trådlös kommunikation för att

komma åt sårbar utrustning som sedan kan an-

vändas för att komma åt backend resurser. Detta

avslöjar hur kedjor av exploaterbara sårbarheter

kan öppna vägar till verksamhetskritiska system

och data.

FÖRDJUPADE SÅRBARHETSANALYSER

Vi ger en komplett bild av hur ett intrång kan ske och vilken tillgång till interna system och data som kan skapas. Vi tar fram ett underlag för att proaktivt före-bygga hur eventuella sårbarheter kan utnyttjas och minimera riskerna med dessa!

Steg 1Firewall Sanity Check – Detta är en klassisk extern

analys av brandväggen.

Här görs dels en sårbarhetsanalys samt kontroll

av att brandväggens uppsättning och regelverk

följer Best Practice och inte ger mer information/

öppningar än vad som faktiskt krävs av de resur-

ser som delas via brandväggen. Dessutom görs en

grundläggande kartläggning av resurser som an-

vänds som underlag för steg 2.

Steg 2Utökat säkerhetsanalys av resurser som kartlagts

i steg 1.

Denna del av analysen är utformad som ett pe-

netrationstest där olika typer av resurser kontroll-

eras för potentiella sårbarheter samt vilka risker

detta skulle kunna medföra. Här testas webser-

vrar, ftp-servrar, mailservrar mm. samt de olika

kopplingar som dessa har inåt i miljön i form av

länkar eller databaskopplingar. Steg 2 utförs utan

några specifika rättigheter.

I steg 2 så görs bland annat följande typer av tester:

• Identifiering av sårbarheter i webapplikationer, webservrar samt tillhörande databaser

• Testar alla attackvektorer i OWASP (Open Web Application Security Project) Top 10

• Traditionell SQL Injection - testar databasanrop (OWASP A1)

• Blind SQL Injection - testar databasanrop (OWASP A1)

• OS Command Injection - testar isolering mellan webapplikation och operativsystem (OWASP A1)

• XSS (Cross Site Scripting) - testar sårbarheter som ger kontroll över användarens webläsare (OWASP A2)

• Reflective XSS, Persistent XSS samt Dynamic XSS

• Autentisering och sessionshantering - testar sårbarheter i inloggningsfunktioner (OWASP A3)

• Osäkra objektreferenser - testar för olänkade sidor, gamla versioner samt känsliga URL’er (OWASP A4)

• CSRF (Cross Site Request Forgery) - identifierar sårbarheter i anrop till applikationen (OWASP A5)

• Säkerhetskonfigurations problem - testar hela kedjan från webapplikation till underliggande hårdvara (OWASP A6)

• Säkerhetskontroll av kryptografi och certifi-kathantering/lagring (OWASP A7)

• Förhindrad URL-åtkomst - testar för sårbarheter vid åtkomst till känsliga sidor tex. admin mm. (OWASP A8)

• Otillräckligt skydd av transportlager - testar sårbarheter i konfiguration av SSL/TLS (OWASP A9)

• Ovaliderade omdirigeringar och vidarebeford-ringar (OWASP A10)

Steg 3Fördjupad analys där underlaget från steg 1 och

2 används med faktisk behörighet i det aktuella

systemet. Efter dessa steg är avslutade kan en för-

djupad analys göras där resultatet från steg 1 och

2 används som underlag. Här går man nu djupare

och kontrollerar vilka potentiella sårbarheter och

risker som kan finnas om någon användare av sys-

temen skulle vara påloggad och ha någon form av

skadlig kod, malware eller liknande på sin arbets-

station som skulle kunna utnyttja resursen med en

faktisk behörighet.

Så här kan ett Penetrationstest på brandvägg samt fördjupade säkerhets-analyser se ut i olika steg:

FÖRDJUPADE SÅRBARHETSANALYSER

Penetrationstester av mobila enheterDessa tester är mobila attacker som förpackats

som vanliga program som försöker att köra lo-

kalt på den mobila enheten. Dessutom försöker

vissa attacker utnyttja kända sårbarheter i en-

hetens operativsystem samt inbyggda program

eller komponenter för att köra programmet. Alla

attacker, tester och skadlig kod utvecklas och tes-

tas i sandboxmiljöer och är utformade för att max-

imera stabilitet och integritet och får kontinuerliga

uppdateringar när nya sårbarheter dyker upp och

angriparna finslipar sin teknik.

Genom att utföra penetrationstester mot mobila enheter kan man:

• Identifiera och bevisa att kritiska data som ska-pats i/av mobila enheter i din miljö kan expone-ras

• Utvärdera säkerheten för ny mobil teknik före driftsättning

• Få värdefulla data som krävs för att påvisa finansiella och operationella risker

• Bedöma slutanvändarnas säkerhetsmedvetenhet kring olika tekniker för social engineering

• Skydda slutanvändare från förtal, bedrägeri och utpressning

• Skapa revisioner och rapporter kring säkerhe-ten för mobila enheter till bolagsledningen och andra intressenter

Informationsinsamling: Demonstrera kon-

sekvenserna av ett intrång i en mobil enhet.

Man kan inte bara visa hur säkerheten i mobila

enheter i din omgivning kan äventyras, men också

avslöja hur angripare kan komma åt och manipu-

lera data från enheten för att få fram information

kring ditt företags immateriella rättigheter men

även potentiellt bedra, förtala eller utpressa en

slutanvändare.

Attack och penetration: Utnyttja mobila

enheter med metoder som existerar i omvärlden

Ett av de mest effektiva sätten för en angripare

att ta kontroll över en mobil enhet är genom att

få användaren, eller själva enheten, att installera

ett skadligt program. Vid tester av nätfiske, lurar

man användaren att klicka på en länk som utlöser

attacken. För Wi-Fi-tester, levereras attacker som

svar på förfrågningar av data (falska AP-attacker)

och för in dem i befintlig trafik (MITM attacker).

Metoder att leverera attacker

• E-phishing-attacker levereras direkt via email

• SMS-phishing-attacker levereras via en email-till-SMS-gateway tjänst

• Wi-Fi-attacker levereras via integration med en specialgjord hårdvara som möjliggör låg-nivåkommunikation med enhetens inbyggda trådlösa radiokort

SÄKERHETSTESTER AV MOBILA ENHETER

Med våra penetrationstester, kan du påvisa sårbarheter hos smartphones gen-om att vi använder samma attack tekniker som används av brottslingar i dag.

SÄKERHETSTESTER AV MOBILA ENHETER

Bedöma säkerheten hos mobila enheter innan en angripare kan utnyttja bristerVi hjälper er att kontrollera slutanvändare och mobila enheter

genom följande tekniker:

• Nätfiske Gör att du kan skicka e-post och textmeddelanden som avgör om organisationens anställda skulle falla offer för nätfiske och spear phishing-attacker genom att klicka vidare till skadliga webbplatser och/eller installation av skadliga mobilappar.

• Webbformulär Bedömer hot för dataläckage genom att utföra phishing tester där länkar bifogas till webbformulär som syftar till att fånga och spela in användarangivna data, t.ex. användarnamn och lösenord.

• Falska trådlösa accesspunkter Imiterar giltiga trådlösa accesspunkter i ett försök att lura användare att ansluta sina apparater till dem.

• Trådlös man-in-the-middle (MITM) attacker Identifierar och övervakar trådlösa nätverk som antingen inte har kryptering eller använder svag kryptering och iaktta even-tuella anslutna enheter.

Utdrag av uppgifterNär en testad enhet har utnyttjats så är det möjligt att extrahera

data från enheten på samma sätt som en angripare skulle. Man

kan exempelvis extrahera följande datatyper:

• Telefonsamtal, SMS och MMS loggar

• GPS-position

• Kontaktinformation

• Bilder

Du kan även potentiellt ta stillbilder, video samt spela in ljud med

enhetens inbyggda kamera och mikrofon utan att användaren är

medveten om detta, vilket kan ge ytterligare belägg för allvaret

med intrånget.

FAKTA

HOTEN MOT MOBILA ENHETER ÖKAR

2004 lanserades det första viruset

som enbart attackerade mobila

plattformar – Cabir…

I takt med att användningen av

smarta mobila plattformar ökat

har attackerna mot dessa accele-

rerat explosionsartat. Från att en-

bart försöka ta sig från telefon till

telefon via Bluetooth så har både

antalen attacker, målen med dessa

samt sätten att fortplanta sig ökat

och förändrats radikalt.

Under senaste året har antalet

kända hot och sårbarheter mot

mobila plattformar växt med 70%,

mer än på de föregående 5 åren

sammanlagt!

De 5 vanligaste hoten mot mobila plattformar idag är:• Kapning av bankapplikationer

och transaktioner från dessa

• CloudProxy – Mobiler kopplade

till cloudtjänster används för åt-

komst till data

• Ransomware – Mobilen låses och

betalning krävs för upplåsning

• Pay SMS och Pay Calls – Samtal

och SMS till betaltjänster sker i

bakgrunden

• Mobila Botnet – Mobilen fjärr-

styrs och kameran kan ta bilder

och film, mikrofonen kan spela

in ljud mm.

SOCIAL ENGINEERINGSyftet med Social Engineering är att säkerställa att skalskyddet hos kunden är tillräckligt för att minimera de risker som potentiellt finns för intrång via dessa olika vägar.

Kvalitetskontroll utifrån Best PracticeVi gör en kvalitetskontroll utifrån Best Practice,

vilket ligger till grund för eventuella förändringar/

förbättringar som kan göras i de olika system samt

rutiner som kontrollerats.

Målet med denna kontroll är att kunna komma med

förslag på åtgärder för att förbättra säkerheten. Vi-

dare är syftet att göra er medvetna om riskerna

med eventuellt upptäckta och identifierade sårbar-

heter och på så sätt höja säkerhetsnivån markant

även framåt.

Dessutom rekommenderar vi att den information

som samlas in vid dessa kontroller kan användas

som ett underlag för att sedan gå vidare och göra

även interna sårbarhetsanalyser för att proaktivt

förebygga uppkomsten av nya risker och sårbarhe-

ter i kundens IT infrastruktur och rutiner.

Testa medvetenhet kring phishing och andra social engineering attackerVi utvärderar organisationens känslighet för

phishing, spear phishing och andra tekniker inom

social engineering. Vi replikerar säkert e-mail

baserade attacker för att testa slutanvändarnas

förståelse kring er säkerhetspolicy och identifie-

rar system som kräver patchar och andra uppda-

teringar. Varje test backas upp av rapporter som

hjälper er med efterlevnads- initiativ och hjälper

till att sätta fingret på olika metoder för att stärka

datasäkerheten.

Vi kan även replikera attacker i flera steg som

genom enkla attacker kan äventyra slutan-

vändarsystem för att sedan kunna komma åt

backend resurser och avslöjar hur kedjor av

exploaterbara sårbarheter kan öppna vägar till

verksamhetskritiska system och data.

INFORMATIONSSÄKERHETHur vet du vilka tjänster som är prioriterade om det inte har diskuterats tidigare? Detta är en av de vanligaste orsakerna till interna konflikter när man skall ge service till medarbetare i verksamheten och för att kunna han-tera incidenter.

IT-Service ManagementAtt arbeta med IT som tjänster gör att man får ett

gemensamt språk som gör det enklare och tydli-

gare att anställa personal och utveckla befintliga

medarbetare.

Ändringshantering, servicedisk och serviceavtal är

ofta ”lågt hängande frukter” för att hitta kostnads-

besparingar, men problemhantering är ett av de

områden man bör etablera i ett första skede. Har

du redan passerat detta är det aktuellt att gå vida-

re med de övriga processer, aktiviteter som finns

beskrivna i ITIL och andra liknande publikationer.

Vi har ledande kompetens inom ITIL, där vi kan

hjälpa dig att vidareutveckla processer inom IT och

skapa förutsättningar för att verksamheten skall

bli en bra beställare eller att fortsätta utvecklas

som det naturliga valet för att ha hand om driften

av IT i verksamheten.

InformationssäkerhetAnvänder du sekretessavtal innan du lämnar ut in-

formation om framtida produkter eller maknadspla-

ner? Detta är en av de vanligaste frågeställningarna

vi stöter på när vi börjar ta fram regler för informa-

tionssäkerhet. Lika viktigt är det att ta fram planer

för att kunna hantera avbrott och störningar. Dessa

krisplaner, kontinuitetsplaner och avbrottsplaner

är det som ofta gör skillnaden för ett företag som

överlever en kris. Vi analyserar dagens miljö och tar

fram förslag på förbättringar. Det kan omfatta poli-

cyarbete, genomföra utbildning, ta fram checklistor,

driva säkerhetsfrågor tillsammans med ledningen

och se till att planer implementeras.

Informationssäkerhet är ett strategiskt, taktiskt och

operativt arbete där den röda tråden utgår ifrån att

identifiera en god riskekonomi, dvs att kostnader

för säkerhetsåtgärder är i balans med den vinst det

medför.

IT- och SäkerhetsrevisionerVad vet du om hur era regler hanteras i praktiken?

Osäkerheten leder ofta till felaktiga investeringar

baserade på subjektiva bedömningar. I våra revi-

sioner utgår vi ifrån era regler och riktlinjer men

stämmer även av hur relevanta dessa är mot stan-

dards och ramverk som ISO 27000, ITIL och Cobit.

Några exempel på revisioner som vi brukar göra är

• Generella IT kontroller där vi verifierar att det finns en grundläggande kontroll

• Applikationsrevisioner där vi verifierar att kritiska applikationer ger god intern kontroll

• Ämnesspecifika revisioner där vi beaktar enskilda områden eller händelser som exempel-vis projekt, hantering av avbrott och störning, avtalstvister, prestandaproblem, hantering av utlagd drift och validering av system som skall tas i drift.

Den verkliga nyttan med att IT- och Säkerhetsre-

visioner är att du får ett beslutsunderlag för att

kunna genomföra förbättringar och för att kunna

skapa en bättre beredskap att hantera oönskade

händelser.

RiskhanteringHar ni funderat kritiskt på de risker som finns i

verksamheten utifrån de behov som verksamheten

har? Är det svårt att veta vad som har en betydel-

se och som därmed gör nytta för verksamheten?

För att kunna ta beslut om åtgärder för risker kan

vi erbjuda er en anpassad metod och process för

att identifiera, bedöma och prioritera de risker

som är relevanta för er. Det kan handla om att ni

måste eliminera, begränsa eller acceptera risker,

vilket baseras på en objektiv och subjektiv be-

dömningsgrund.

Vi har utvecklat grundmodeller för att göra riska-

nalyser som används kontinuerligt. När vi anpas-

sar dessa för er, beaktar vi vilken omfattning som

ert arbete med riskhantering skall omfatta och hur

detta skall fungera i praktiken.

Gassås Gruppen

Kärleksgatan 2 A · SE 211 45 MALMÖ · SWEDEN

Tel. +46 40 630 36 30 · www.gassas.se