Service
Cloud- & Application-Security
Sichern Sie die Cloud, auf der Sie laufen, und die Software, die Sie darauf ausliefern.
Cloud- und Application-Security decken die beiden Orte ab, an denen die meisten Vorfälle beginnen: eine Cloud-Umgebung, die so konfiguriert ist, dass sie Daten exponiert, und Anwendungscode oder -design, das einem Angreifer den Zutritt erlaubt. Wir prüfen beides von Hand, im Kontext dessen, wie Ihr System tatsächlich funktioniert.
Das geht über einen Scanner hinaus. Wir betrachten Identität und Zugriff, Netzwerkgrenzen, Datenspeicherung, Secrets-Handling und die Logik der Anwendung selbst und geben Ihnen dann Fixes, die zu Ihrem Stack passen.
Was wir abdecken
Identität und Zugriff
Wir untersuchen Rollen, Berechtigungen und Vertrauensbeziehungen auf überprivilegierte Konten und Pfade, über die ein Angreifer eskalieren könnte.
Netzwerkgrenzen
Wir prüfen, wie Ihre Umgebung segmentiert und exponiert ist, vom öffentlichen Ingress bis hinunter zum internen Service-zu-Service-Verkehr.
Datenspeicherung und Verschlüsselung
Wir prüfen, wo sensible Daten liegen, wie sie im Ruhezustand und bei der Übertragung verschlüsselt sind und wer sie erreichen kann.
Secrets und Zugangsdaten
Wir betrachten, wie Schlüssel, Tokens und Zugangsdaten gespeichert, rotiert und zwischen Services weitergegeben werden.
Anwendungslogik und -design
Wir verfolgen Authentifizierung, Autorisierung und Eingabeverarbeitung durch die Anwendung, um Fehler zu finden, die Scanner übersehen.
Build- und Deployment-Pipeline
Wir bewerten die Pipeline, die Ihren Code ausliefert, da sie Zugangsdaten verarbeitet und Änderungen direkt in die Produktion bringen kann.
Standards, nach denen wir arbeiten
Was enthalten ist
- Cloud-Konfigurationsreview über Identität, Netzwerk, Speicher und Logging
- Review von Anwendungsarchitektur und -design auf Sicherheitsfehler
- Assessment von Secrets-Management und Zugriffskontrolle
- Prüfung Ihrer Build- und Deployment-Pipeline auf Sicherheitslücken
- Priorisierte, stack-spezifische Maßnahmenempfehlungen
- Anleitung zu sicheren Defaults, damit neue Services in einem sichereren Zustand starten
Was Sie mitnehmen
- Eine klare Sicht darauf, wie Ihre Cloud und Anwendung angegriffen werden könnten
- Fixes, die zu Ihrem Stack passen, statt generischer Ratschläge
- Sicherere Defaults, damit künftige Services dieselben Fehler nicht wiederholen
So läuft es
Verstehen
Wir lernen, wie Ihre Cloud und Anwendung gebaut sind und welche Daten sie halten, damit Befunde reale Exposition statt generischer Checklisten abbilden.
Prüfen
Wir bewerten Konfiguration und Architektur von Hand und betrachten Identität, Grenzen, Daten und die Logik der Anwendung selbst.
Priorisieren
Wir ordnen Befunde nach der Exposition, die sie schaffen, damit Sie zuerst beheben, was ein Angreifer als Erstes erreichen würde.
Anleiten
Wir geben Maßnahmenanleitung, die zu Ihrem Stack passt, und wo es hilft sichere Defaults, um neue Services sicherer zu halten.
Wie wir an die Prüfung herangehen
Black box
Von aussen hineinschauen
Wir arbeiten von der exponierten Oberfläche aus, ohne internen Zugriff, und sehen Ihre Cloud und Anwendung so, wie ein externer Angreifer sie zuerst sehen würde.
Grey box
Begrenzter Zugriff, geteilter Kontext
Sie geben uns eingeschränkte Zugangsdaten und Architekturdetails, sodass wir Zeit auf reale Exposition verwenden, statt neu zu entdecken, wie das System gebaut ist.
White box
Volle Sichtbarkeit
Wir prüfen Konfiguration, Quellcode und Pipeline-Zugriff direkt, was Designfehler findet, die kein noch so intensives Sondieren von aussen zutage fördern würde.
Review versus Scanner
Ein automatisierter Scanner und ein Review von Hand beantworten unterschiedliche Fragen, und in der Lücke dazwischen leben die meisten Sicherheitsvorfälle.
| Ein Review von Hand | Ein automatisierter Scan | |
|---|---|---|
| Kontext | Befunde bewertet daran, wie Ihr System tatsächlich funktioniert | Generische Regeln angewandt, ohne Ihr Setup zu kennen |
| Designfehler | Logik- und Architekturschwächen von Hand aufgedeckt | Übersehen, weil sie keiner bekannten Signatur entsprechen |
| Fehlalarme | Aussortiert, damit Sie an dem arbeiten, was real ist | Ihrem Team überlassen, es zu durchforsten |
| Massnahmen | Priorisiert und auf Ihren Stack zugeschnitten | Eine flache Liste von Warnungen ohne Rangfolge |
Was dies unterstützt
Ein Konfigurations- und Architektur-Review erzeugt Belege und Massnahmen, die direkt in die Kontroll-Frameworks einfliessen, über die Sie berichten.
- SOC 2
- Unterstützt die Trust Services Criteria zu logischem Zugriff, Change-Management und Systembetrieb mit Belegen dafür, wie Ihre Cloud und Anwendung abgesichert sind.
- ISO 27001
- Speist Annex-A-Kontrollen zu Zugriffskontrolle, Kryptografie, sicherer Entwicklung und Konfigurationsmanagement.
- PCI DSS
- Unterstützt Anforderungen an sichere Konfiguration, den Schutz gespeicherter Daten und den Aufbau sicherer Systeme und Software.
- NIST CSF
- Ordnet Befunde den Funktionen Identify und Protect zu, damit Sie zeigen können, wo Exposition liegt und wie sie reduziert wird.
FAQ
- Wie unterscheidet sich das von einem Penetrationstest?
- Ein Penetrationstest nutzt das laufende System aktiv aus. Dies ist ein Konfigurations- und Architektur-Review: Wir untersuchen, wie Cloud und Anwendung gebaut sind, um Fehler im Design zu finden, oft begleitend zu einem Test.
- Welche Cloud-Anbieter decken Sie ab?
- Die großen Anbieter und die gängigen darauf aufbauenden Services. Wir konzentrieren uns auf die Muster, die Exposition verursachen, und die plattformübergreifend gelten.
- Können Sie auch unsere Deployment-Pipeline prüfen?
- Ja. Build- und Deployment-Pipelines verarbeiten Secrets und Zugangsdaten und sind ein häufiger Schwachpunkt, daher nehmen wir sie in die Prüfung auf.
Verwandte Services
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit