Sicherheits-Assessments mit klaren Belegen und praxisnaher Anleitung zur Behebung für die Systeme, die Sie wirklich betreiben:
Engagements mit festem UmfangSchriftliche Autorisierung vor jedem TestNachtest der Fixes im Umfang enthalten
Was wir testen
Unsicher, was passt? Beschreiben Sie Ihre Situation und wir empfehlen einen Umfang.
Ergebnisse
01
Eine klar verständliche Darstellung dessen, was wir getestet und gefunden haben und was es fürs Geschäft bedeutet, lesbar ohne Security-Hintergrund.
02
Jeder Befund enthält die Schritte und Belege zur Reproduktion, damit Ihr Team das Problem verifizieren und den Fix bestätigen kann.
03
Fixes geordnet nach realem Risiko statt roher Scanner-Schwere, mit genug technischem Detail für eine Umsetzung ohne Rätselraten.
04
Nach der Behebung testen wir die betroffenen Befunde erneut und aktualisieren den Bericht auf den tatsächlichen Stand.
So arbeiten wir
Wir vereinbaren schriftlich, was im und außerhalb des Umfangs liegt, welche Testkonten und Umgebungen genutzt werden und wer bei Unerwartetem zu kontaktieren ist. Getestet wird erst nach schriftlicher Autorisierung.
Manuelles, methodisches Testen im vereinbarten Umfang. In geteilten Umgebungen arbeiten wir vorsichtig und melden Dringendes sofort, statt es für den Bericht aufzuheben.
Sie erhalten den Bericht und einen Walkthrough-Call. Jeder Befund wird nach Auswirkung und Fix erklärt, nicht nur mit einer CVSS-Zahl.
Nach der Behebung durch Ihr Team verifizieren wir die Fixes und liefern einen aktualisierten Bericht über das Behobene.
Mehr zu Autorisierung, Scoping und Kommunikation auf der Vorgehens-Seite.
Reporting
Ein nützlicher Bericht erklärt die geschäftlichen Auswirkungen, belegt das Problem und sagt Ihren Entwicklern genau, was zu ändern ist. Hier ein synthetisches Beispiel in unserem Format.
Beispielbefund (keine Kundendaten)
TR3-EX-001 · Schweregrad: Hoch · Synthetische Demonstration
Jeder angemeldete Nutzer kann Rechnungen anderer Kunden lesen, indem er eine Kennung in der URL ändert. Rechnungen enthalten Namen, Adressen und Kaufhistorie, also eine direkte Offenlegung personenbezogener Kundendaten.
Über den Datenschutzschaden hinaus betrifft diese Fehlerklasse meist mehr als einen Endpunkt. Wir testen verwandte Ressourcen und berichten jede betroffene Route, damit der Fix konsistent angewendet werden kann.
Wer wir sind
tr3labs ist das Security-Testing-Studio von VaultFifty1, einem Security-First-Engineering-Partner. Die Assessments führen die Engineers selbst durch. Wer den Auftrag scoped, führt ihn auch aus und erläutert Ihnen die Ergebnisse.
Mehr über uns und VaultFifty1 →Wir sind auch Entwickler. Bei VaultFifty1 bauen und betreiben wir Produktionssoftware, daher kommen unsere Befunde als Änderungen, die Ihr Entwicklungsteam direkt umsetzen kann, und wir unterstützen bei den Fixes, wenn das hilft.
Wir veröffentlichen echte technische Research, sobald sie entsteht, und schmücken diese Seite nicht mit erfundenen Statistiken, Zertifikaten oder Kundenlogos.
Sagen Sie uns, was getestet werden soll und ungefähr wann. Wir antworten aus einem überwachten Postfach, um Umfang, Autorisierung und Timing zu klären, bevor irgendein Test beginnt.