ENDEUA

Космическая надёжность в ИТ

Оцениваем, разрабатываем, внедряем, сертифицируем и поддерживаем безопасные системы. Преподаём безопасность. Добавьте в ваши проекты нашу глубокую компетенцию в ИТ и кибербезопасности.

О нас

Высшая степень индивидуального подхода и гибкости
Наш девиз – «профессиональный сервис на любой бюджет». Мы предоставляем даже бесплатные услуги Потребности каждого заказчика мы изучаем тщательно, чтобы подготовиться к проекту. В отличие от других компаний, наша предпроектная документация содержит исчерпывающий набор параметров проектов. Наш подход позволяет заказчику более точно понимать, за что он платит. У нас большой опыт и мы постоянно совершенствуем наши методологии. Это наше ноу-хау и наше отличие от конкурентов.
Международные сертификаты
Специалисты H-X получили и поддерживают в актуальном состоянии общепризнанные международные сертификаты (CISSP, OSCP, CISA, ISO 27001, CEH, CLPTP, ISA/CFS и т. д.). Эти сертификаты невозможно получить без подтверждения многолетнего опыта и сдачи изнурительных экзаменов. Сертификаты доказывают высокий профессионализм и не позволяют незаконное или неэтичное поведение, иначе они немедленно отзываются.
Абсолютная законность и надёжность
Мы ценим свою многолетнюю репутацию, поэтому строго придерживаемся законов, норм, и корпоративного кодекса этики. Наше юридическое обеспечение учитывает не только права и интересы наших клиентов и партнёров, но также законные права и интересы третьих сторон. Наши специалисты лично подписывают ваши формы обязательств, как если бы они были вашими сотрудниками. Такая надёжностиь обычно недостижима с мелкими компаниями, и тем более, с платформами фриланса или баг баунти.
Опыт ИТ и информационной безопасности
С 2001 г. мы накопили богатый опыт в ИТ, особенно в оценке и управлении информационной безопасностью в разных отраслях (промышленность, медицина и фармацевтика, телеком, розничная торговля, финансовый сектор, SaaS, аутсорсинг ИТ и т. д.) и в разных странах. Почитайте о наших бизнес-кейсах.
Высочайшее качество
H-X использует современные всесторонние методологии и инструменты разработки, оценки и управления ИТ и безопасностью. Мы внимательны к мелочам. В каждом проекте мы разрабатываем предложения по постоянному совершенствованию и отслеживаем изменения в безопасности наших клиентов круглосуточно.




Наша история

Наша миссия






Наши ценности






Кодекс корпоративной этики






Социальная ответственность






Партнерская программа

Вне зависимости от того, чем вы занимаетесь, приглашаем вас стать нашим партнёром и предлагаем вам комиссионное вознаграждение (реферальные выплаты) за клиентов, направленных нам вами. Размер комиссионных мы согласовываем в договоре заранее или в каждом конкретном проекте. Таким образом, вы одновременно поддерживаете ваших друзей или заказчиков, а также зарабатываете. Станьте партнером H-X Technologies, чтобы обеспечить безопасность ваших клиентов и увеличить объем продаж.
Преимущества для партнеров
Проблемы безопасности, с которыми сталкиваются ваши клиенты





Наши сервисы

Аудит и тестирование безопасности
Оцените с нашей помощью безопасность ваших систем, сетей, облачных инфраструктур приложений, исходного кода, персонала и компании в целом. Пентесты, анализ уязвимостей, оценка рисков и рекомендации по их снижению. Расследования инцидентов.
Внедрение безопасности
Примените наш опыт для защиты ваших облаков, систем SCADA и ОТ, серверов и телекоммуникаций. Мы выполняем эффективный харденинг систем, защищаем от DoS/DDoS-атак и других инцидентов безопасности.
Безопасность приложений
Уделите внимание безопасному жизненному циклу разработки ПО, безопасности ваших приложений и сервисов, а также навыкам безопасности ваших разработчиков и тестировщиков. Мы сертифицируем приложения по стандарту безопасности ASVS.
Соответствие требованиям безопасности
Получите конкурентные преимущества и удовлетворите ожидания ваших клиентов с помощью наших услуг аудита, внедрения и сертификации систем безопасности в соответствии с ISO 27001, TISAX, SOC 2, PCI DSS, GDPR, КСЗИ и других норм.
Разработка приложений и DevOps
Воспользуйтесь нашими уникальными компетенциями разработки безопасного ПО, смарт-контрактов, виртуализации и DevOps. Мы автоматизируем и оптимизируем бизнес-процессы при одновременном обеспечении их безопасности.
Управляемая безопасность
Постоянно поддерживайте безопасность ваших систем и всей организации с помощью наших услуг SOC, управляемого соответствия требованиям, Virtual CISO, защиты веб-сайтов, управляемое обнаружения угроз и реагирования, а также разведки угроз.
Тренинги и обучение по безопасности
Узнайте о наших программах повышения осведомлённости персонала, обучения психологической безопасности, безопасному кодированию, тестированию на проникновение и промышленной информационной безопасности.

Аудит и тестирование безопасности

“40% компаний которые имели инциденты ИБ заявили, что инциденты безопасности привели к потере доверия клиентов.”

Профессионалы Н-Х проведут качественный аудит информационной безопасности вашей организации и ее отдельных компонентов. Аудит даст реальную оценку уровня организационной и технической безопасности ваших активов и ресурсов, будь то веб-сайт, сервис, приложение, смарт-контракт, система SCADA, локальная сеть, облако, персонал мониторинга, весь коллектив, либо даже вся организация с её людьми и инфраструктурой целиком.

Мы поможем вам оперативно выявить все имеющиеся уязвимости, несоответствия и недостатки до того, как ими воспользовались злоумышленники. По окончании аудита мы разработаем рекомендации по решению проблем безопасности, и даже детальные календарные планы внедрения изменений.

Если у вас произошёл инцидент, мы поможем правильно отреагировать на него и расследовать его. Оперативное блокирование инцидента позволяет снизить ущерб от него, а нахождение и устранение причин инцидента позволяет не допустить его повторение. Правильный сбор улик позволяет привлечь к ответственности злоумышленника.

Аудиты соответствия требованиям безопасности

Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.

Оценка реагирования на инциденты

Оцените готовность вашей компании к кибервойне с помощью учений Red Team. Как правило, «Красная команда» - это наши специалисты. Они будут осторожно атаковать ваши системы. Ваши специалисты будут защищать их.

Аудит смарт-контрактов

Оцените общую безопасность вашего смарт-контракта, чтобы сосредоточиться на его слабых сторонах и потенциальных уязвимостях. Мы построчно анализируем и проверяем спецификации смарт-контрактов и их исходный код.

Расследования инцидентов

Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.

Тестирование на проникновение

Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.

Аудит безопасности кода приложений

Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.

Аудит конфигураций и оценка облачной безопасности

Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.

Аудит SCADA и ОТ

Оцените защищенность критической инфраструктуры вашего производства. У нас международные сертификаты по промышленной информационной безопасности. Поможем вам с глубоким аудитом SCADA и ОТ, а также с промышленной автоматизацией.

Тестирование на проникновение

Тестирование на проникновение — это наиболее эффективная оценка информационной безопасности

— Вы выпускаете новую версию веб-сайта, мобильного или десктоп-приложения?

— Проводите миграцию сервера или публикацию сервиса?

— Вы уволили разработчика программного обеспечения или системного администратора?

— Готовитесь к аудиту, слиянию, поглощению, IPO, ICO?

— Вы давно проверяли, насколько безопасно работают ваши сотрудники?

— Не уверены, что ваши специалисты правильно и своевременно измеряют вашу безопасность?

— Вы никогда не проводили тестирование на проникновение (пентест)? —

Вы попали в нужное время в нужное место!

ПОЧЕМУ ИМЕННО ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ и что это такое?

Если кратко, потому что:

- вы получаете уверенность в завтрашнем дне;

- вам не нужно больше недоговаривать клиентам и уклоняться от аудиторов;вы пол

- учаете новый солидный статус — успешное прохождение пентеста;

- это поможет вам найти и устранить уязвимости в вашем продукте или сети до того, как это сделают киберпреступники;

- в извечной борьбе добра и зла вы одерживаете новую мощную победу над мировой кибер-преступностью.

Интересно? Тогда копнём глубже! Вот определение:

Тестирование на проникновение (испытание на проникновение, пентест, пен-тест) — это оценка безопасности ИТ-систем, персонала или организации в целом методами этического хакинга («white hat» hacking). Специалисты по безопасности имитируют поведение компьютерных преступников, чтобы оценить, возможен ли несанкционированный доступ, утечка конфиденциальной информации, прерывание сервиса, физическое проникновение или другие инциденты безопасности. Пентест — это не только автоматизированное сканирование уязвимостей, а в основном ручная работа. В зависимости от ваших предпочтений, пентест может включать воздействие на ваш персонал (социальную инженерию).

Пентест сайта, приложения, сети и организации даёт максимально достоверные, конкретные и эффективные рекомендации по повышению безопасности.

У нас обширный опыт, глубокая и уникальная компетенция в ИТ и корпоративной безопасности. На всех уровнях и во всех областях. Как в GRC, так и в технической безопасности. Как в Defensive Security, так и в Offensive Security.

Высшая квалификация, гибкость и надёжность — наши главные отличия:

- Опыт информационной безопасности.

- Международные сертификаты по безопасности.

- Абсолютная законность и конфиденциальность.

- Высшая степень индивидуального подхода и гибкости.

- Высочайшее качество.






Оценка реагирования на инциденты

Недостаточно сегодня просто выстроить стену из ИБ-решений. Даже самая модная и современная система защиты окажется бесполезной, если сотрудники компании не смогут выявить кибератаку. Решение есть — натренировать. Например, организовать неожиданную и скрытую атаку на собственную компанию.

Что такое Red Team, Blue Team, Purple Team и зачем это нужно вашей организации?

Основная задача Red Team – выполнить наиболее глубокий анализ систем безопасности вашей организации. Red Teaming даёт вам полную картину и понимание насколько ваш отдел безопасности готов к реальным угрозам. В отличии от теста на проникновение, данный сервис подразумевает глубокую оценку всех возможных векторов атак на разных уровнях, начиная от социальной инженерии и веб-приложения, заканчивая физическим доступом в вашу серверную.

Основная задача Blue Team — обеспечивать защиту инфраструктуры и активов организации: команду защитников не предупреждают о проведении атаки — это один из лучших способов проверить как реальные защитные системы, так и способность специалистов отдела безопасности вовремя выявлять и блокировать атаки, а впоследствии проводить расследование и анализ инцидентов. После завершения упражнения необходимо сравнить задействованные векторы атак с зафиксированными инцидентами для улучшения системы и контролей защиты инфраструктуры.

Что же тогда Purple Team? Это объединение умений Red и Blue Team. Обе команды работают сообща, чтобы обеспечить максимальный аудит. Красная команда предоставляет подробные отчеты всех выполненных операций, а синяя команда документирует все корректирующие действия, которые были предприняты для решения проблем, обнаруженных в ходе тестирования.

Проведение таких киберучений позволяют закрыть сразу несколько задач:

— тестирование готовности сотрудников отдела информационной безопасности к реальным угрозам, проверка их способности обнаружить потенциально атаку злоумышленников за привычными процессами; — проверка эффективности использования самого комплекса решений и контролей Информационной безопасности; — предоставление отчетов и рекомендации по улучшению процесса обеспечения ИБ после завершения упражнения.

Узнайте больше о этих сервисах связавшись с нами сегодня.

Аудиты соответствия требованиям безопасности

Соответствие вашей организации международным стандартам безопасности даёт существенные рыночные и конкурентные преимущества.

Это показывает зрелость вашего менеджмента, следование современным лучшим практикам, а также реальную заботу о конфиденциальности информации, устойчивости ИТ-систем, непрерывности бизнеса, ответственности, управляемости и других требованиях бизнеса, связанных с безопасностью.

Стандартный процесс поставки сервиса имплементации и поддержки стандарта ISO 27001, TISAX, и т.д.

1. Конфиденциальность. Мы подписываем Соглашение о неразглашении информации и обязуемся соблюдать конфиденциальность.

2. Объем сервиса и приоритезация. Этот этап мы выполняем для вас бесплатно.

3. Сделка. Мы отправляем вам подробное коммерческое предложение, включая план проекта высокого уровня. Подписываем Сервисный договор.

4. Первичный аудит, анализ недостатков и детальное планирование проекта. Мы опрашиваем ваших сотрудников, проверяем документы, оцениваем физическую безопасность и периметр и т.д.

5. Внедрение процессов безопасности и операций. Мы внедряем для вас Систему управления информационной безопасностью (СУИБ).

6. Процесс сертификации. Этот этап включает в себя выбор органа по сертификации, предварительный аудит, корректирующие действия и сертификационный аудит.

7. Постоянная поддержка СУИБ. СУИБ следует развивать, поддерживать и оптимизировать. Мы будем следить за тем чтоб ваша СУИБ была в актуальном состоянии.

При построении СУИБ мы активно используем стандарты безопасности и фреймворки, если это целесообразно в данной конкретной организации, или если это в явном виде требуется нашими заказчиками или их партнёрами:

- VDA ISA (Verband der Automobilindustrie Information Security Assessment), ENX TISAX® (Trusted Information Security Assessment Exchange), ISO/TS 16949, ASPICE (Automotive Software Performance Improvement and Capability dEtermination);

- ISO 27001/27002

- PCI DSS (Payment Card Industry Data Security Standard), SWIFT Customer Security Controls Framework (CSCF);

- HIPAA (Health Insurance Portability and Accountability Act), HITECH (Health Information Technology for Economic and Clinical Health), HITRUST (Health Information Trust Alliance);

- GDPR (General Data Privacy Regulation);

- SOC 2 (System and Organization Control);

- ISF SoGP (Information Security Forum Standard of Good Practice for Information Security);

- COBIT (Control Objectives for Information and Related Technologies);

- КСЗИ (комплексная система защиты информации) согласно НД ТЗИ (нормативные документы технической защиты информации) и т. д.






Аудит смарт-контрактов

Мы анализируем и проверяем спецификации проектов смарт-контрактов и исходный код, чтобы оценить их общую безопасность и сосредоточиться на слабых сторонах и потенциальных уязвимостях. Мы дополняем наши выводы решениями, которые уменьшают риски будущих атак или лазеек.

Узнайте больше о проблемах, которые мы решаем, о методах и инструментах, которые мы используем, и о результатах, которые мы предоставляем.

Проблемы смарт контрактов

- Несоответствие между спецификацией и реализацией

- Дефектный дизайн, логика и контроль доступа

- Переполнение при арифметических операциях (целочисленное переполнение)

- Атаки повторного входа, атаки внедрения кода и атаки типа «отказ в обслуживании»

- Превышение лимита использования байт-кода и газа

- Майнерские атаки на метки времени и порядок, зависимость порядка транзакций (TOD)

- Условия гонки, а также другие известные атаки и нарушения управления доступом

- Методы и инструменты

Наши аудиты смарт-контрактов соответствуют следующим требованиям:

- Целью аудита смарт-контрактов является тщательный анализ кода для выявления недостатков и уязвимостей.

- Аудит безопасности проводится с использованием сочетания ручных и автоматических инструментов и методов для выявления и моделирования эксплуатации уязвимостей в их целевой среде.

Аудит смарт-контракта включает в себя следующие этапы:

- Общий анализ кода и приложения.

- Проверка документации.

- Краткий обзор кода: быстрый анализ функциональности смарт-контракта, основных классов .sol и т. д.; анализ криптографии, сторонних модулей и структуры библиотек.

- Детальный анализ приложения, каждого его действия, всех запросов, полей ввода и вложенных модулей.

- Сканирование ошибок: сканирование приложения на соответствующих уровнях исходников и бинарников для выявления потенциальных нарушений рекомендаций по кодированию и практик безопасности.

- Проверка результатов сканирования: на этом этапе команда анализирует результаты сканирования, чтобы определить, какие из них являются ложными срабатываниями, а какие могут повлиять на безопасность приложения.

- Тесты проводятся командой специалистов с опытом работы в различных областях информационной безопасности с 2002 года, обладателями сертификатов CISSP, OSCP, CISA и CEH.

- В целом, обзор кода следует рекомендациям Solidity Style Guide и Ethereum Smart Contract Security Best Practices.

Инструменты, которые мы используем: Slither, securify, Mythril, Sūrya, Solgraph, Truffle, Geth, Ganache, Mist, Metamask, solhint, mythx и т. д.

Мы увлечены тем, что делаем, потому что верим, что делаем этот мир более безопасным и придаём уверенность людям.

Аудит безопасности кода приложений

Анализ исходного кода поможет вам устранить уязвимости ещё до того, как ваш проект увидит мир.

Наши специалисты используют как автоматические, так и ручные методы проверки. Это позволяет найти небезопасные или устаревшие функции, скрытые логические бомбы и ловушки, черные ходы, недокументированные функции, неоптимальные методы кодирования, 10 уязвимостей OWASP и т.д.

Получите исключительный уровень безопасности с помощью нашего автоматического и ручного анализа исходного кода ваших приложений, сервисов и программных компонентов!

Вы никогда не достигнете такого уровня гарантии с помощью тестирования на проникновение, исключительно автоматической проверки кода или любых других мер безопасности. Эта услуга может быть предоставлена в виде отдельного проекта, в сочетании с тестированием на проникновение в режиме белого ящика, либо как часть сервисов Безопасности приложений или Оценки безопасности.

Цель этого анализа — оценка безопасности исходного кода ваших систем или приложений: проверка целостности и непротиворечивости вашего кода, принципов безопасного кодирования, поиск небезопасных или устаревших функций, скрытых логических бомб и ловушек, черных ходов, недокументированных функций, неоптимальных методов кодирования и 10 уязвимостей OWASP:

- A1: 2017 – Инъекции

- A2: 2017 — Нарушения аутентификации

- A3: 2017 — Раскрытие конфиденциальных данных

- A4: 2017 — Внешние экземпляры XML (XML External Entities, XXE)

- A5: 2017 — Нарушения управления доступом

- A6: 2017 — Ошибки конфигурирования безопасности

- A7: 2017 — Межсайтовый скриптинг (Cross-Site Scripting, XSS)

- A8: 2017 — Небезопасная десериализация

- A9: 2017 — Использование компонентов с известными уязвимостями

- A10: 2017 — Недостаточное журналирование и отслеживание событий

Для достижения целей аудиторы используют два метода:

1. SAST (Static Application Security Testing, статическое тестирование безопасности приложений), которое позволяет анализировать исходный код на наличие известных уязвимостей с помощью автоматизированных инструментов.

2. Ручная проверка и анализ исходного кода для того, чтобы выявить небезопасные и неоптимальные методы кодирования, скрытые логические бомбы и ловушки, бэкдоры и недокументированные функции.

Мы поддерживаем следующие языки:

- .Net/ASP.Net

- Java EE (JBoss, Tomcat и т. д.)

- Java/Kotlin Android

- Objective-C/Swift iOS/MacOS

- PHP

- Javascript

- Python

- C/C++/Assembler

- Solidity

- Golang

- Lua

Аудит конфигураций и оценка облачной безопасности

Цель аудита конфигураций состоит в том, чтобы убедиться, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности.

В ходе аудита мы анализируем AWS аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты безопасности и многое другое. Мы используем такие авторитетные материалы как CIS AWS Foundations, политики безопасности, основанные на HIPAA, the FedRAMP и т.д.

План аудита AWS

- Идентификация активов в AWS.

- Анализ аккаунтов AWS. Аудит корпоративного управления. Понять, какие сервисы и ресурсы AWS используются, и убедиться, что программа безопасности или управления рисками Заказчика учитывает использование общедоступных облачных сред.

- Аудит управления конфигурацией сети. Проверка отсутствия или неправильной настройки безопасности средств контроля, связанных с внешним доступом и сетевой безопасностью, которые могут привести к нарушению безопасности.

- Аудит конфигурации и управления активами. Проверка управления уязвимостями в операционной системе и приложениях Заказчика для защиты безопасности, стабильности и целостности активов.

- Аудит логического контроля доступа. Основное внимание уделяется определению того, как пользователи и разрешения настроены для сервисов в AWS, чтобы гарантировать, что Заказчик безопасно управляет учетными данными, связанными со всеми учетными записями AWS.

- Аудит шифрования данных. Понять, где находятся данные, и проверить методы, используемые для защиты данных в состоянии покоя и при передаче.

- Журнал безопасности и аудит мониторинга. Проверка того, ведется ли журнал аудита в гостевой ОС и критических приложениях, установленных на инстансах Amazon EC2, и соответствует ли реализация вашим политикам и процедурам, особенно в том, что касается хранения, защиты и анализа журналов.

- Аудит реагирования на инциденты безопасности. Оценка наличия и операционной эффективности средств управления инцидентами для систем в среде AWS.

- Аудит аварийного восстановления. Оценка наличия и операционной эффективности средств управления инцидентами для систем в среде AWS.

Расследования инцидентов

Расследования инцидентов поможет вам узнать вам кто, как и зачем проник в вашу систему.

Мы выполняем подробное исследование, которое включает в себя анализ компьютеров, жёстких дисков, мобильных устройств и цифровых носителей данных. Мы знаем, как расследовать сложные случаи и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.

За последние несколько лет мы стали свидетелями увеличения количества компьютерных преступлений. Преступники узнают больше о возможностях цифровых расследований, следовательно, используют более изощрённые методы для совершения своих преступлений, не оставляя обычных улик. Для идентификации, реагирования, анализа и отчётности о компьютерных инцидентах, методы компьютерной криминалистики и цифровых расследований постоянно развиваются.

- Наши навыки включают, но не ограничиваются следующими:

- Сбор данных, доказательств и улик.

- Реагирование на инциденты в реальном времени и сбор волатильных улик.

- Продвинутые сбор криминалистических улик и создание образов носителей информации.

- Таймлайн-анализ файловых систем.

- Продвинутый анализ файлов и реестра, включая незадействованные мета-данные и типы содержимого файлов.

- Исследование вредоносного программного обеспечения на хосте.

- Восстановление файлов.

- Создание цифровых отпечатков приложений и программная криминалистика.

- Сохранение данных.

- Анализ системных носителей и артефактов.

- Криминалистика баз данных.

- Мобильная криминалистика.

Наши возможности и обязанности

В ходе реагирования на инциденты компьютерной безопасности и в ходе расследований мы выполняем следующие действия:

- Технический анализ большого количества структурированных и неструктурированных данных, включая данные и оповещения об активности пользователей, для выявления аномалий.

- Распознавание скрытых шаблонов и атрибутов с целью выработки следственных выводов, определения индикаторов компрометации и выявления событий ущерба.

- Проведение строго конфиденциальных и сложных расследований угроз в отношении неправильного использования технологий, инцидентов потерь данных и краж интеллектуальной собственности, конфликта интересов, проблем коммерческой разведки и контрразведки, а также нарушений политики безопасности.

- Анализ данных для поддержки запросов безопасности и усилий по предотвращению потерь, а также объединение результатов анализа в различные готовые интеллектуальные продукты для поддержки принятия решений заинтересованными сторонами, а также для оказания помощи в создании стратегий обнаружения и смягчения последствий инцидентов.

- Предоставление своевременных уведомлений о неизбежных или враждебных намерениях или действиях, которые могут повлиять на цели, ресурсы или возможности организации.

- Создание новых инструментов, тактик и процедур (TTP) для выявления инсайдеров, включая упреждающую идентификацию новых методологий сбора, а также информирование о возникающих угрозах для поддержки постоянного улучшения клиентской программы управления угрозами.

- Построение моделей угроз для количественной оценки рисков безопасности, причиной которых являются враждебные и вредоносные субъекты и кампании.

- Выполнение оценки рисков, проведение коммуникационных кампаний, последующих мероприятий и любых специальных аналитических проектов в соответствии с целями заказчика.

- Сбор и сохранение доказательств, допустимых в суде.

Аудит SCADA и ОТ

Аудит SCADA и ОТ поможет оценить защищенность критически важных элементов инфраструктуры вашего производства.

Мы предоставляем услуги аудита, внедрения и обучения безопасности промышленных ИТ/ОТ в партнёрстве с AT Engineering (ATE). Это команда инженеров по программному обеспечению, электротехнике и промышленным процессам, которая специализируется в области промышленной автоматизации. Опыт промышленной автоматизации и разработки программного обеспечения сотрудников ATE начинается с 1995 года и включает более чем 150 завершённых проектов. С 2005 года командой было реализовано более 100 проектов со средней нагрузкой в 500 человеко-часов каждый.

Ниже перечислены уровни и активы промышленных систем, которые мы анализируем в ходе аудитов. Структура уровней и активов соответствует ISA/IEC 62443, что незначительно отличается от модели Purdue. Эти классификации используются при проектировании и внедрении систем информационной безопасности промышленных IT/OT, а также при оценке текущего уровня безопасности.

Уровень 0 — Физические процессы

- датчики

- актуаторы

- электро¬двигатели

- сетевые устройства

- другие активы физического уровня

Уровень 1 — Базовое управление

- устройства плавного пуска (софт¬стартеры)

- приводы VFD (частотники)

- ПИД-регуляторы

- ПЛК и удаленные терминалы

- другие активы базового управления

Уровень 2 — Диспетчерский контроль

- сенсорные панели ЧМИ

- ПК ЧМИ и SCADA-компьютеры

- инженерные рабочие места

- другие активы диспетчер¬ского контроля

Уровень 3 — Операции на объекте

- серверы баз данных

- файловые серверы

- серверы приложений (веб, отчётов и т. д.)

- контроллеры доменов

- серверы ЧМИ

- прокси-серверы промышлен¬ной DMZ

- серверы репликации БД промышлен¬ной DMZ

- контроллеры доменов БД промышлен¬ной DMZ

- удалённые шлюзы промышлен¬ной DMZ

- управление заплатками промышлен¬ной DMZ

- другие активы операций на объекте

Уровень 4 — Корпоративные системы (бизнес-планирование и логистика)

- серверы баз данных

- серверы приложений

- файловые серверы

- клиенты электронной почты

- настольные компьютеры диспетчеров

- другие активы бизнеса и логистики

- другие активы сети предприятия






Внедрение безопасности

Кибератаке может подвергнуться любой ваш актив, вне зависимости от его размера и роли в ваших бизнес-процессах. В результате атаки актив либо выбывает из работы, либо компрометируются конфиденциальные данные. Это выливается в финансовые и репутационные потери.

Наши сервисы по внедрению и оптимизации информационной безопасности помогут защитить ваши активы, снизить риски простоя бизнеса и штрафов, а также сохранить доверие ваших клиентов и партнёров.

Внедрение облачной безопасности
Дополните облачные сервисы безопасности детальным аудитом этих сервисов в режиме “белый ящик”, анализом рисков, харденингом серверов, а также комплексом мер по обеспечению соответствия CIS, ISO 27001, GDPR, HIPAA, и других требований.
Харденинг серверов
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Безопасность промышленных ИТ/ОТ
Обеспечьте безопасность ваших систем SCADA и ОТ путём внедрения рекомендаций аудитов безопасности. Мы проектируем, разрабатываем, интегрируем и внедряем средства управления безопасностью, а также поддерживаем их и обучаем ваш персонал.
Защита от DoS/DDoS
Предотвратите простой бизнеса, репутационные потери и финансовые убытки с помощью нашего комплексного подхода к защите от DoS/DDoS на базовом уровне и на уровне приложений, а также эффективного “боевого” тестирования на всех уровнях.
Защита телекоммуникаций
Оцените безопасность ваших телекоммуникаций с помощью аудита VoIP. Защитите ваши телеком-сервисы от атак TDoS, с помощью фильтрации звонков и IVR, а также путём внедрения отказоустойчивой телеком-платформы.

Харденинг серверов

Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атаки! При использовании любой сложной системы неизбежно остается незадействованный или неправильно настроенный функционал, который может стать брешью в защите вашей виртуальной крепости. Удаление и правильная настройка этого функционала позволит закрыть скрытые ходы до того, как ими воспользуется противник.

Укрепление систем и сетей, также называемое харденинг (от англ. hardening — закалка, упрочнение), часто стает одним из первых шагов на пути к улучшению кибербезопасности организации, и в основном состоит в отключении части функций, ограничении их возможностей, модернизации и совершенствовании компонентов и т.д. Это значительно ограничивает возможности злоумышленников, так как уменьшает поверхность атаки, то есть, количество потенциально уязвимых мест).

Зачастую администраторы серверов имеют “замыленный взгляд” на свои системы. Поэтому ключевую роль в укреплении систем играет “взгляд со стороны”, который проще всего получить, воспользовавшись нашей помощью.

Лучшие практики. Как MSP, мы обладаем большим опытом и постоянно изучаем новое, поэтому наши рекомендации отвечают современным условиям. Мы руководствуемся CIS Benchmarks, NIST 800-53 и другими стандартами. Широкий охват. Наш опыт и квалификация позволяют нам успешно защищать практически любые системы и технологии, от Windows NT/95 до самых современных облачных решений, технологий DevOps и CI/CD. С заботой о стабильности. Мы заранее определяем, какие последствия влечет каждая рекомендация, чтобы обеспечить непрерывность ваших бизнес-процессов. Мы помогаем с тестированием и безопасным внедрением изменений. Независимая оценка. Отсутствие конфликта интересов позволяет нам прямо говорить о найденных проблемах и искать пути их решения. Такая эффективность и полнота охвата часто недостижима при выполнении харденинга своими силами заказчика, поскольку его системные администраторы завалены рутиной, которую считают более важной.

Использование наших услуг позволит вам объективно взглянуть на ваш ИТ-ландшафт и определить изменения, которые будут иметь долговременный эффект, снижая работу по мониторингу событий безопасности, реагированию на инциденты и устранение последствий атак.

Защита от DoS/DDoS

Что такое DoS и DDoS атаки. И зачем нужна настройка эффективной защиты от DDoS атак на сервер

DoS-атака («отказ в обслуживании») — это нарушение требования доступности системы, что приводит к простою бизнеса, репутационным потерям и финансовым убыткам.

Распределенная атака типа «отказ в обслуживании» (DDoS) — это злонамеренная попытка нарушить нормальный трафик целевого сервера, службы или сети, путем перегрузки цели или окружающей ее инфраструктуры потоком интернет-трафика.

DDoS-атаки достигают эффективности за счет использования нескольких скомпрометированных компьютерных систем как источников атакующего трафика. Используемые машины могут включать компьютеры и другие сетевые ресурсы, такие как устройства IoT.

Чаще всего DDoS-атака похожа на неожиданную пробку, забивающую

автомагистраль, не позволяя обычным транспортным средствам прибывать в пункт назначения.

В общих чертах DoS- и DDoS-атаки можно разделить на три категории:

Объемные атаки

Включает UDP-флуд, ICMP-флуд и другие потоки поддельных пакетов.

Цель атаки состоит в том, чтобы заполнить полосу пропускания атакуемого сайта, а величина измеряется в битах в секунду (бит/с).

Атака на уровне протоколов

Включает SYN-флуд, атаки фрагментированных пакетов, Ping of Death, Smurf DDoS и

другие. Этот тип атаки потребляет фактические ресурсы сервера или ресурсы

промежуточного коммуникационного оборудования, такого как межсетевые экраны и балансировщики нагрузки, и измеряется в пакетах в секунду (Pps).

Атаки на уровне приложений

Включает малые и медленные атаки, наводнения GET/POST, атаки, нацеленные на веб-сервер, уязвимости Windows или OpenBSD и многое другое. Состоит из, казалось бы,

легитимных и невинных запросов, цель этих атак — сбой веб-сервера, а величина измеряется в запросах в секунду (Rps).

Таким образом, защита от DoS/DDoS поможет сохранить доступность ваших систем, а также минимизировать последствия подобных атак.

Мы предлагаем комплексный подход на каждом уровне защиты от DoS/DDoS:

1) Базовый уровень — установка и отладка Cloudflare, чтобы спрятать реальные IP адреса для Интернета.

2) Application level — анализ проблемных запросов. Мы проверяем исходный код приложения и результаты профилирования приложения, находим узкие места которые, например, не масштабируются автоматически средствами Kubernetes кластера.

3) Проводим тестирование. Команда наших специалистов проводит симуляцию атаки, чтобы протестировать решение и убедиться что ваше приложение готово к настоящей DoS/DDoS атаке.

Внедрение облачной безопасности

Внедрение безопасности облачных систем и сервисов силами H-X Technologies эффективно дополняет механизмы безопасности поставщиков облачных ресурсов за счёт применения современных нормативных стандартов, политик, технологий и инструментов.

Мы поможем вам обеспечить соответствие ваших облачных ресурсов и хранилищ корпоративным требованиям и правилам защиты данных, а также требованиям таких международных норм, как GDPR, HIPAA, ISO и других.

Профессионалы Н-Х:

- Проведут аудит вашего облачного решения и проанализируют найденные недостатки

- Выполнят анализ рисков безопасности

- Подготовят список рекомендаций и план их внедрения

- Реализуют внедрение облачной безопасности

- Проверят её эффективность

Наши сервисы включают:

- Cloud security assessment

- Audit of AWS, Azure or Google Cloud infrastructure

- Cloud security hardening

- Cloud migration and optimization

Защита телекоммуникаций

Наш опыт защиты телекоммуникаций

- Более 80 проектов по оценке безопасности и тестированию на проникновение IP-сетей.Постоянная работа в подразделении информационной безопасности одного из ведущих телеком-операторов Украины.

- Тестирование разного рода мобильных клиентов VoIP.

- Тестирование корпоративных IP-АТС.

- Тесты на проникновение операторов IMS, в том числе, 4G, с сигнализацией через SIM over IPv6 и с традиционной сигнализацией GSM / SS7.

- Постоянное сотрудничество с киберполицией Украины, ГосСпецСвязью и другими государственными органами.

- Сервисы защиты телекоммуникаций.

Сервисы защиты телекоммуникаций от атак TDoS

Анализ и тестирование безопасности телекоммуникаций

- Тест IP-интерфейса АТС в режиме «серый ящик». Моделирование разнообразных атак на VoIP.

- Анализ конфигурации в режиме «белый ящик». Отчёт включает рекомендации по устранению уязвимостей безопасности и недостатков конфигураций.

Внедрение фильтрации звонков и голосового меню

Разработка и внедрение системы распознавания подозрительных входящих звонков на основе машинного обучения (Machine Learning). Построение интерактивного голосового меню (IVR), на которое будут автоматически перенаправляться подозрительные звонки.

Внедрение отказоустойчивой телеком-платформы

Разработка отказоустойчивой платформы с задействованием нескольких транков к разным операторам. Консультации по договоренностям с операторами, чтобы они со своей стороны могли дополнительно фильтровать звонки и ставить их в блоклист.

Безопасность промышленных ИТ/ОТ

Рекомендации оценок, проверок и аудитов безопасности SCADA и других промышленных систем реализуются нами в рамках отдельных проектов. Мы выполняем бесшовный рефакторинг систем, разрабатываем и внедряем физические и логические средства управления безопасностью в производственную среду.

Сервисы безопасности промышленных ИТ и ОТ

Аудит безопасности промышленной ИТ/ОТ инфраструктуры и SCADA

Выявляем угрозы и уязвимости безопасности ИТ и ОТ. Оцениваем физическую и логическую безопасность, контроль доступа, пароли, исходные коды, шифрование, видеонаблюдение, системы защиты от вторжений и т. д. Ручной анализ систем SCADA. Разрабатываем рекомендации по повышению безопасности.

Внедрение и повышение безопасности промышленных ИТ/ОТ-систем

Рекомендации оценок, проверок и аудитов безопасности реализуются в рамках отдельных проектов. Мы выполняем бесшовный рефакторинг систем, разрабатываем и внедряем физические и логические средства управления безопасностью в производственную среду. Полная отчётность по внедрению.

Управление аварийным восстановлением и непрерывностью бизнеса

Мы внедряем комплексные программы обеспечения непрерывности, включая систему методов обеспечения качества, меры резервирования и восстановления, обучения, тестирования, расширенного управления изменениями, мониторинга инцидентов и реагирования на инциденты.

Стандарты, фреймворки и методологии:

- ISO/IEC 27001, VDA ISA, ENX TISAX®

- ISA99, ISA/IEC 62443

- North American Electric Reliability Corporation (NERC) Reliability and Security Guidelines

- NIST SP 800-82 Guide to Industrial Control Systems (ICS) Security, NIST Framework for Improving Critical Infrastructure Cybersecurity

- DHS guidelines for critical infrastructure protection and the Critical Infrastructure Protection framework

Вендоры и специальные инструменты:

- с ПЛК Siemens мы работаем с помощью Step7 и TIA Portal,

- с оборудованием Schneider Electric — с помощью Concept, UnityPro и SoMachine,

- с Mitsubishi — с помощью GX Works,

- с Omron — с помощью CXOne,

- с Carel — с помощью 1tool,

- с Wago — с помощью CoDeSys.






Безопасность приложений

Киберпреступники хорошо организованы, обладают достаточно высокой специализацией и мотивацией, а также вооружены необходимыми инструментами, чтобы обнаруживать и использовать уязвимости в любых приложениях и взламывать их. Задача профессионалов Н-Х — помочь вам наладить процесс безопасного жизненного цикла разработки программного обеспечения, проверить безопасность ваших приложений, сертифицировать их и научить ваших разработчиков безопасному кодированию.

Если вы разрабатываете программное обеспечение, для себя или на продажу, то вам необходима безопасность приложений (безопасная разработка ПО), чтобы уберечься от финансовых и репутационных рисков, связанных с компрометацией ваших приложений.

Безопасность нужна приложениям, начиная от простого серверного скрипта, и заканчивая высоконагруженным распределёнными облачными системами, которые вы строите и поддерживаете с помощью современных технологий CI/CD и DevOps,.

Безопасность приложений — это комплекс мер, включающий методы, процессы, и инструменты защиты приложений от рисков и угроз на протяжении всего жизненного цикла от анализа требований и планирования до релиза и поддержки.

Наши услуги безопасности приложений включают: Управление безопасным жизненным циклом разработки программного обеспечения (Secure Software Development Lifecycle, SDLC) для вашей компании, Управление безопасностью продуктов и сервисов для конкретных ваших программных продуктов и решений, Обучение безопасной разработке ПО на самых распространенных языках программирования и платформах, а также тесты для проверки безопасности приложений (ASVS assurance). Эффективно сочетайте эти части или просто начните с анализа безопасности ваших исходных кодов!

Безопасный цикл разработки SDLC
Создайте с нашей помощью индивидуальную структурированную методологию разработки систем для любых типов бизнес-приложений и инфраструктуры. Включите жизненный цикл разработки ПО в вашу систему обеспечения качества.
Сертификация по стандарту ASVS
Получите высокий статус безопасности вашей системы или сервиса, заказав у нас аудит, включающий глубокую проверку безопасности в режиме “белый ящик”, и сертификацию по стандарту верификации безопасности приложений OWASP ASVS.
Безопасность продуктов и сервисов
Получите полный анализ рисков, определите требования и меры безопасности, чтобы внедрить их для всех этапов жизненного цикла ваших продуктов. Познакомьтесь с нашими сервисами DevSecOps и Express SOC для SaaS.
Обучение безопасной разработке ПО
Повысьте вашу ценность за счёт получения современных системных знаний по безопасности приложений. Мы проводим воркшопы, лекции, семинары, тесты и консультации для менеджеров, архитекторов, разработчиков и тестировщиков.

Безопасный цикл разработки SDLC

Мы помогаем вам создать структурированную методологию разработки систем. Это относится ко всем типам бизнес-приложений и соответствующей технической инфраструктуры. Эта методология поддерживается специализированными отдельными средами разработки и включает процесс обеспечения качества:

- Методология разработки систем. Деятельность по разработке должна проводиться в соответствии с документированной методологией разработки систем, чтобы гарантировать, что системы (в том числе разрабатываемые) отвечают требованиям бизнеса и информационной безопасности.

- Среды разработки систем. Разработка систем должна выполняться в специализированных средах разработки, которые изолированы от рабочей среды и среды тестирования, и защищены от несанкционированного доступа, чтобы обеспечить безопасность процесса разработки и избежать каких-либо нарушений бизнеса.

- Обеспечение качества. На каждом этапе жизненного цикла разработки систем должно обеспечиваться качество ключевых действий по безопасности, чтобы гарантировать, что требования безопасности определены правильно, средства управления безопасностью разработаны, и требования безопасности выполнены.

Мы помогаем вам разрабатывать бизнес-приложения в соответствии с утверждённым жизненным циклом разработки систем. Он включает применение передовых отраслевых практик, таких как ISO, NIST, ISF SoGP, OWASP (ASVS, SAMM и т. д.), CIS, методологий поставщиков (Microsoft, Apple, Oracle и т. д.) и прочих, а также обеспечение информационной безопасности на каждом этапе жизненного цикла систем:

Спецификация требований > Проектирование системы > Приобретение ПО > Сборка системы > Тестирование системы > Тестирование безопасности > Продвижение системы > Процесс установки > Обзор после внедрения > Вывод системы из эксплуатации

Безопасность продуктов и сервисов

При предоставлении этой услуги мы проводим собеседования, консультации и анализ для получения следующих результатов: Выявление и уточнение требований безопасности;

- Моделирование угроз и анализ рисков;

- Разработка архитектуры безопасности ИТ-системы или решения;

- Внедрение безопасного кодирования, статического и динамического тестирования безопасности приложений;

- Проверка безопасности исходного кода автоматически и вручную;

- Определение мер безопасности и разработка систем безопасности для всех этапов жизненного цикла программного обеспечения;

- Проверка безопасности сборки, передачи, развёртывания, использования и вывода эксплуатации системы.

На каждом этапе создаётся собственный набор результатов (документы и другие артефакты).

Услуги безопасности DevOps

Если вы особенно обеспокоены качеством и безопасностью релизов и операций вашего программного обеспечения на этапе эксплуатации, вам следует использовать наши сервисы безопасности DevOps (также называемые DevSecOps), которые обеспечивают гораздо более высокую безопасность, чем редкие тесты на проникновение, и которые можно заказать по ежемесячной подписке:

1. Шлюз качества и безопасности. Это упрощенный экспресс-сервис, особенно подходящий для нескольких продуктов. Проверки безопасности могут выполняться, например, для ежемесячных выпусков продукта. Чтобы оценить трудоёмкость этого сервиса, нам нужна информация о технологиях, которые вы используете, количество строк исходного кода и т. д.

2. Расширенный сервис Security DevOps (эксперты по кибербезопасности как члены вашей команды). Этот сервис предназначен для глубокого всестороннего тестирования безопасности и мониторинга ваших продуктов. Особенно, если они сталкиваются с изменениями часто, даже ежедневно. Чтобы оценить трудоёмкость этого сервиса, нам нужна информация о технологиях, которые вы используете, количество строк исходного кода, количество еженедельных или ежемесячных изменений и т. д.

3. Экспресс Центр Безопасности (Security Operations Center, SOC). Эта услуга включает в себя реализацию и/или сопровождение процессов и средств управления по отслеживанию событий информационной безопасности и реагирования на инциденты. Мы интегрируем сканеры уязвимостей безопасности и исходного кода в вашу инфраструктуру, настраиваем круглосуточное сканирование и процедуры реагирования на инциденты безопасности. По запросу мы настраиваем систему защиты информации и управления событиями (Security Information and Event Management, SIEM) для вашей среды. У нас есть положительный опыт относительно быстрого внедрения и эффективных результатов от индивидуальных решений, основанных на Syslog-ng, Graylog, Wazuh, OSSEC, ElasticSearch, Logstash и Kibana. Чтобы оценить трудоёмкость этого сервиса, нам нужны подробности по инфраструктуре вашего решения, сервисов, API и службы поддержки. См. также наши сервисы защиты веб-сайтов.

Чтобы гарантировать наилучшие результаты, H-X строго придерживается международных стандартов, правил и передовых практик (например, ISO 27034, ISO 15408, NIST 800-64, ISF SoGP, OWASP, жизненный цикл разработки безопасности Microsoft, стандарты безопасности данных платежных приложений и другие).

Сертификация по стандарту ASVS

Н-Х выполнит аудит безопасности приложений Вашего решения в соответствии с требованиями стандарта проверки безопасности приложений OWASP ASVS. Основная цель оценки безопасности заключается в том, чтобы выполнить углубленную проверку безопасности и выявлять уязвимости безопасности на уровне приложения, которые могут поставить под угрозу клиентские системы и информация о клиентах:

Мы поможем Вам убедиться в:

- Правильности реализации элементов управления аутентификацией и авторизацией в приложении.

- Правильности бизнес-логики на уровне проектирования и реализации.

- Отсутствии уязвимостей безопасности на уровне приложений, которые потенциально могут поставить под угрозу системы и данные клиентов, которые обрабатываются и / или хранятся в приложении.

- Правильности методов обеспечения безопасности, используемых при настройке баз данных, серверов приложений и другие компоненты, модули, поддерживающие приложения, или интегрированные сторонние компоненты.

Этапы оценки безопасности приложения:

1. Анализ структуры приложения, интерфейсов, потока данных, чувствительных модулей, инфраструктуры и архитектурные аспекты, использование сторонних продуктов или интерфейсов, а также определение классов уязвимости.

2. Сбор информации из различных источников — человеческих и технологических. Это включает в себя общение как с техническими специалистами, так и с руководством.

3. Практическое тестирование продукта в различных сценариях учитывая ранее полученные знания о продукте и сценариев потоков данных.

4. Анализ собранных данных и результатов предыдущих оценок безопасности. Анализ включает в себя категоризацию обнаруженных уязвимостей и их приоритетность в соответствии с бизнесом и технический контекст приложения.

5. Окончательный и исчерпывающий отчет о деятельности по проверке безопасности, резюмирующий всю проверку. процесс, методология и подробные выводы.

Тренинги по безопасности приложений (OWASP)

Обучение безопасному SDLC в компаниях хорошо сочетается с другими сервисами безопасности приложений. Например, с тестированием на проникновение или анализом кода.

Мы проводим воркшопы, лекции, семинары, контроль знаний и консультации для:

- менеджеров и руководителей команд – как организовать безопасный процесс SDLC, процедуры и артефакты, как планировать активности по безопасности, управлять ими и отчитываться о них, а также как эффективно общаться в области безопасности;

- архитекторов и аналитиков – как получить требования безопасности из любых бизнес-требований и как правильно их сформулировать, как разработать архитектуру безопасности и безопасный дизайн на основе требований безопасности, а также как определить элементы управления безопасностью для программных решений;

- разработчиков – как интерпретировать и реализовывать требования безопасности, каковы лучшие рекомендации по безопасной разработке в целом, каковы безопасные практики для конкретных платформ и как избежать ошибок программирования, приводящих к уязвимостям безопасности;

- тестировщиков – как планировать и выполнять тестирование безопасности, включая определение и проверку основных проблем безопасности в приложениях, а также как обеспечить выполнение требований безопасности.

Скачайте примеры популярных учебных программ, которые мы преподаем:

- Управление ИТ и ИБ

- Secure Software Development Lifecycle for general audience

- Основы безопасной разработки ПО с использованием OWASP

- Secure Software Development Lifecycle for the PHP developers

- JavaScript and Frontend Web security

- Secure Agile Software Development for the JavaScript, ASP.NET and .NET/C# Technology Stack

- Secure software development training for Android and iOS technology stack

- Backend Security

- Python Security

- Java Security

- Лучшие практики безопасности для системных администраторов и DevOps

- Другие технологии безопасности веб-приложений

- Анализ вредоносного ПО

- Тестирование на проникновение Мы можем разработать индивидуальную программу для вас.






Cоответствие требованиям безопасности

Задача соответствия некоторому стандарту или нормам безопасности возникает по мере роста вашего бизнеса. Стандарты помогают не “изобретать велосипед”, а использовать колоссальный опыт, чтобы учиться не на своих ошибках, а на чужих.

Сертификация по безопасности — это как сдача теста в вузе или экзамена на водительское удостоверение. Вы можете построить соответствие тому или иному стандарту и без сертификации точно так же, как научиться какой-нибудь профессии или даже управлению самолётом. Но долго ли вы сможете без диплома или лицензии? Сертификация по безопасности — это пропуск в будущее для вашего бизнеса.

Программа управления соответствием информационной безопасности включает набор требований безопасности для защиты данных и управления безопасностью.
Оценить, какие нормативные правила и положения применяются к организации, бывает нелегко. Часто организациям необходимо соответствовать нескольким стандартам безопасности, многие из которых имеют повторяющиеся, пересекающиеся или частично похожие требования.

Наши специалисты помогут вам разработать, внедрить и сертифицировать систему управления информационной безопасностью согласно необходимым вам стандартам: ISO 27001, PCI DSS, VDA ISA, ENX TISAX®, ISO 16949, ASPICE, HIPAA, GDPR, SOC2, НД ТЗИ КСЗИ и другим.

Внедрение и сертификация ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Внедрение и сертификация TISAX
Выполните требования ваших партнёров в автопроме и получите новые возможности в автомобильной индустрии с помощью внедрения требований VDA ISA и сертификации ENX TISAX. Мы являемся лидерами в данной области.
Внедрение GDPR
Защитите себя от претензий со стороны субъектов персональных данных и высоких штрафов, воспользовавшись нашей услугой внедрения соответствия GDPR, так как этот документ предъявляет суровые требования к обработке персональных данных.
Внедрение и сертификация SOC 2
Повысьте конкурентоспособность ваших сервисов и удовлетворите требования ваших клиентов путём сертификации SOC 2. Это распространённый фреймворк соответствия, необходимый сервисным ИТ-компаниям.
Внедрение PCI DSS
Предотвратите финансовые инциденты и штрафы, внедрив и поддерживая с нашей помощью требования Стандарта безопасности данных индустрии платежных карт (PCI DSS), который давно стал эталоном безопасности.
Внедрение КСЗИ
Предлагаем профессиональные услуги по созданию комплексных систем защиты информации (КСЗИ) для информационно-телекоммуникационных систем, а также соответствующие консультации по информационной безопасности.

Внедрение и сертификация ISO 27001

Что такое ISO/IEC 27001:2013 и зачем он нужен Вашей организации?

Международный стандарт ISO/IEC 27001:2013 “Information technology — Security techniques — Information security management systems — Requirements” является наиболее распространенной и общепризнанной во всем мире структурной основой для построения современных Систем Управления Информационной Безопасностью (СУИБ) и их официальной сертификации. Этот стандарт является ключевым в семействе стандартов ISO 27000.

Стандарт де-юре и де-факто ISO 27001 – это самый распространённый в мире стандарт информационной безопасности (ИБ) сейчас и за всю историю. Он принят во множестве стран. На его основе строятся многие другие стандарты, поэтому вы сэкономите на их внедрении.

Реальная безопасность ISO 27001 – это залог построения реально работающей всеобъемлющей системы безопасности и объединения усилий ИТ-специалистов, службы безопасности, юристов, кадровиков и различных менеджеров.

Государственные стимулы Сертификация ISO 27001 часто является необходимым условием участия в государственных закупках и тендерах. В некоторых отраслях сертификации по безопасности требуются нормативно, и их отсутствие грозит штрафами.

Клиенты и инвестиции Наличие сертификата ISO 27001 позволит вам привлекать крупных иностранных и отечественных клиентов и инвесторов, которые будут видеть, что ваша безопасность управляется должным образом.

H-X Technologies предоставляет услугу внедрения международного стандарта ISO 27001 «под ключ». Наш подход к внедрению – мы начинаем с простых и понятных работ, давая вам первую ценность бесплатно, вводя вас в курс дела и позволяя вам чётко понять суть работ по внедрению и ваше участие в них:

1. Подготовка к внедрению. Подготовка опросника самооценки текущего состояния СУИБ. Разработка и документирование области охвата (бизнес-процессы, подразделения, офисы и т. д.). Детализация плана работ по первичному аудиту и гэп-анализу.

2. Предварительный аудит. Анализ текущего (исходного) состояния процессов и средств управления информационной безопасностью, бизнес-процессов, технологических процессов, анализ физической безопасности офиса, персонала, ИТ-инфраструктуры и т. д. Результатом этого этапа является отчёт по первичному аудиту и гэп-анализу, а также подробный календарный план внедрения СУИБ.

3. Внедрение. Этот этап включает в себя:

- организацию работы СУИБ, внедрение политики безопасности и управления рисками;

- организацию безопасности управления персоналом, физической безопасности и безопасности отношений с поставщиками;

- внедрение управления активами и доступом;

- организацию безопасности операций и коммуникаций;

- построение безопасного жизненного цикла систем;

- внедрение управления инцидентами безопасности;

- планирование непрерывности бизнеса и восстановления после аварий;

- управление соответствием нормам;

- измерение эффективности СУИБ.

4. Сертификация. Мы помогаем вам выбрать сертифицирующую организацию из набора солидных, проверенных организаций, например, аккредитованных UKAS. Мы проводим консультации с сертифицирующей организацией от вашего имени, сообщаем им о проделанной работе по внедрению и получаем их предварительное одобрение на проведение сертификации. Затем вы заключаете с ними напрямую договор о сертификации. Они проводят пред-аудит и находят несоответствия, которые бывают всегда. Таков уж характер работы настоящих профессиональных аудиторов. Далее, на протяжении нескольких дней мы с вами выполняем корректирующие действия. Наконец, проводится финальный сертификационный аудит, на котором мы официально представляем вас и защищаем перед аудиторами то, что мы с вами построили. После этого вы получаете сертификат ISO 27001.

Внедрение и сертификация SOC 2

SOC 2 – это распространённый фреймворк соответствия, необходимый сервисным ИТ-компаниям для того, чтобы в текущих рыночных условиях оставаться конкурентоспособными.

H-X Technologies представляет аудиторский отчет, специально разработанный для поставщиков технологических услуг, компаний SaaS и организаций, которые хранят данные в облаке.

Аудит SOC 2 измеряет эффективность ваших процессов и систем на основе Критериев доверительных сервисов (Trust Service Criteria). Отчёт SOC 2 основан на документе AICPA Attestation Standards, раздел 101, Attest Engagement.

Критерии доверительных сервисов :

Безопасность Информация и системы защищены от несанкционированного доступа, разглашения информации и повреждения систем.

Доступность Информация и системы доступны для операций и использования для достижения поставленных целей.

Целостность обработки Системная обработка является полной, достоверной, точной, своевременной и санкционированной для достижения целей.

Конфиденциальность Информация, обозначенная как конфиденциальная, защищена для достижения целей.

Приватность Личная информация собирается, используется, хранится, раскрывается и утилизируется для достижения целей.

Аудит SOC 2 проверяет соблюдение стандартов и правил информационной безопасности, включая стандарты Common Criteria.

Инфраструктура — Физическая, ИТ и другие аппаратные средства, включая мобильные устройства.

Программное обеспечение — Приложения и системное ПО, поддерживающее приложения, такое как как ОС и утилиты.

Люди — Весь персонал, участвующий в операциях организации.

Процессы — Все автоматизированные и ручные процедуры.

Данные — Используемые потоки передачи, файлы, базы данных, таблицы и выходные данные.

Мы поможем выбрать, какой тип отчета нужен именно Вам.

Типы отчетов SOC:

1. Отчет типа 1 содержит информацию о дизайне контрольных процедур и результат оценки системы внутреннего контроля по состоянию на дату проверки. Отчет этого типа является отправной точкой для дальнейшего построения соответствия SOC 2 Type 2.

2. Отчет типа 2 доказывает соответствие требованиям за определённый период времени. Организация должна демонстрировать соблюдение мер контроля и политик в течение этого периода, а это обычно требует определенной степени автоматизации и долгосрочных обязательств.

Внедрение и сертификация TISAX

Международный стандарт информационной безопасности VDA ISA был разработан Немецкой ассоциацией автомобильной промышленности VDA (Verband der Automobilindustrie) на основе стандартов ISO / IEC 27001 и 27002. Стандарт VDA ISA (оценка информационной безопасности) содержит строго структурированные критерии оценки информационной безопасности, KPI и дополнительные опциональные модули.

TISAX — это платформа ENX для VDA ISA, которая позволяет независимым поставщикам поделиться результатами своей сертификации и оценки со своими клиентами (обычно из автомобильной промышленности). Значок TISAX является официальной сертификацией на соответствие VDA ISA.

Для чего нужна сертификация VDA ISA и ENX TISAX?

De jure and de facto standards VDA ISA and ENX TISAX are commonly used information security (IS) standards in the automotive industry. They are based on the international standard ISO 27001, therefore compatible to some extent.

Real managed security VDA ISA and ENX TISAX are the key to building an effective comprehensive security system and bringing together the efforts of IT professionals, security officers, lawyers, HR managers and various other specialists.

Government incentives ENX TISAX certification is often mandatory for participation in government procurement and tenders. Some regulations require security certification and your company can be fined for non-compliance.

Clients and investments The ENX TISAX certificate will allow you to attract large foreign and local clients and investors and persuade them that your security is properly managed.

Этапы проведения сертификации:

1. Подготовка Определение области охвата имеет решающее значение для VDA ISA и ENX TISAX®. Ошибки на этом этапе приводят к лишним работам по внедрению и обслуживанию или к ошибочным результатам сертификации. Также мы определяем приоритеты задач, чтобы как можно быстрее получить максимальную безопасность. Мы выполняем этот этап для вас бесплатно. Когда вы понимаете, что вам интересно работать с нами, мы отправляем вам коммерческое предложение и подписываем договор.

2. Начальный аудит и планирование Этот этап обычно занимает 3-4 недели, в зависимости от области охвата. Мы проводим собеседования с вашими сотрудниками, проверяем документы, оцениваем физическую безопасность, периметр и т. д. Этот этап включает анализ текущего состояния процессов и средств управления информационной безопасностью, бизнес-процессов и технологических процессов, анализ физической безопасности помещений, персонала, ИТ-инфраструктуры и т. д. Результатом этого этапа является отчёт о первичном аудите и анализе недостатков, а также подробный план-график внедрения средств контроля VDA ISA.

3. Внедрение Этот этап обычно выполняется в течение 4–9 месяцев, в зависимости от области охвата, исходного состояния и результатов предыдущего этапа. Выполняется: построение и автоматизация СУИБ с использованием инструментов класса GRC, внедрение базовых процессов управления безопасностью (управление инцидентами, изменениями и т. д.), реализация необходимых базовых мер и контролей безопасности, внедрение основных элементов SDLC, обучение сотрудников политикам и правилам безопасности, разработка и расчёт KPI. В результате вы получаете не только набор точных и полных документов и записей, но также новую культуру безопасности вашей организации и высочайшую степень готовности к официальной сертификации.

4. Сертификация Процесс сертификации обычно длится 1-3 месяца, в зависимости от утверждённой области охвата. Этот этап включает выбор органа сертификации, предварительный аудит, корректирующие действия и сертификационный аудит. Мы защищаем вас на аудите, демонстрируем, что мы создали для вас, и помогаем аудитору. После этого аудитор анализирует результаты, собирает доказательства и составляет окончательный отчёт. Наконец, вы получаете сертификат ENX TISAX®, статус официального соответствия и можете с гордостью показывать ваш новый статус вашим клиентам через портал ENX.

Внедрение PCI DSS

В 2004 году стандарт безопасности данных индустрии платежных карт (PCI DSS) был создан совместными усилиями крупных компаний, выпускающих кредитные карты, American Express, Visa, MasterCard и Discover, при этом каждая из компаний, выпускающих кредитные карты, имела свои отдельные стандартные детали. 30 июня 2005 г. были стандартизированы и внедрены правила PCI DSS, которые с тех пор поддерживаются, обеспечивая эталон мер безопасности данных. Спецификация соответствия PCI описывает набор требований, которые компании-участники должны соблюдать, чтобы гарантировать принятие правильных мер для защиты всех данных, как внутренних, так и внешних.

Н-Х поможет вашей организации разработать и внедрить необходимые контроли безопасности и соответствовать требованиям стандарта.

План имплемпентации
1. Scope definintion and development of documentation

Внедрение GDPR

Что такое GDPR?

GDPR или General Data Protection Regulation – это Общий регламент защиты персональных данных и приватности для стран Европейского Союза (ЕС) и Европейского Экономического Сообщества (ЕЭС). Документ предполагает повышенный уровень требований по обработке персональных данных субъектов-физических лиц.

GDPR содержит передовые принципы и подходы по защите персональных данных и приватности, которые легли в основу соответствующего законодательства Японии, Южной Кореи, Китая, Бразилии, Аргентины, Чили, стран СНГ и т.д. Действующий в штате Калифорния, США, California Consumer Privacy Act (CCPA) также содержит много общего с GDPR.

Многие компании задаются 2 вопросами:

1. А зачем нам руководствоваться GDPR, если компания не находится на территории ЕС или ЕЭС?

Одной из особенностей GDPR является экстерриториальность его действия. Это означает, что его требования распространяются не только на компании, находящиеся на территории ЕС (ЕЭС), но и на любых других операторов, вне зависимости от их местонахождения, которые обрабатывают персональные данные физических лиц — субъектов ЕС (ЕЭС). Например, это относится к компаниям, предлагающим товары или услуги гражданам на территории ЕС, осуществляющим сбор данных и персонифицированный мониторинг поведения граждан ЕС, включая запись IP адресов и файлов cookie посетителей сайтов. Если вы работаете с юридическими лицами – резидентами ЕС и ваше взаимодействие подразумевает получение доступа к базам данных физических лиц Евросоюза, то вы и ваш европейский партнер тоже должны осуществлять обработку таких данных с соблюдением требований GDPR.

В связи с тем, что принципы GDPR признаны на международном уровне, а многие передовые страны руководствуются ими при разработке внутреннего законодательства, их внедрение в процессы поможет вашей компании стать более конкурентоспособной и на иных, не европейских рынках. Законодательство о персональных данных стран СНГ также в значительной степени ориентировано на положения GDPR.

2. Чем грозит несоблюдение требований GDPR? Могут ли нас за это оштрафовать?

Да, могут. За нарушение требований GDPR грозит штраф, размер которого в зависимости от обстоятельств достигает 4% годового оборота компании или 20 млн. евро. Штраф может быть применен как к европейским компаниям, так и к иностранным юридическим лицам, в том числе не имеющим своего представительства в ЕС (ЕЭС). И такие примеры уже есть.

Для иностранной компании гораздо важнее избежать риски, связанные с невозможностью ведения бизнеса на территории ЕС и потерей репутации. Это может выражаться в блокировке интернет-ресурсов, нарушающих европейское законодательство, и в отказе от сотрудничества со стороны европейских партнеров, оштрафовать которых за нарушения регулятору проще, чем вас.

Профессионалы H-X быстро помогут вам понять, применим ли GDPR к Вашей организации. Затем мы “под ключ” проведем анализ ваших бизнес-процессов, определим несоответствия и пробелы, разработаем технологический и юридический план внедрения, а также внедрим необходимые мероприятия по устранению несоответствий. Это повысит вашу уверенность, конкурентоспособность, а также лояльность партнеров и заказчиков, не говоря уже о новых перспективах развития Вашего бизнеса.

Основные этапы нашей работы по оценке и внедрению стандарта GDPR включают в себя:

Этап 0. Предварительный — выполняется бесплатно!

Предварительный анализ деятельности заказчика для определения необходимости соблюдения требований GDPR.

Заказчику предлагается заполнить опросник, проводятся собеседования с его руководством и специалистами на предмет организации бизнес-процессов. По результатам будет сделан вывод либо о необходимости соблюдения требований GDPR, либо о ее отсутствии.

Этап 1. Аналитический

Анализ бизнес-процессов компании для определения необходимых организационных, технических и правовых мероприятий с целью приведения в соответствие с требованиями GDPR.

Заказчик заполняет подробную анкету. Нашими представителями проводятся собеседования с руководством и специалистами. Предоставляется доступ к системам, договорам и иным документам для анализа. По результатам заказчику предлагаются выводы о соответствии или несоответствии процессов требованиям GDPR, указываются выявленные недостатки и несоответствия, предлагаются меры (организационные, технические, правовые) для их устранения.

Этап 2. Внедренческий

Имплементация рекомендаций по устранению выявленных недостатков и несоответствий.

Под контролем и при участии наших специалистов реализуется план устранения недостатков и несоответствий бизнес-процессов требованиям GDPR. С целью исключения или минимизации рисков, где применимо, корректируются бизнес-процессы заказчика. При необходимости, проводится тренинги и обучение специалистов заказчика.

Этап 3. Сопроводительный

Контроль соблюдения требований GDPR и предоставление консультаций в процессе текущей деятельности.

Осуществляется мониторинг изменений и практики применения GDPR. Предоставляются консультации по соблюдению требований GDPR в ходе текущей деятельности заказчика. В случае изменений или дополнений в бизнес-процессах заказчика, законодательных требований и правоприменительной практики вносятся рекомендации по корректировке мер по соблюдению требований GDPR (GDPR комплаенса).

Внедрение КСЗИ

Н-Х предлагает профессиональные услуги по созданию комплексной системы защиты информации (КСЗИ) для Автоматизированной Системы или Информационно-Телекоммуникационной Системы Заказчика (далее — АС, ИТС, «целевой объект»), а также соответствующие консультации по информационной безопасности.

Регулирование создания, внедрения и использования КСЗИ в Украине выполняется в соответствии с нормативными документами по технической защите информации (далее — НД ТЗИ). Создание КСЗИ в АС или ИТС осуществляется согласно НД ТЗИ 3.7-003-05 «Порядок проведения работ по созданию комплексной системы защиты информации в информационно-телекоммуникационной системе» на основании технического задания, разработанного в соответствии с требованиями НД ТЗИ 3.7-001-99 «Методические указания по разработке технического задания на создание комплексной системы защиты информации в автоматизированной системе».

Цель

Целью проекта является создание и внедрение КСЗИ, а также предоставление консультаций Заказчику в согласованной области охвата. Для выполнения проекта необходимо выполнить следующие разовые задачи:

- Сформировать общие требования к КСЗИ в ИТС.

- Разработать политики безопасности информации в ИТС.

- Разработать техническое задание (далее — ТЗ) на создание КСЗИ.

- Разработать проект КСЗИ.

- Ввести КСЗИ в действие и оценить защищённость информации в ИТС.

Также, по желанию Заказчика, Исполнитель предлагает постоянные услуги по сопровождению КСЗИ.

Этапы ВНЕДРЕНИЯ КСЗИ

1. Формирование общих требований к КСЗИ в ИТС.

2. Обоснование необходимости создания КСЗИ

3. Обследование сред функционирования ИТС

4. Формирования задания на создание КСЗИ

5. Разработка политики безопасности информации в ИТС.

6. Изучение объекта, на котором создаётся КСЗИ, проведения научно-исследовательских работ

7. Выбор варианта КСЗИ

8. Оформление политики безопасности

9. Разработка технического задания (далее — ТЗ) на создание КСЗИ.

ТЗ на создание КСЗИ в ИТС является основополагающим организационно-техническим документом, который определяет требования по защите обрабатываемой в ИТС информации, порядок создания КСЗИ, порядок проведения всех видов испытаний КСЗИ и ввода её в эксплуатацию в составе ИТС.

ТЗ на создание КСЗИ разрабатывается на соответствующей стадии работ по созданию ИТС на основе комплексного подхода к построению КСЗИ, который предусматривает объединение в единую систему всех необходимых мер и средств защиты от разнообразных угроз безопасности информации на всех этапах жизненного цикла ИТС.

ТЗ на создание КСЗИ может разрабатываться для вновь создаваемых ИТС, а также при модернизации уже существующих ИТС. Для оформления ТЗ на КСЗИ могут быть использованы следующие варианты: в виде отдельного раздела ТЗ на создание ИТС; в виде отдельного (частичного) ТЗ; в виде дополнения к ТЗ на создание ИТС.

Первый вариант рекомендуется применять для вновь создаваемых ИТС. Второй или третий варианты рекомендуется применять в случае модернизации КСЗИ, модернизации действующих ИТС, а также для ИТС, которые уже имеют утверждённое ТЗ на создание, в котором не содержится отдельного раздела по защите информации.

Для любого из вариантов разработки и оформления ТС на КСЗИ, его содержание, порядок согласования и утверждения должен соответствовать НД ТЗИ 3.7-001 и ГОСТ 34.602.

Разработка проекта КСЗИ.

Проект КСЗИ разрабатывается на основании и в соответствии с ТЗ на создание ИТС (дополнение к нему, отдельного ТЗ на создание КСЗИ).

Эскизный проект КСЗИ. На этом этапе осуществляется разработка предварительных проектных решений КСЗИ и, в случае необходимости, ее отдельных составных частей, а также разработка, оформление, согласование и утверждение документации на КСЗИ.

- Технический проект КСЗИ.

- Рабочий проект КСЗИ.

- Введение КСЗИ в действие и оценка защищённости информации в ИТС.

- Подготовка КСЗИ до введения в действие.

- Обучение пользователей.

- Комплектование КСЗИ.

- Предварительные испытания.

- Опытная эксплуатация.

- Государственная экспертиза КСЗИ.






Разработка приложений и DevOps

Сегодня успешный бизнес невозможен без использования эффективного программного обеспечения, которое помогает оптимизировать внутреннюю работу компаний, сокращает финансовые затраты, улучшает процесс взаимодействия с клиентами, снижает риски и повышает конкурентоспособность.

Н-Х уже много лет помогает крупному, среднему и мелкому бизнесу с разработкой и модернизацией программного обеспечения, виртуализацией, внедрением современных технологий блокчейн, смарт-контрактов, непрерывной интеграции и поставки (CI/CD), а также DevOps.

Мы подготовим и выполним «под ключ» проект,точно отвечающий потребностям вашей компании.

Разработка приложений
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Разработка смарт-контрактов
Свяжитесь с нами и получите консультацию о том, как начать использовать смарт-контракты в вашем бизнесе. Мы создадим архитектуру вашего смарт-контракта, разработаем его, интегрируем и проведём аудит безопасности.
DevOps
Примените с нашей помощью методы DevOps и Security DevOps (DevSecOps) для объединения усилий команд разработки ПО и ИТ-операций и сокращения продолжительности выпуска обновленных продуктов с сохранением их качества.
Виртуализация
Воспользуйтесь преимуществами облачных сервисов и локальной виртуализации для повышения производительности вашей инфраструктуры (серверов, рабочих станций, приложений и сетей), а также для снижения затрат на её поддержку.

Разработка приложений

Наша команда разработчиков программного обеспечения У нас сильная команда разработчиков программного обеспечения из специалистов разных направлений. Команда выполняет проекты разработки различного программного обеспечения, в том числе, не связанного с безопасностью, а также разработку систем безопасности для наших клиентов и нетривиальные задачи по оценке безопасности и автоматизации бизнес-процессов. Узнайте о наших компетенциях в области разработки программного обеспечения и о кейсах.

Почему мы сильные?

Потому что мы:

- имеем широкий и глубокий опыт

- очень мотивированы и увлечены

- реализовали трудные и комплексные проекты в сжатые сроки

- знаем, как безопасно разрабатывать программное обеспечение и как сделать ваши решения безопасными

- гибкие с точки зрения бизнес-требований, управления проектами и производительности

Наши основные компетенции в области разработки программного обеспечения

- Платежные шлюзы: Stripe, Paypal, Webmoney, YandexMoney, PerfectMoney, Payeer, LiqPay, Privat24, Bitpay, Bitaps, etc.

- Контейнеры: Docker stack (Compose, Swarm, Machine, Registry), GCE Kubernetes, AWS ECS, Terraform, Vault

- Виртуализация: Virtualbox, VmWare. Xen, Vagrant, Packer

- OS: Ubuntu / Debian, RHEL / CentOS, FreeBSD, CoreOS, MacOS, Windows, Android, IOS

- Фреймворки и технологии: NodeJS, Socket.IO, WebRTC, PhantomJS, YF framework, Yii, Laravel, Symfony components

- Фронтэнд: Angular 2, AngularJS, ReactJS, JQuery, Less/Sass, Grunt/Gulp/Webpack, Bootstrap 3/4, etc.

- Разработка мобильных приложений: Cordova, Ionic framework 1-4, NativeScript, ReactNative

- Разработка десктопных приложений: Electron, NWJS, ReactNative

- Автоматизированное тестирование: Phpunit, Codeception, Phantomjs/Casperjs, Selenium

- Системы контроля версионности: GIT (github, bitbucket, gitlab)

- Реляционные системы управления базами данных (: MySQL / MariaDB / Percona, PostgreSQL, Oracle

- NoSQL: Redis, CouchBase, MongoDB, Cassandra, GCloud Datastorage

- Очереди: RabbitMQ, Kafka, Redis, Beanstackd, AWS SQS

- Веб и прокси серверы nginx / ngx_lua / openresty, haproxy, varnish, squid

- Почта: Postfix, AWS SES, Mailchimp, Sendgrid, Mandrill, Mailgun, Sendinblue

- Облачные сервисы: GCloud, AWS, DigitalOcean, Heroku, Cloudflare, etc.

- Хостинг выделенных серверов: OVH, RackSpace, Hetzner, etc.

- Автоматизация / CI / CD: Jenkins, GitlabCI, TravisCI, CircleCI, Ansible, Bash scripting

- Мониторинг: Zabbix, Grafana, ELK, Cacti, Nagios, Munin, PM2

- ПО для резервного копирования: BorgBackup, Rsync/Rsnapshot, Xtrabackup, Bacula

- Управление проектами и коммуникациями: Trello, RedMine, Jira, Worksection, Mediawiki, Slack, Telegram, etc.

- Сторонние сервисы: Firebase, Getresponse, Twilio, Onesignal, Zendesk, Kayako, etc.

- Другое: оптимизация высоконагруженных веб-сайтов и платформ, масштабируемые архитектуры, методы защиты от DDoS и согласование, оптимизация затрат на инфраструктуру, гибридные облачные решения

DevOps

Практика объединения усилий команд разработки ПО и ИТ-операций, известная как DevOps, уже для многих стала эталоном. Она позволяет быстрее реагировать на изменения рынка путем сокращения времени, требуемого для выпуска обновленного продукта, с сохранением его качества. По сравнению с традиционным подходом, DevOps имеет меньше проблем, связанных с развертыванием и тестированием приложений, а также их совместимостью с платформой. С нашей помощью вы можете стать одними из тех, кто уже пользуется преимуществами DevOps.

Больше свободного времени. Тесное взаимодействие поможет достичь лучшего взаимопонимания и избежать проблем несоответствия ожиданий. Когда не требуется выяснять зависимости приложения или особенности платформы, можно вложить больше усилий в то, что действительно важно.

Свобода изменений. С упрощением развертывания и выпуска обновлений вы сможете больше экспериментировать. Выполняйте постепенные улучшения и собирайте отзывы, чтобы лучше удовлетворять пожеланиям клиентов.

Безопасность. Общие усилия команд приведут к уменьшению количества уязвимостей в конечном продукте, а ускоренный выпуск обновлений позволит вносить исправления до того, как будет нанесен ущерб. Реализуйте принцип DevSecOps, состоящий в интеграции безопасности во все этапы жизненного цикла ПО, для наиболее эффективного противодействия угрозам.

Если вы особенно обеспокоены качеством и безопасностью релизов и операций вашего программного обеспечения на этапе эксплуатации, вам следует использовать наши сервисы безопасности DevOps (также называемые DevSecOps), которые обеспечивают гораздо более высокую безопасность, чем редкие тесты на проникновение, и которые можно заказать по ежемесячной подписке:

1. Шлюз качества и безопасности. Это упрощенный экспресс-сервис, особенно подходящий для нескольких продуктов. Проверки безопасности могут выполняться, например, для ежемесячных выпусков продукта. Чтобы оценить трудоёмкость этого сервиса, нам нужна информация о технологиях, которые вы используете, количество строк исходного кода и т. д.

2. Расширенный сервис Security DevOps (эксперты по кибербезопасности как члены вашей команды). Этот сервис предназначен для глубокого всестороннего тестирования безопасности и мониторинга ваших продуктов. Особенно, если они сталкиваются с изменениями часто, даже ежедневно. Чтобы оценить трудоёмкость этого сервиса, нам нужна информация о технологиях, которые вы используете, количество строк исходного кода, количество еженедельных или ежемесячных изменений и т. д.

3. Экспресс Центр Безопасности (Security Operations Center, SOC). Эта услуга включает в себя реализацию и/или сопровождение процессов и средств управления по отслеживанию событий информационной безопасности и реагирования на инциденты. Мы интегрируем сканеры уязвимостей безопасности и исходного кода в вашу инфраструктуру, настраиваем круглосуточное сканирование и процедуры реагирования на инциденты безопасности. По запросу мы настраиваем систему защиты информации и управления событиями (Security Information and Event Management, SIEM) для вашей среды. У нас есть положительный опыт относительно быстрого внедрения и эффективных результатов от индивидуальных решений, основанных на Syslog-ng, Graylog, Wazuh, OSSEC, ElasticSearch, Logstash и Kibana. Чтобы оценить трудоёмкость этого сервиса, нам нужны подробности по инфраструктуре вашего решения, сервисов, API и службы поддержки. См. также наши сервисы защиты веб-сайтов. Чтобы гарантировать наилучшие результаты, H-X строго придерживается международных стандартов, правил и передовых практик (например, ISO 27034, ISO 15408, NIST 800-64, ISF SoGP, OWASP, жизненный цикл разработки безопасности Microsoft, стандарты безопасности данных платежных приложений и другие).

Разработка смарт-контрактов

Смарт-контракт («умный контракт») – это компьютерная программа, которая обеспечивает и отслеживает исполнение обязательств. Заинтересованные стороны прописывают в нем условия сделки и санкции за их невыполнение, ставят цифровые подписи. Умный контракт определяет самостоятельно, соблюдены ли все условия, все ли исполнено, и принимает решение: успешно завершить сделку и выдать требуемое (деньги, недвижимость, акции), наложить на участников штрафные санкции, закрыть доступ к активам.

Чем же так интересны смарт-контракты?

Объекты смарт-контрактов

Элементами «умных» контрактов являются:

- Стороны сделки, которые имеют цифровую подпись и соглашаются или отказываются от соответствия услуги или товара выдвинутым ранее требованиям

- Предмет договора – услуги или товар, которые будут предоставлены в обмен на денежные средства

- Условия, при соблюдении которых будет автоматически произведен обмен благами, например, соответствие поставляемого товара стандартам качества.

- Децентрализованная платформа, в которой прописан программный код самого смарт-контракт

Применение концепции

- Хранение медицинских данных

- Операции с ценными бумагами

- Проведение международных и глобальных расчетов

- Идентификация личности

- Финансовая отчетность

- Обработка платежей по кредитам

- Учет и передача прав собственности

- Составление и передача активов по завещанию

- Проверка на соответствие поставленных товаров установленным стандартам

- Передача других ценных цифровых активов

Наши сервис включает такие услуги как:

Архитектура Создание архитектур для ваших вновь разрабатываемых или существующих программных решений с использованием блокчейн платформ и смарт-контрактов Bitcoin, S ide Chains, NXT, Ethereum.

Разработка Разработка шаблонных и нешаблонных смарт-контрактов любой сложности, для разнообразных проектов под вашу область бизнес, с использованием самых популярных языков программирования — Solidity, Vyper и Serpent, LLL, Mutan. Интеграция смарт-контрактов в существующие решения.

Аудит Аудит смарт-контрактов с применением ручных и автоматизированных средств поиска ошибок и потенциальных уязвимостей в безопасности смарт-контрактов.

Свяжитесь с нами и получите консультацию о том, как начать использовать смарт-контракты в вашем бизнесе.

Виртуализация

Одним из основных требований современного бизнеса в наше время глобализации является надежность работы ИТ-инфраструктуры. Виртуализация предприятия — это комплекс мер и шагов по виртуализации IT-инфраструктуры: серверов, пользовательских рабочих станций, компьютерных приложений и сетей передачи данных, то есть всех доступных информационных ресурсов. Виртуализация предоставляет ощутимые плюсы и преимущества для малого, среднего и корпоративного бизнеса в этом направлении.

Преимущества для бизнеса

1. Виртуализация Позволяет сократить расходы на покупку и апгрейд серверов и рабочих станций на 60–80%.

2. Отсутствие капитальных издержек Вам не нужно беспокоиться о покупке и замене оборудования и комплектующих, эти расходы берет на себя поставщик облачных услуг.

3. Улучшенная безопасность Защита критически важных данных компании в облачной среде мирового класса от Microsoft или Google и использование инструментов безопасности, таких как шифрование и единый вход.

4. Гибкая масштабируемость Платите только за то, что вам нужно, когда вам это нужно: легко масштабируйте свой бизнес без необходимости перестраивать или обновлять технологическую инфраструктуру.

5. Непрерывность работы бизнеса Расположение всех систем в облаке обеспечивает простоту управления ими, удобство резервного копирования и восстановления данных при необходимости.

6. Упрощение поддержки Требуется меньше технических специалистов, которые занимаются обслуживанием системы.

Аудит существующего IT-ландшафта и планирование

Оценим мощности текущей инфраструктуры, определим ее слабые места, предложим решения для усиления и спланируем работы по миграции.

Тестирование и пробный запуск

Проверим спроектированное решение на небольшом функционале перед переводом в опытную эксплуатацию. Заранее учтём все миграции, чтобы она прошла гладко.

Перенос приложений и начало эксплуатации

Последовательно перенесем нужные сервисы в облако. Сведем к минимуму время недоступности информационных систем.

Сопровождение инфраструктуры и обучение персонала

Будем внимательно следить за вашей инфраструктурой и контролировать ее работу. Проведем обучение в удобном формате для ваших сотрудников.






Тренинги и обучение по безопасности

Более 80% всех кибер-инцидентов связаны с человеческим фактором. В результате инцидентов предприятия и компании тратят огромные бюджеты на восстановление активов и репутации.

Большинство компаний рано или поздно осознают, что ключевым вопросом является не наличие тех или иных технологий, не говоря уже о продуктах, а высокий профессиональный уровень специалистов и базовая осведомлённость персонала о рисках и правилах безопасности.

Мы — специалисты по People-centric Security, и обучаем персонал организаций безопасному использованию современных информационных технологий, а разработчиков программного обеспечения — безопасному жизненному циклу систем.

Особенно мы гордимся тем, что делаем вклад в мировой прогресс, обучая наших коллег из других компаний по информационной безопасности.
Также у нас есть углублённый авторский курс по психологической безопасности и защите от психологических манипуляций для физических лиц и организаций. Мы предлагаем тренинги по информационной безопасности для сотрудников всех уровней.

Программы осведомлённости
Управляйте защитой от социальной инженерии, получайте практические навыки безопасности, улучшайте культуру безопасности и воспитывайте безопасное мышление. Закажите программу осведомлённости по безопасности.
Тренинги для специалистов по безопасности
Прокачайте ваши скиллы в области информационной безопасности. Среди наших клиентов на обучение есть крупные международные сервисные компании по безопасности и разработчики решений по безопасности.
Тренинг по психологической безопасности
Изучите приёмы психологических манипуляторов, социальных инженеров и ваши собственные психологические уязвимости. Научить устранять их и распознавать ложь с помощью нашего авторского курса по психологической безопасности.
Тренинги по безопасности приложений (OWASP)
Повысьте вашу ценность за счёт получения современных системных знаний по безопасности приложений. Мы проводим воркшопы, лекции, семинары, тесты и консультации для менеджеров, архитекторов, разработчиков и тестировщиков.
Обучение промышленной безопасности
Обеспечьте безопасность ваших систем SCADA и ОТ не только с помощью мер и систем безопасности, но и путём безопасного выполнения процессов и операций. Закажите комплексную программу обучения персонала требованиям безопасности.

Программы осведомлённости

Мы делаем не просто программу осведомленности. Мы выращиваем у ваших сотрудников практические навыки безопасности. Прививаем культуру безопасности и воспитываем безопасное мышление. Периодически измеряем результативность реальными «хакерскими» тестами. Таким образом вы эффективно управляете поведением вашего персонала.

Особенности нашей работы в области обеспечения осведомлённости и управления поведением пользователей:

- Высокое качество очного преподавания. Тренеры с опытом преподавания ИТ и корпоративной безопасности с 2000 года.

- Привлекательные материалы. Активное применение мультимедийных и интерактивных средств. Разработка увлекательных обучающих фильмов, анимации и т. п.

- Снижение трудозатрат на поддержку. Автоматизация управления событиями инициирования мероприятий, напоминаний и эскалаций избавляет вас от рутинной работы, связанной с тем, чтобы заставлять людей проходить обучение.

- Эффективная обратная связь и KPI. Тестирование эффективности программы с помощью социотехнических тестов на проникновение.

Методы и компоненты обеспечения осведомленности:

1. Предупреждение перед приёмом на работу о правилах безопасности на собеседованиях.

2. Подписание обязательств (политика безопасности, кодекс этики, соглашение о неразглашении, персональных данных, авторских правах и т. д.).

3. Обязанности по безопасности в должностных инструкциях и инструктажи по безопасности со стороны непосредственных руководителей при введении нового сотрудника в курс дел

4. Очные и онлайн-тренинги, а также тестирование на испытательном сроке. Успешное прохождение тестирования – условие прохождения испытательного срока.

5. Регулярное тестирование персонала (раз в 1, 2 или 3 года).

6. Тренинги и воркшопы для отдельных групп пользователей (руководители, бухгалтеры, разработчики ПО, маркетинг и продажи, пиар-служба и т. д.).

7. Тренинги и воркшопы на отдельные актуальные темы для любых интересующихся (PCI DSS, блокчейн, безопасная разработка, SDLC, тестирование на проникновение, Unexpected Inspection, Risk Management, BCM, Operations Security, Incident Management и т. д.).

8. Автоматическая система учёта прохождения тренингов и тестирований, с напоминаниями, эскалациями и расчётом статистики по подразделениям.

9. Внутренний блог по безопасности.

10. Рассылки по электронной почте: фоллов-апы по инцидентам в компании и в мире, предупреждение о крупных уязвимостях, о правилах безопасности, о дисциплинарных мерах и т. д. 11. Группы в Viber и Telegram. Дублирование почтовых рассылок и мелкие уведомления.

12. Раздаточные материалы (буклеты, брошюры и т. д.).

13. Постеры на стенах, на дверях, в столовых, туалетах и т. п.

14. Электронные постеры (баннеры) на корпоративных интранет-сайтах и подстановка постеров в антибаннерный фильтр на корпоративном проксисервере.

15. Сообщество исследований в области безопасности. Закрытая группа (ощущение привелегированности), обсуждающая вопросы безопасности в онлайне и оффлайне.

16. Обучение членов проектных команд специфике безопасности заказчиков.

17. Обучение заказчиков, поставщиков, партнёров.

18. Опросы, получение и анализ обратной связи пользователей.

19. Игры, конкурсы, соревнования.

20. Учёт замечаний комитета по реагированию на инциденты в Performance Appraisal.

21. Proactive Security Awareness. Дружественные подсказки-предупреждения с корпоративным оформлением, которые делаются в реальном времени перед тем, как пользователь пытается совершить потенциально опасное действие (открытие веб-сайта, вложения и т. п.).

Тренинги для специалистов по безопасности

Управление рисками безопасности является неотъемлемой частью процесса управления непрерывностью бизнеса, репутацией компании и стратегического управления в целом. Поэтому подготовка профессионалов в области информационной безопасности является не просто актуальной, но и необходимой для успешного существования предприятия.

На протяжении десятилетий мы обучали специалистов по безопасности из государственного и частного секторов, в банковской сфере, ИТ, фармацевтической, химической, нефтегазовой, сельскохозяйственной, телекоммуникационной и транспортной отраслях, мелком, среднем и корпоративном бизнесе.

H-X — это оптимальный баланс тренерского и практического опыта, стандартов, методологий, отвечающий вызовам и требованиям рынка. Наш сертифицированный преподавательский состав предлагает курсы собственной разработки и авторизованное обучение от вендоров — стратегических партнеров компании.

Высокая деловая этика и репутация, накопленный опыт и партнерские отношения с лидерами ИТ-рынка позволяют компании проводить образовательные программы в различных востребованных областях, таких как информационные технологии, кибербезопасность, разработка приложений и т.д.

Наши популярные тренинги для специалистов по кибербезопасности:

1) Тестирование на проникновение

2) Реверс-инженерия и Анализ вредоносного ПО

3) Подготовка к сертификации CEH

4) Основы безопасной разработки ПО с использованием OWASP

5) Лучшие практики безопасности для системных администраторов и DevOps

Обучение промышленной безопасности

Обучение персонала на промышленных предприятиях имеет решающее значение для безопасности любого предприятия. Здесь задействованы разные уровни безопасности, стандарты и процедуры разных поставщиков и подрядчиков. Внутренний и внешний персонал должны одинаково понимать требования и ожидания безопасности.

Пример программы обучения по безопасности SCADA

Курс позволяет участникам получить широкий набор знаний для управления безопасностью SCADA/ICS. Слушатели получат все необходимые навыки для решения самых сложных проблем, которые включают:

- Оценку рисков для систем SCADA/ICS

- Управление доступом пользователей и систем

- Настройка безопасности сети

- Обеспечение отказоустойчивости промышленных систем

Тренинг адаптирован для аудитории с совершенно разным уровнем подготовки. Если вы только новичок, вам предстоит решать простые задачи. Если вы профессионал, перед вами будет набор очень сложных задач. Полученный опыт обязательно повысит вашу ценность, как для работодателя, так и для клиентов, и принесет вам огромный уровень профессиональное.

Мы рекомендуем этот тренинг для:

- CTO, CIO

- Специалистов по безопасности SCADA /ICS

- Архитекторов SCADA/ICS

- Разработчиков программного обеспечения SCADA/ICS

- Системных администраторов SCADA/ICS

- Руководителей проектов, которые внедряют SCADA/ICS

- Аудиторов, которые проводят аудит SCADA/ICS

Теоретический раздел

- Основы СМИБ для промышленных сетей

- Административные и логические контроли безопасности промышленных сетей

- Оценка и управление рисками

- Стратегии аварийного восстановления и резервного копирования

- Безопасная сеть (сегментация, DMZ, межсетевое взаимодействие)

- Управление доступом пользователей

- Инструменты сетевой безопасности

- Инструменты резервного копирования и доступности данных

- Оценка уязвимости и тестирование на проникновение

- Безопасность виртуальной среды

Практический раздел

- Инвентаризация данных

- Планирование развертывания систем IDS/IPS

- Создание реестра рисков

- Планирование VPN-подключений

- Восстановление после инцидентов

- Настройки межсетевого экрана между двумя сегментами промышленной сети

- Настройка маршрутизации для подключения промышленной сети к DMZ

- Анализ трафика

- Создание политик доступа

- Оценка и тестирование политик аварийного восстановления и резервного копирования

Тренинг по психологической безопасности

Авторский курс проводится в рамках корпоративной программы повышения осведомлённости персонала в области информационной безопасности и управления безопасным поведением персонала. Основная цель курса – не просто охватить типовые случаи социальной инженерии, а показать корневые причины, из-за которых становится возможной социальная инженерия, и научить устранять эти причины. Курс включает семинары, практические занятия, игры и тренировки. Длительность курса – от 8 до 10 часов (в зависимости от детализации).

Темы:

- Психологическая безопасность как социальная проблема.

- Психологические манипуляции как основной метод социальной инженерии

- Цели, задачи, методы манипуляторов и социоинженеров (мошенничество, конкурентная и политическая борьба, получение конфиденциальной информации или доступа, внедрение агентов, обман, кража ресурсов любых видов, подавление воли, получение выгодных условий на переговорах и т. п.).

- Виды социальной инженерии и сценарии социотехнических атак.

- Признаки манипуляций и социотехнических атак.

- Правила социотехнической безопасности и методы защиты от психологических манипуляций.






Управляемая безопасность

Если ресурсы вашей компании исчерпаны, вам не хватает опыта, необходимого для выявления и устранения всех пробелов в безопасности, вы не готовы формировать или развивать собственный отдел информационной безопасности, то наши сервисы управляемой безопасности помогут вам решить эти проблемы в режиме ежемесячной или ежегодной подписки.

Вашей организации нужно соответствовать таким правилам и стандартам, как ISO 27001, PCI DSS, VDA ISA, ENX TISAX®, ISO 16949, ASPICE, HIPAA, GDPR, SOC2,НД ТЗИ КСЗИ? И не просто соответствовать, а поддерживать это соответствие ежегодно? Воспользуйтесь нашими сервисами управляемого соответствия.

Разведка угроз
Будьте на шаг впереди злоумышленников, проактивно применяя разведку угроз (аналитику угроз) в дополнение к мониторингу событий и реагированию на инциденты. Мы поможем вам определить заранее, какие угрозы представляют наибольший риск для вас.
Эксперты по безопасности как сервис
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Управляемое соответствие требованиям
Хотите не просто достичь соответствия ISO 27001, HIPAA, PCI DSS, SOC 2, GDPR и т. д., но и регулярно проходить подтверждающие сертификации? Мы поможем эффективно поддерживать и развивать ваши системы управления безопасностью.
Защита веб-сайтов
Устраните основные причины инцидентов безопасности – технические уязвимости и отсутствие мониторинга. Предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.
SOC as a Service
Получите исключительную круглосуточную защиту ваших систем и сервисов с помощью нашего сервиса Security Operations Center. Сэкономьте огромные средства на внедрении собственных систем класса SIEM и найме специалистов SOC.

SOC as a Service

There are many moving elements when it comes to keeping a business secure. H-X puts all of the parts together so you don’t have to. Buying external services is an effective and efficient alternative to running your own SOC.

H-X builds SOC as a Service solution on SKOUT Log Security Monitoring platform. It is a managed security product that collects, aggregates, and normalizes log data from hundreds of sources for AI-enabled analysis using SKOUT’s analytics platform, threat intelligence,, SIEM and 24/7 365 Security Operations Center. Identify threat like behavior in your systems such as impossible logins, coordinated attacks, multi-factor bypass, and rogue agents.

The fundament of our SOC as a service solution is «three pillars»:

- Technology: log management, security event, and incident management, event sources, security orchestration automation & response, user behavior analytics and machine learning, threat hunting, etc.

- Processes: technological, business, analytical, operational, communications, etc.

- People: IT and security engineers, security analytics, incident response team, etc.

Our SOC components include all modern technology capabilities for incident and threat management:

- Log management platforms

- User behavior & Entity analysis

- Machine learning

- Orchestration & Response

- Digital Forensics

- Distributed cloud platform with high availability architecture, etc.

Our capabilities include monitoring of the most popular server platforms, network technologies, applications, databases, virtualization platforms, storage, backups, cloud platforms, etc.

H-X security specialists cover all levels of SOC team functionality:

1. Tier 1 (Level 1) – Alert Analysts continuously monitor the alert queues; triage security alerts; monitor the health of security sensors and endpoints; collect data and context necessary to initiate Tier 2 work.

2. Tier 2 (Level 2) – Incident Responders perform deep-dive incident analysis by correlating data from various sources; determine if a critical system or data set has been impacted; advice on remediation; provide support for new analytic methods for detecting threats.

3. Tier 3 (Level 3) – Subject Matter Experts and Threat Hunters possess in-depth knowledge of network, endpoint, threat intelligence, forensics, and malware reverse engineering, as well as the functioning of specific applications or underlying IT infrastructure; act as an incident “hunter”, not waiting for incidents to occur; closely involved in developing, tuning and implementing threat detection analytics.

We will design the most suitable defense apparatus to fit your specific risk profile.

Contact us today to get a quote and consultation for a subscription to SOC as a service solution.

Управляемое обнаружение угроз и реагирование

Managed Threat Detection and Response — это улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.

В рамках комплексного сервиса Managed Threat Detection and Response мы выполняем следующие задачи:

Охота на киберугрозы (Cyber threat hunting) — это упреждающий поиск угроз кибербезопасности по сетям и конечным точкам для выявления вредоносных, подозрительных или рискованных действий, которые не были обнаружены существующими инструментами. Тактика упреждающего поиска киберугроз была разработана с целью использования новой информации об угрозах на основе ранее собранных данных для выявления и классификации потенциальных угроз до атаки.

Непрерывный мониторинг безопасности и оповещение (Continuous Security Monitoring & Alert Triage). Эксперты H-X анализируют сетевые данные и разрешают предупреждения, связанные с безопасностью, чтобы находить киберугрозы, скрытые и не обнаруживаемые традиционными средствами безопасности. Наш набор инструментов включает журналы событий, оповещения, NetFlow, полный захват пакетов, NIDS, SIEM, EDR, ретро-IDS (то есть обнаружение атак нулевого дня) и многое другое.

Реагирование на инциденты кибербезопасности и экспертный анализ (Cyber Incident Response & Forensic Analysis) — метод расследования и восстановления от инцидентов, обнаруженных на цифровых устройствах, для выявления и восстановления любой преступной или хакерской деятельности. Экспертный анализ и реагирование на инциденты — две из наиболее важных областей информационной безопасности, учитывая, что за последние несколько лет было зарегистрировано поразительное количество инцидентов. Наши эксперты обладают обширным опытом и знаниями в области Реагирования на инциденты и используют эти знания в сочетании с современными инструментами кибер-криминалистической экспертизы для всестороннего анализа данных об инцидентах, независимо от типа и размера происшествия. Узнайте больше о наших сервисах расследований инцидентов.

Набор инструментов, технологий, знаний и профессионализм персонала Н-Х — это уникальное сочетание, которое позволит вам сохранить конфиденциальность, целостность и доступность данных — фундамент кибербезопасности.

Разведка угроз (Threat Intelligence)

Разведка угроз безопасности (Threat Intelligence) — это знания, которые позволяют предотвращать или смягчать кибератаки путем изучения данных об угрозах и предоставления информации о противниках. Она помогает выявлять, готовить и предотвращать атаки, предоставляя информацию о злоумышленниках, их мотивах и возможностях.

Наши аналитики подготавливают организации к упреждающим действиям с помощью возможностей прогнозирования, а не реагирования на будущие кибератаки.

Защита веб-сайтов

Основные причины инцидентов безопасности – это технические уязвимости и отсутствие мониторинга. Мы эффективно устраняем обе эти причины и предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.

Оценка безопасности и пентесты Тесты OWASP, DoS/DDoS, социальной инженерии, Red Team, обратная инженерия и исследования уязвимостей «нулевого дня», анализ безопасности исходного кода ПО. Оценка рисков, рекомендации по снижению рисков и отчетность. Помощь по устранению уязвимостей и повторная проверка после устранения.”

Защита и мониторинг безопасности Защита от DDoS-атак, WAF, защита доступности, проверки транзакций, проверки RUM, сбор журналов, CDN, оптимизация и ускорение трафика для мобильных устройств. Горячая линия поддержки на английском, русском и украинском языках 24×7 по электронной почте или в чате. Реагирование на инциденты кибербезопасности.”

Оценка безопасности и пентесты:

Тестирование на проникновение (пентесты, этический хакинг, «white hat» hacking) – это общепризнанный эффективный метод проверки и оценки качества и безопасности информационных систем. В процессе пентеста эксперты по безопасности имитируют действия компьютерных преступников, чтобы проверить возможность осуществления несанкционированного доступа, кражи конфиденциальной информации, отказа в обслуживании (DoS), прерывания сервиса, эксплуатации технических уязвимостей, обмана сотрудников, физического проникновения и других угроз безопасности. Мы используем многоцелевые специфические методологии (OWASP, SANS, PTES) и инструменты тестирования на проникновение. Члены команды безопасности компании имеют личные международные сертификаты (CISSP, OSCP, CEH, CLPTP) и строго придерживается законов, норм, корпоративного кодекса этики, а также кодекса этики пентестера. Узнайте больше о тестировании на проникновение.

Защита и мониторинг включают задачи:

• Максимальная защита от DDoS-атак • Применение файрвола веб-приложений (WAF) • Защита от уязвимостей OWASP TOP-10 • Доступность веб-сайт проверяется каждую 1 минуту • Проверка транзакций – запуск из браузера и тестирование важных функций сайта, например, входа в систему / регистрации, добавления в корзину и т. д. • RUM (Real-User Monitoring) проверки – тестирование времени загрузки сайта с точки зрения реального пользователя • Сбор и хранение журналов событий на срок до 12 месяцев • Глобальная CDN для оптимизации статического контента • Оптимизация и ускорение трафика для мобильных устройств • Поддержка IPv6, HTTP/2, SPDY, WebSockets • Горячая линия поддержки на английском, украинском и русском языках 24/7 по электронной почте и в чате выделенными специалистами • Реагирование на инциденты безопасности

Управляемое соответствие требованиям

Вы планируете достичь или достигли соответствия ISO 27001, HIPAA, PCI DSS, SOC2, GDPR, Sarbanes-Oxley или другому набору требований, но ваши внутренние ресурсы исчерпаны для того, чтобы эффективно выявлять и устранять недостатки?

Вы прошли первый сертификационный аудит, но расслабились и провалили подтверждающий аудит на второй год?

Нам знакомы эти ситуации. Мы помогаем вам не просто строить и сертифицировать системы управления информационной безопасностью, но и поддерживать и развивать их.

Преимущества услуг H-X Managed Compliance Services:

1. Эффективное сочетание ручной и автоматизированной работы по управлению реальной и формальной безопасностью.

2. Большой набор охватываемых стандартов и норм безопасности.

3. Уникальное сочетание стратегического видения, опыта и навыков с глубокими техническими знаниями.

4. Большой опыт преподавания и создания программ повышения осведомленности в области безопасности, в том числе, для ИТ-компаний и компаний по ИТ-безопасности.

5. Сервис виртуального менеджера безопасности, решающего любые стратегические и тактические задачи безопасности вашей организации, а не только задачи соответствия требованиям. Узнать больше.

6. Эксперты-как-сервис помогут разобраться в самых глубоких или запутанных проблемах безопасности, включая безопасность кода, проверки эффективности реагирования на инциденты, расследования инцидентов и многое другое. Узнать больше.

Нажмите здесь для того, чтобы обсудить с нами вашу задачу.

Разведка угроз

Gartner’s definition of Threat intelligence which is widely used by many researchers: “Threat intelligence is evidence-based knowledge, including context, mechanisms, indicators, implications and actionable advice, about an existing or emerging menace or hazard to assets that can be used to inform decisions regarding the subject’s response to that menace or hazard.”

Разведка угроз (аналитика угроз) стала важнейшим элементом кибербезопасности, поскольку помогает заранее определять, какие угрозы представляют наибольший риск для того или иного бизнеса. Информация, полученная с помощью этих методов, дает представление об угрозах, которые будут нацелены или уже нацелены на организацию, ее сотрудников и клиентов. Эти угрозы могут потенциально привести к потере доходов, снижению репутации, перебоям в работе бизнес- процессов и многим другим негативным последствиям. Обладая этими знаниями, организации могут определить и расставить по приоритетам наиболее вероятные причины проблем, и направить имеющиеся ресурсы туда, где они будут наиболее эффективными.

Наш сервис управляемой аналитики угроз поможет вам быть на шаг впереди злоумышленников и защитить ваш бизнес и активы.

Мы агрегируем данные из разных источников, что делает аналитику наиболее эффективной. В нашей работе мы используем:

IOC Sharing. Совместное использование индикаторов компрометации (IOC) в отрасли является критически важной практикой для получения из журналов событий дополнительных сведений, указывающих на вредоносную активность. IOC документируются открыто и облегчают выявление проблем, связанных с аномалиями сетевого трафика, скомпрометированными правами пользователей, подозрительными модификациями файлов и т. д.

Open Source Feeds. Открытые каналы являются важным источником для анализа угроз. Самые разные ресурсы, от традиционных СМИ до сообщений в социальных сетях, форумов по кибербезопасности, популярных блогов, сайтов вендоров и т. д., используются нами для разведки и анализа. Также это способствует таким практикам, как мониторинг бренда, и помогает выявлять проблемы захвата доменов.

In-House Threat Intelligence. Различные угрозы, направленные на наших клиентов, помогают нам построить обширную базу данных угроз. Собирая и коррелируя угрозы наших клиентов, мы увеличиваем и обогащаем внутренние алгоритмы, а аналитики безопасности узнают больше о ландшафте угроз. Это, в свою очередь, дает вам актуальную информацию для защиты вашего бизнеса.

Deep Web and Dark Web Intelligence. Мы выходим за рамки информации из открытых источников и анализируем, что происходит на форумах в т.н. “глубокой сети” и “темной сети”. Сбор информации из таких источников, как хакерские группы Telegram, QQ, IRC, а также различные торговые площадки, форумы и платформы для обмена файлами, дает возможность идентифицировать украденные активы, новые векторы угроз, анализ комплектов эксплойтов, а также другие инструменты и методы злоумышленников.

Принцип работы и основные шаги аналитики угроз:

1. Требования

Этот важный этап имеет решающее значение для жизненного цикла анализа угроз, поскольку он определяет план структуру проекта. На этом этапе планирования команда согласовывает цели и методологию своей разведывательной программы на основе потребностей заинтересованных сторон. Команда может попытаться обнаруживать:

- кто нападающие и какие их мотивы;

- какова поверхность атаки;

- какие конкретные действия следует предпринять, чтобы укрепить защиту от будущей атаки.

2. Сбор данных

После определения требований команда приступает к сбору информации, необходимой для достижения этих целей. В зависимости от целей, команда будет анализировать журналы трафика, общедоступные источники данных, соответствующие форумы, социальные сети, блоги, а также публикации отраслевых или предметных экспертов.

3. Обработка

После того, как необработанные данные из разных источников будут собраны, они объединяются и преобразовываются в формат, подходящий для анализа. В большинстве случаев это структурирование данных в электронной таблице: расшифровка файлов, перевод информации из иностранных источников и оценка данных на предмет актуальности и надежности.

4. Анализ

После обработки набора данных команда проводит тщательный анализ, чтобы найти ответы на вопросы, поставленные на этапе требований. На этапе анализа команда также работает над разбиением полученного набора данных на элементы: необходимые действия и ценные рекомендации для заинтересованных сторон.

5. Передача результатов анализа

На этапе передачи результатов анализа группа анализа угроз преобразовывает свой отчёт в удобный формат и представляет результаты заинтересованным сторонам. Представление результатов зависит от аудитории. В большинстве случаев рекомендации представляются кратко, без запутанного технического жаргона, либо в виде одностраничного отчета, либо в виде коротких слайдов.

6. Обратная связь

Заключительный этап жизненного цикла аналитики угроз включает в себя получение обратной связи по предоставленному отчету, чтобы определить, нужно ли вносить корректировки для будущих операций по анализу угроз. Заинтересованные стороны могут изменить свои приоритеты, частоту, с которой они хотят получать отчеты разведки, или способ передачи или представления данных. Мы мыслим как хакеры, моделируя их поведение. Это позволяет нам быстро и эффективно получить необходимые данные, проанализировать их, предупредить клиентов и предоставить им рекомендации о способах предотвращения возможной атаки. Мы — ваши уши и глаза в мире угроз безопасности.






SIEM/SOC Implementation

“The average time to identify a breach in 2019 was 206 days. The average lifecycle of a breach was 314 days (from the breach to containment).” (IBM)

Threats are real, that’s why SOC matters. A Security Operations Center, or “SOC”, is a company’s cybersecurity nerve center; it is the company’s defense command post for the control of cybersecurity risk. either to be a physical setting on-premises or off-premises (in-house, co-managed, or fully managed via outsourcing) or a SOC can effectively exist in the clouds. But no matter how the SOC is configured, its basic functions are the same, to wit, to monitor, detect, and respond to security issues and incidents in real-time.

The mission of a SOC is comprehensive continuous management of cybersecurity risks, vulnerabilities, threats, and incidents. The mission statement includes the following five proactive and reactive practical goals:

1. Prevention of cybersecurity incidents

2. Monitoring, detection, and analysis of potential intrusions in real-time and through historical trending on security-relevant data sources.

3. Response to confirmed incidents, by coordinating resources and using timely and appropriate countermeasures.

4. Situational awareness and reporting on cybersecurity status, incidents, and trends in criminal behavior, provided for appropriate organizations (customer, authorities).

5. Engineering and operating Computer Network Defense.

Our team of professionals has experience working with deployments of all sizes and complexity across a variety of use cases. We can help you improve any SIEM scenario or instance, including Security, Fraud, and Compliance, IT Operations, IoT/IIoT, and Industrial Data, Utilities, Business Analytics, DevOps, and others.

We will consult you on the most optimized solutions needed for your in-house SOC. We audit, select, plan, implement, and configure SIEM for your setup; maintain your SIEM, build new correlation rules for your deployment.

What we offer:

• Maturity model assessment and plan

• SIEM design and built

• SIEM tuning and log acquisition

• Runbooks, training methodology, catalogs, and use cases

• KPI development and analytical models

• Comprehensive product evaluations

• Automation script development

• Data lake, analytics, and machine learning

• Threat intelligence fusion

SOC implementation DELIVERY WORKFLOW

Confidentiality →

We sign a Non-Disclosure Agreement and commit to confidentiality.

Engagement →

You answer our questions about the conditions and environment to help us better define your requirements and expectations. Where is your IT infrastructure? Onsite, at a data center, on a cloud, or is it a combination of them? Where would you like to have the SOC teams placed? Are they your staff, ours, or a combination? What SOC Service Level Agreement (SLA) is the most suitable for your needs? Where would you like to place the main SIEM systems: in your office, in the cloud or at our data center? And some other questions. Once we receive your answers, we assign the implementation project team, setup communications, and get initial access and permissions.

Discovery →

We make the asset discovery for you. We define all your objects to be monitored and prepare an asset inventory. Then we outline the event entries, incident response and support procedures. Next, we estimate the monitoring capacity in Events Per Second (EPS). After that, we analyze all inputs and develop a Statement of Works and a Project Plan.

Deal →

We send you a detailed Commercial Offer including a high-level implementation project plan. These documents define all detailed conditions and parameters of the implementation project and maintenance delivery. After you accept our offer and approve the documents, we will sign a Service Agreement.

Implementation →

We deploy the SIEM system, connect your assets, develop and implement rules and procedures, train your personnel, and develop an Implementation Report.

Maintenance

We start the security operations including, but not limited to, monitoring the security events inside and outside your IT infrastructure, responding to the security incidents and consulting your staff. Depending on the agreed SLA, you get 24/7 or 8/5 availability of our Tier 1 SOC team and guaranteed availability of the Tier 2 and Tier 3 teams.

Base SOC service includes:

Monitoring, detection, and analysis of potential intrusions in real-time and through historical trending on security-relevant data sources.

Response to confirmed incidents, by notifications about security incidents (escalations) with information about the attacks, threats, vulnerabilities, affected systems, and recommendations on how to mitigate the incidents and vulnerabilities.

Participation in, along with the Partner and endcustomers, resource coordination, and taking of timely and appropriate countermeasures for incident response.

Multi-tenant environment (each end customer has their dashboard). Tier 1 (alert analysts), Tier 2 (incident responders), and Tier 3 (subject matter experts and threat hunters).

Consulting within eight manhours monthly. Any additional services beyond 8 manhours monthly are billed separately (20 USD/hour for senior specialists and 40 USD/hour for experts).

Technologies: Kubernetes, Graylog, Elasticsearch, Logstash, Kibana, syslog-ng, Ansible, Splunk, other

WHY WE ARE SPECIAL

Our features and unique selling points are:

1. Our SOC assessment, implementation, and optimization is based on modern scientific research in the field of cybersecurity threat management.

2. Wide experience with the solutions of multiple vendors.

3. Experience of SOC/SIEM optimization and scaling.

4. High flexibility and competence working with SIEM components.

5. Combination of the defensive and offensive security methods, and combination of the DevOps and security engineering functions.

Therefore, we can:

- make an asset inventory, assess and optimize the event logging and estimate event capacity even before signing the contracts;

- audit any legacy or existing SOC capabilities, effectively find gaps, refactor code and optimize methods and processes;

- design and implement distributed, scalable and fault-tolerant SIEM architectures;

- analyze assets deeply before connecting them to the SIEM: configure required controls, logging levels, and risks assessments, flexibly define appropriate ways of collecting logs (with or without an agent);

- develop custom parsing rules for non-standard or in-house developed applications;

- simulate real attacks and vulnerability exploitations to model deep analysis of logs and to minimize false positive alerts after implementation;

- make modern vulnerability scanners;

- provide public reputation and security tracking services for you continuously;

- deploy automatic incident handling tools;

- implement not only monitoring SOC but also operational SOC or control SOC, to respond to your business needs better.

Therefore, we have a comprehensive set of SOC technologies, processes and people to satisfy the business needs of small and medium companies.

We are passionate about what we do because we believe that we make this world safer and give people reassurance and confidence.






Предложения клиентам

Корпоративный бизнес

Большие компании становятся всё более лакомым кусочком для киберпреступников. Сегодня почти 90% корпоративных активов в мире являются цифровыми. Это открывает большие возможности для злоумышленников.

Как же защититься крупному бизнесу от киберугроз? Ответ прост — привлечь стратегического партнера по кибербезопасности, который либо возьмет на себя всю вашу безопасность “под ключ” с помощью сервисов SOC, либо эффективно решит задачи, которые вам кажутся трудными и целесообразными для делегирования.

Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Оценка реагирования на инциденты
ОЦЕНКА РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ
Оцените готовность вашей компании к кибервойне с помощью учений Red Team. Как правило, «Красная команда» - это наши специалисты. Они будут осторожно атаковать ваши системы. Ваши специалисты будут защищать их.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Защита от DoS/DDoS
ЗАЩИТА ОТ DOS/DDOS
Предотвратите простой бизнеса, репутационные потери и финансовые убытки с помощью нашего комплексного подхода к защите от DoS/DDoS на базовом уровне и на уровне приложений, а также эффективного “боевого” тестирования на всех уровнях.
Внедрение и сертификация ISO 27001
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Управляемое соответствие требованиям
УПРАВЛЯЕМОЕ СООТВЕТСТВИЕ ТРЕБОВАНИЯМ
Хотите не просто достичь соответствия ISO 27001, HIPAA, PCI DSS, SOC 2, GDPR и т. д., но и регулярно проходить подтверждающие сертификации? Мы поможем эффективно поддерживать и развивать ваши системы управления безопасностью.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Организации подвергаются рискам потери конфиденциальных данных, интеллектуальной собственности, уничтожения или искажения данных, снижения доверия клиентов и внутренних заинтересованных сторон, нарушения работы критически важной инфраструктуры и рискам штрафов и санкций. Каждый из этих рисков может привести к инцидентам, которые отрицательно влияют на конкурентные позиции, цену акций, лояльность клиентов и собственного персонала. Это приводит к падению продаж, прибыльности и рентабельности предприятия.

Эпоха карантина и удалённой работы увеличила и добавила новые риски безопасности, связанные с размытием периметра защиты и снижением контроля рабочих мест пользователей. Также повысился ряд старых рисков, таких как фишинг и другие виды социальной инженерии.

Проработав много лет на позициях менеджеров безопасности крупных корпораций, наши эксперты отлично изучили бизнес-процессы многих отраслей. Мы уже много лет успешно предоставляем корпоративному сектору качественные услуги и решения по кибербезопасности. Мы помогаем нашим клиентам защитить критически важные активы, соответствовать требованиям регуляторов и удерживать лидирующие позиции на рынке.

Кейсы для вашей отрасли
Внедрение центра безопасности (SOC) и системы управления событиями безопасности SIEM в банке
Анализ кода для мирового производителя бытовой и промышленной техники
Аудит безопасности промышленных информационных и операционных технологий для пивзавода
Пентест финансовой организации для соответствия требованиям PCI DSS
Внешний тест на проникновение национальной сети аптек
Внутренний пентест большого промышленного производства
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Поделитесь с нами вашими опасениями и проблемами, нажав здесь. Мы точно оценим вашу безопасность, проанализируем слабые места, найдём, внедрим и поможем поддерживать самые эффективные решения, а также обучим ваших пользователей, инженеров, разработчиков, администраторов и менеджеров по безопасности наиболее эффективным современным методам и технологиям безопасности.

Мелкий и средний бизнес

Малый и средний бизнес намного хуже переживает кибер-атаки по сравнению с крупным бизнесом в аналогичных ситуациях.

Компания H-X уже много лет стоит на защите малого и среднего бизнеса. Мы защитим ваш бизнес “под ключ”, в то время как вы сможете сфокусироваться на развитии своего бизнеса.

Как вариант, мы поможем вам самостоятельно оценить, спланировать, внедрить и поддерживать недорогую, но эффективную систему информационной безопасности. Мы легко возьмём на себя отдельные задачи по внедрению и поддержке безопасности, которые для вас кажутся сложными.

Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Защита от DoS/DDoS
ЗАЩИТА ОТ DOS/DDOS
Предотвратите простой бизнеса, репутационные потери и финансовые убытки с помощью нашего комплексного подхода к защите от DoS/DDoS на базовом уровне и на уровне приложений, а также эффективного “боевого” тестирования на всех уровнях.
Внедрение облачной безопасности
ВНЕДРЕНИЕ ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Дополните облачные сервисы безопасности детальным аудитом этих сервисов в режиме “белый ящик”, анализом рисков, харденингом серверов, а также комплексом мер по обеспечению соответствия CIS, ISO 27001, GDPR, HIPAA, и других требований.
Разработка приложений
РАЗРАБОТКА ПРИЛОЖЕНИЙ
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Защита веб-сайтов
ЗАЩИТА ВЕБ-САЙТОВ
Устраните основные причины инцидентов безопасности – технические уязвимости и отсутствие мониторинга. Предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
По исследованиям Trend Micro, респонденты из выборочной группы, представляющие малый бизнес, сообщили что 26% столкнулись с 3–6 кибератаками в год, 11% компаний — с 7-10 подобными случаями, а 6% — более чем с десятью такими атаками. Кража данных о клиентах и служебной информации является большим ущербом для бизнеса и репутации. При этом слив бренда может оказаться фатальным, и именно это происходит с почти 60 процентами малых предприятий после кибер-инцидента.
Атаки вымогателей (ransomware) могут не только вывести из строя операционные системы компьютеров, но и уничтожить важные данные, без которых продолжение существования компании будет невозможно. Атаки на отказ в обслуживании (DoS/DDoS) могут остановить работу небольшой компании, вплоть до потери репутации и части рынка. Фишинг и другие атаки социальной инженерии могут привести к компрометации систем, утечке информации, краже денег со счетов и другому крупному материальному ущербу и репутационным потерям.
Мы эффективно предотвращаем, отслеживаем и расследуем эти и другие угрозы и инциденты, а также помогаем вам удовлетворять требования безопасности от ваших клиентов, партнёров и регуляторов.

Кейсы для вашей отрасли
Внедрение непрерывной защиты сайта университета
Аудит исходного кода системы VoIP-телефонии
Внедрение ISO 27001 в компании-разработчике медицинского программного обеспечения
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Аудит исходного кода криптовалютной биржи
Пентест функционала криптовалютной биржи
Чтобы нанять по доступной цене сертифицированных профессионалов по кибер-безопасности, Нажмите здесь.

Блокчейн

Стоимость блокчейн-индустрии оценивается в сотни миллиардов долларов. Пропорционально растут риски и потери от инцидентов безопасности и мошенничества. Рассмотрите наши сервисы безопасности блокчейн и свяжитесь с нами, чтобы обсудить ваши задачи и опасения.

Аудит смарт-контрактов
АУДИТ СМАРТ-КОНТРАКТОВ
Оцените общую безопасность вашего смарт-контракта, чтобы сосредоточиться на его слабых сторонах и потенциальных уязвимостях. Мы построчно анализируем и проверяем спецификации смарт-контрактов и их исходный код.
Разработка смарт-контрактов
РАЗРАБОТКА СМАРТ-КОНТРАКТОВ
Свяжитесь с нами и получите консультацию о том, как начать использовать смарт-контракты в вашем бизнесе. Мы создадим архитектуру вашего смарт-контракта, разработаем его, интегрируем и проведём аудит безопасности.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Защита от DoS/DDoS
ЗАЩИТА ОТ DOS/DDOS
Предотвратите простой бизнеса, репутационные потери и финансовые убытки с помощью нашего комплексного подхода к защите от DoS/DDoS на базовом уровне и на уровне приложений, а также эффективного “боевого” тестирования на всех уровнях.
Разработка приложений
РАЗРАБОТКА ПРИЛОЖЕНИЙ
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Защита веб-сайтов
ЗАЩИТА ВЕБ-САЙТОВ
Устраните основные причины инцидентов безопасности – технические уязвимости и отсутствие мониторинга. Предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Проблемы, с которыми сталкиваются разработчики, владельцы и пользователи блокчейн-решений, приводят к значительному финансовому и репутационному ущербу.

Растущий список взломанных блокчейн-бирж и смарт-контрактов, ставших жертвами злонамеренных атак, заставляет многих задаваться вопросом, действительно ли блокчейн так безопасен, как кажется. Наш ответ — нет, не безопасен, но его можно сделать безопасным, если уделить этому достаточное внимание и инвестиции.

От проектирования и дизайна до релиза и поддержки, каждый этап цикла разработки смарт-контракта, блокчейн-биржи, ICO или другого блокчейн-решения имеет решающее значение для обеспечения надежности и безопасности его использования.

Кейсы для вашей отрасли
Внедрение центра безопасности (SOC) и системы управления событиями безопасности SIEM в банке
Пентест финансовой организации для соответствия требованиям PCI DSS
Аудит исходного кода международной платёжной системы
Аудит исходного кода криптовалютной биржи
Пентест функционала криптовалютной биржи
Чтобы поручить нам, как вашему опытному технологическому партнеру, безопасность ваших решений на основе блокчейн, Нажмите здесь.

Компании по ИБ

Поставщикам услуг информационной безопасности (MSSP) и другим ИБ-компаниям необходимо быстрыми темпами осваивать новые методы, решения и технологии, чтобы идти в ногу со временем. Для этого, к сожалению, у них не всегда хватает ресурсов и компетенций.

Компания H-X предлагает MSSP, ИБ- и ИТ-компаниям сотрудничество на взаимовыгодных условиях. Чтобы эффективно решить ваши задачи, которые кажутся вам слишком сложными, или чтобы создать новые каналы доходов и расширить границы вашего бизнеса за счёт расширения компетенций и спектра услуг, свяжитесь с нами.

Тренинги для специалистов по безопасности
ТРЕНИНГИ ДЛЯ СПЕЦИАЛИСТОВ ПО БЕЗОПАСНОСТИ
Прокачайте ваши скиллы в области информационной безопасности. Среди наших клиентов на обучение есть крупные международные сервисные компании по безопасности и разработчики решений по безопасности.
Обучение промышленной безопасности
ОБУЧЕНИЕ ПРОМЫШЛЕННОЙ БЕЗОПАСНОСТИ
Обеспечьте безопасность ваших систем SCADA и ОТ не только с помощью мер и систем безопасности, но и путём безопасного выполнения процессов и операций. Закажите комплексную программу обучения персонала требованиям безопасности.
Обучение безопасной разработке ПО
ОБУЧЕНИЕ БЕЗОПАСНОЙ РАЗРАБОТКЕ ПО
Повысьте вашу ценность за счёт получения современных системных знаний по безопасности приложений. Мы проводим воркшопы, лекции, семинары, тесты и консультации для менеджеров, архитекторов, разработчиков и тестировщиков.
Тренинги по безопасности приложений (OWASP)
ТРЕНИНГИ ПО БЕЗОПАСНОСТИ ПРИЛОЖЕНИЙ (OWASP)
Повысьте вашу ценность за счёт получения современных системных знаний по безопасности приложений. Мы проводим воркшопы, лекции, семинары, тесты и консультации для менеджеров, архитекторов, разработчиков и тестировщиков.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Оценка реагирования на инциденты
ОЦЕНКА РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ
Оцените готовность вашей компании к кибервойне с помощью учений Red Team. Как правило, «Красная команда» - это наши специалисты. Они будут осторожно атаковать ваши системы. Ваши специалисты будут защищать их.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит смарт-контрактов
АУДИТ СМАРТ-КОНТРАКТОВ
Оцените общую безопасность вашего смарт-контракта, чтобы сосредоточиться на его слабых сторонах и потенциальных уязвимостях. Мы построчно анализируем и проверяем спецификации смарт-контрактов и их исходный код.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Аудит SCADA и ОТ
АУДИТ SCADA И ОТ
Оцените защищенность критической инфраструктуры вашего производства. У нас международные сертификаты по промышленной информационной безопасности. Поможем вам с глубоким аудитом SCADA и ОТ, а также с промышленной автоматизацией.
Сертификация по стандарту ASVS
СЕРТИФИКАЦИЯ ПО СТАНДАРТУ ASVS
Получите высокий статус безопасности вашей системы или сервиса, заказав у нас аудит, включающий глубокую проверку безопасности в режиме “белый ящик”, и сертификацию по стандарту верификации безопасности приложений OWASP ASVS.
В нашем лексиконе не существует слова “конкурент”, потому что мы предоставляем уникальные сервисы на вертикальных и горизонтальных рынках:

1
Горизонтальные рынки
Наши уникальные компетенции и опыт включают массу сервисов безопасности, востребованных в самых разных отраслях:

эффективные современные практики Security DevOps, стандарты безопасной разработки, услуги верификации безопасности программных продуктов и программы обучения безопасности приложений;
услуги аудита смарт-контрактов;
услуги тестирования персонала на подверженность социальной инженерии,и услуги Red Team;
мощная компетенция планирования реагирования на инциденты и проведение расследований нарушений безопасности.
2
Вертикальные рынки

Мы делимся нашими компетенциями не только путём оказания услуг аудита, внедрения и поддержки систем и инфраструктур, но и обучаем персонал международных ИТ-компаний и компаний по информационной безопасности. Одновременно мы продолжаем увеличивать наш опыт и развивать компетенции.



Кейсы для вашей отрасли
Внедрение центра безопасности (SOC) и системы управления событиями безопасности SIEM в банке
Анализ кода для мирового производителя бытовой и промышленной техники
Аудит безопасности промышленных информационных и операционных технологий для пивзавода
Внутренний пентест большого промышленного производства
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Аудит исходного кода международной платёжной системы
Хакерская атака на правительство восточно-европейской страны
Примите наш опыт и разделите с нами наш успех. Чтобы узнать больше о нас, наших сервисах, решениях и партнёрских предложениях, Нажмите здесь.

SaaS и продуктовые ИТ-компании

Software as a Service (программное обеспечение как услуга, SaaS) является ключевым фактором развития современных информационных технологий. Поэтому SaaS закономерно является главным фактором ИТ-рисков на планете.

Имея в нашем штате сильнейшие компетенции Security DevOps и опыт помощи десяткам SaaS-поставщиков, мы эффективно снижаем риски SaaS с помощью наших сервисов. Рассмотрите их и свяжитесь с нами.

Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Защита веб-сайтов
ЗАЩИТА ВЕБ-САЙТОВ
Устраните основные причины инцидентов безопасности – технические уязвимости и отсутствие мониторинга. Предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.
Внедрение облачной безопасности
ВНЕДРЕНИЕ ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Дополните облачные сервисы безопасности детальным аудитом этих сервисов в режиме “белый ящик”, анализом рисков, харденингом серверов, а также комплексом мер по обеспечению соответствия CIS, ISO 27001, GDPR, HIPAA, и других требований.
Безопасность продуктов и сервисов
БЕЗОПАСНОСТЬ ПРОДУКТОВ И СЕРВИСОВ
Получите полный анализ рисков, определите требования и меры безопасности, чтобы внедрить их для всех этапов жизненного цикла ваших продуктов. Познакомьтесь с нашими сервисами DevSecOps и Express SOC для SaaS.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Обучение безопасной разработке ПО
ОБУЧЕНИЕ БЕЗОПАСНОЙ РАЗРАБОТКЕ ПО
Повысьте вашу ценность за счёт получения современных системных знаний по безопасности приложений. Мы проводим воркшопы, лекции, семинары, тесты и консультации для менеджеров, архитекторов, разработчиков и тестировщиков.
По оценкам Gartner, главным фактором роста для всего ИТ-рынка является сегмент SaaS. Но вместе с растущей популярностью растет и количество репортуемых уязвимостей подобных служб и различных проблемах обеспечения защиты облачных сред от киберпреступников.

1
Внутренние угрозы.

2
Сложность архитектуры

3
Сложные требования соответствия

Наша задача — помогать обеспечивать и поддерживать безопасность разработчикам и поставщикам облачных решений, а также пользователям SaaS. Профессионалы H-X быстро и эффективно проведут аудит безопасности ваших приложений и инфраструктуры, а также проверят их соответствие стандартам и нормативным требованиям по безопасности. Если вы только задумываетесь о переносе вашего решения в облако, мы поможем вам с проектированием и миграцией, учитывая стандарты и лучшие практики кибербезопасности.

Кейсы для вашей отрасли
Анализ кода для мирового производителя бытовой и промышленной техники
Аудит исходного кода системы VoIP-телефонии
Пентест финансовой организации для соответствия требованиям PCI DSS
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Аудит исходного кода международной платёжной системы
Аудит исходного кода криптовалютной биржи
Пентест функционала криптовалютной биржи
Воспользуйтесь нашими бесплатными SaaS-решениями по оценке безопасности ваших веб-сайтов и всей организации. Нажмите здесь, чтобы обсудить специальные сервисы для защиты ваших SaaS-решений.

Телеком

Деньги — это кровь экономики, а телекоммуникации — это её нервная система. Сложная инфраструктура и огромные объемы конфиденциальных данных увеличивают риски телеком-провайдеров. Однако телеком-атакам подвержены не только провайдеры, но и любые предприятия, использующие цифровую телефонию, начиная от офисной мини-АТС.

Обладая обширным опытом в области безопасности телекоммуникаций, эксперты H-X предоставляют полный спектр услуг корпоративной ИТ-безопасности, начиная от аудита и оценки безопасности систем связи, и заканчивая предоставлением услуг Центра операций безопасности (SOC-as-a-Service), учитывающих специфику телекома. Узнайте больше о наших сервисах безопасности для телекоммуникаций и обсудите с нами ваши проблемы.

Защита телекоммуникаций
ЗАЩИТА ТЕЛЕКОММУНИКАЦИЙ
Оцените безопасность ваших телекоммуникаций с помощью аудита VoIP. Защитите ваши телеком-сервисы от атак TDoS, с помощью фильтрации звонков и IVR, а также путём внедрения отказоустойчивой телеком-платформы.
Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Оценка реагирования на инциденты
ОЦЕНКА РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ
Оцените готовность вашей компании к кибервойне с помощью учений Red Team. Как правило, «Красная команда» - это наши специалисты. Они будут осторожно атаковать ваши системы. Ваши специалисты будут защищать их.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Защита от DoS/DDoS
ЗАЩИТА ОТ DOS/DDOS
Предотвратите простой бизнеса, репутационные потери и финансовые убытки с помощью нашего комплексного подхода к защите от DoS/DDoS на базовом уровне и на уровне приложений, а также эффективного “боевого” тестирования на всех уровнях.
Внедрение и сертификация ISO 27001
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Разработка приложений
РАЗРАБОТКА ПРИЛОЖЕНИЙ
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Управляемое соответствие требованиям
УПРАВЛЯЕМОЕ СООТВЕТСТВИЕ ТРЕБОВАНИЯМ
Хотите не просто достичь соответствия ISO 27001, HIPAA, PCI DSS, SOC 2, GDPR и т. д., но и регулярно проходить подтверждающие сертификации? Мы поможем эффективно поддерживать и развивать ваши системы управления безопасностью.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Телеком-провайдеры и вендоры строят, управляют и поддерживают сложную сетевую инфраструктуру, используемую для передачи данных. Из решения передают и хранят огромные объемы конфиденциальных данных, которые всегда были большим соблазном для злоумышленников. Все это делает телеком-решения целью многочисленных кибератак.

Первые в мире хакеры взламывали именно телефонные системы. Казалось бы, телеком-индустрия должна была успеть защититься. Однако из-за повышения сложности телекоммуникационных технологий, в них появляется всё больше новых уязвимостей.

По данным PwC Global State of Information Security, инциденты ИТ-безопасности в
телекоммуникационном секторе выросли на 45% по сравнению с предыдущим годом. Перед провайдерами связи стала сложная задача — необходимость научиться противостоять разнообразным кибер угрозам:

SS7 and Diameter Signalling Threats
SIP Hacking
DNS Attacks
IoT Network Security
DDoS Attacks
Targeted Attacks
Unaddressed Software Vulnerabilities
The Impact of Service Misconfiguration
другие угрозы
Поставщикам и корпоративным службам связи нужно рассматривать безопасность как непрерывный процесс, который включает в себя прогнозирование угроз, а также их предотвращение, обнаружение, реагирование и расследование.

Кейсы для вашей отрасли
Аудит исходного кода системы VoIP-телефонии
Тест на проникновение в режимах «серый ящик» и «белый ящик» телеком-компании
Внутренний пентест большого промышленного производства
Нажмите здесь, чтобы обсудить с нами ваши опасения и задачи по безопасности телеком-решений.

Медицина и фарма

Тема медицины близка нам в H-X Technologies, потому что мы в своем роде являемся для систем и организаций. По аналогии с человеческим организмом и болезнями тела, мы диагностируем скрытые проблемы в организациях, показываем угрозы, определяем меры снижения рисков, помогаем их снижать и отслеживаем кибер-здоровье наших клиентов на постоянной основе. Свяжитесь с нами.

Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Внедрение и сертификация ISO 27001
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Разработка приложений
РАЗРАБОТКА ПРИЛОЖЕНИЙ
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Управляемое соответствие требованиям
УПРАВЛЯЕМОЕ СООТВЕТСТВИЕ ТРЕБОВАНИЯМ
Хотите не просто достичь соответствия ISO 27001, HIPAA, PCI DSS, SOC 2, GDPR и т. д., но и регулярно проходить подтверждающие сертификации? Мы поможем эффективно поддерживать и развивать ваши системы управления безопасностью.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Данные клиентов медицинских учреждений остаются актуальными и достоверными в течение многих лет и поэтому имеют высокую ценность для хакеров, особенно если это данные известных людей или знаменитостей.

Медучреждения сталкиваются со следующими угрозами кибер-безопасности:

Вредоносные программы
Утечки данных
DDoS атаки
Внутренние угрозы
Хакерские атаки
Социальная инженерия
Несоответствие стандартам безопасности
Специалисты H-X имеют многолетний опыт оценки и внедрения безопасности в медицинской и фармацевтической индустриях. Мы проводили техническую оценку безопасности медицинского программного обеспечения и компьютерных сетей, а также занимались внедрением HIPAA, HITECH, HITRUST, HL7, FHIR и других международных требований и стандартов ИТ и безопасности в медицине на корпоративном и отраслевом уровнях.

Кейсы для вашей отрасли
Внедрение ISO 27001 в компании-разработчике медицинского программного обеспечения
Внешний тест на проникновение национальной сети аптек
Анализ инфраструктуры предприятия розничной торговли
Нажмите здесь, и мы быстро поможем вам диагностировать, предотвращать и устранять ваши кибер-недуги, точно так же, как вы помогаете людям диагностировать, предотвращать и устранять физические патологии.

Банки и финтех

Банковский и финансовый секторы становятся все более и более привлекательным для злоумышленников. После участившихся в последнее время атак на финансовые учреждения и массового переноса банковских сервисов в онлайн в эпоху карантина, все больше экспертов сходятся во мнении, и это очевидно, что именно кибер-риски становятся ключевой угрозой финансовой стабильности банков и финансовых сервисов.

У нас большой опыт технического и комплаенс-аудита банковских и финансовых решений и ИТ-инфраструктур. Наши сервисы и решения помогут вам минимизировать кибер-риски и достичь соответствия международным и национальным банковским и финансовым стандартам безопасности, а также требованиям платёжных систем.

Аудит смарт-контрактов
АУДИТ СМАРТ-КОНТРАКТОВ
Оцените общую безопасность вашего смарт-контракта, чтобы сосредоточиться на его слабых сторонах и потенциальных уязвимостях. Мы построчно анализируем и проверяем спецификации смарт-контрактов и их исходный код.
Разработка смарт-контрактов
РАЗРАБОТКА СМАРТ-КОНТРАКТОВ
Свяжитесь с нами и получите консультацию о том, как начать использовать смарт-контракты в вашем бизнесе. Мы создадим архитектуру вашего смарт-контракта, разработаем его, интегрируем и проведём аудит безопасности.
Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Внедрение и сертификация ISO 27001
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Внедрение PCI DSS
ВНЕДРЕНИЕ PCI DSS
Предотвратите финансовые инциденты и штрафы, внедрив и поддерживая с нашей помощью требования Стандарта безопасности данных индустрии платежных карт (PCI DSS), который давно стал эталоном безопасности.
Виртуализация
ВИРТУАЛИЗАЦИЯ
Воспользуйтесь преимуществами облачных сервисов и локальной виртуализации для повышения производительности вашей инфраструктуры (серверов, рабочих станций, приложений и сетей), а также для снижения затрат на её поддержку.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Наиболее распространенными рисками для банков являются: хакерские атаки, социальная инженерия, мошенничество, несоответствие стандартам безопасности и DoS-атаки.

Кейсы для вашей отрасли
Внедрение центра безопасности (SOC) и системы управления событиями безопасности SIEM в банке
Пентест финансовой организации для соответствия требованиям PCI DSS
Аудит исходного кода международной платёжной системы
Аудит исходного кода криптовалютной биржи
Пентест функционала криптовалютной биржи
Нажмите здесь для получения коммерческого предложения.

Автомотив

Автомобиль перестал быть только средством передвижения. Теперь это компьютер на колёсах. Доверяя ему вашу жизнь, вы в значительной мере доверяете её бортовым компьютерам и их устойчивости к внешним атакам. Между тем, в автомобильной индустрии до сих пор остаётся масса проблем безопасности.
Будучи первым в Восточной Европе поставщиком услуг соответствия современному стандарту автомобильной безопасности TISAX, мы выполнили множество проектов его внедрения, и остаёмся лучшими в этой сфере. Мы эффективно решаем проблемы безопасности автомотив с помощью нижеперечисленных сервисов.

Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Внедрение и сертификация TISAX
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ TISAX
Выполните требования ваших партнёров в автопроме и получите новые возможности в автомобильной индустрии с помощью внедрения требований VDA ISA и сертификации ENX TISAX. Мы являемся лидерами в данной области.
Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Аудит SCADA и ОТ
АУДИТ SCADA И ОТ
Оцените защищенность критической инфраструктуры вашего производства. У нас международные сертификаты по промышленной информационной безопасности. Поможем вам с глубоким аудитом SCADA и ОТ, а также с промышленной автоматизацией.
Безопасность промышленных ИТ/ОТ
БЕЗОПАСНОСТЬ ПРОМЫШЛЕННЫХ ИТ/ОТ
Обеспечьте безопасность ваших систем SCADA и ОТ путём внедрения рекомендаций аудитов безопасности. Мы проектируем, разрабатываем, интегрируем и внедряем средства управления безопасностью, а также поддерживаем их и обучаем ваш персонал.
Безопасность продуктов и сервисов
БЕЗОПАСНОСТЬ ПРОДУКТОВ И СЕРВИСОВ
Получите полный анализ рисков, определите требования и меры безопасности, чтобы внедрить их для всех этапов жизненного цикла ваших продуктов. Познакомьтесь с нашими сервисами DevSecOps и Express SOC для SaaS.
Управляемое соответствие требованиям
УПРАВЛЯЕМОЕ СООТВЕТСТВИЕ ТРЕБОВАНИЯМ
Хотите не просто достичь соответствия ISO 27001, HIPAA, PCI DSS, SOC 2, GDPR и т. д., но и регулярно проходить подтверждающие сертификации? Мы поможем эффективно поддерживать и развивать ваши системы управления безопасностью.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Недавние исследования показали, что 30% организаций в автомобильной промышленности не имеют системы менеджмента информационной безопасности или команды по кибербезопасности, а 63% организаций тестируют менее половины разрабатываемого ими автомобильного ПО на предмет уязвимостей. Исследования и опросы показывают, что основными факторами, приводящих к уязвимостям, являются:

1
Разработка

2
Тестирование

3
Open source

4
Кадры

С точки зрения конкретных технических проблем, три области представляют наибольший риск для безопасности автомотива: технологии автономного вождения (или помощи водителю), телематика и радиочастотные технологии (например, Wi-Fi, Bluetooth).
Таким образом кибербезопасность становится новым измерением качества для автомобилей. Команда H-X, являясь лидером консалтинга по кибербезопасности в автомотиве, может стать вашим стратегическим партнером при решении комплексных проблем безопасности.

Кейсы для вашей отрасли
Анализ кода для мирового производителя бытовой и промышленной техники
Внутренний пентест большого промышленного производства
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Мы выполним оценку безопасности ваших продуктов, обучим ваш персонал безопасному поведению и безопасной разработке, а также поможем вам достичь соответствия стандартам безопасности и получить международные сертификаты безопасности.

Вы находитесь на расстоянии одной простой формы обратной связи от нового качества ваших проектов в автомотиве.

E-commerce

В эпоху карантина стабильность бизнеса всё больше зависит от Интернет-заказов. В любом случае, если вы хотите добиться успеха в бизнесе с помощью сети Интернет, кибер-безопасность для вас — критически важное требование. Один серьёзный сбой — и вы можете потерять доверие клиентов и даже весь бизнес, особенно если он небольшой.

Мы помогли десяткам интернет-магазинов, платёжных шлюзов и онлайн-сервисов защититься от внешних и внутренних угроз информационной безопасности. Рассмотрите наши сервисы обеспечения безопасности электронного бизнеса и обсудите с нами ваши задачи.

Тестирование на проникновение
ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ
Проверьте устойчивость ваших ИТ-систем, персонала или организации в целом методами этического хакинга. Мы эффективно оцениваем возможности несанкционированного доступа, прерывания сервисов и других инцидентов безопасности.
Аудит безопасности кода приложений
АУДИТ БЕЗОПАСНОСТИ КОДА ПРИЛОЖЕНИЙ
Устраните уязвимости вашего приложения ещё до того, как оно увидит мир. Мы найдём все небезопасные и недокументированные функции, логические бомбы и ловушки, черные ходы, уязвимости OWASP TOP-10 и т.д.
Аудит смарт-контрактов
АУДИТ СМАРТ-КОНТРАКТОВ
Оцените общую безопасность вашего смарт-контракта, чтобы сосредоточиться на его слабых сторонах и потенциальных уязвимостях. Мы построчно анализируем и проверяем спецификации смарт-контрактов и их исходный код.
Аудит конфигураций и оценка облачной безопасности
АУДИТ КОНФИГУРАЦИЙ И ОЦЕНКА ОБЛАЧНОЙ БЕЗОПАСНОСТИ
Убедитесь, что ваша система, облако или продукт полностью соответствуют современным требованиям безопасности. В ходе аудита мы анализируем аккаунты, сетевые конфигурации, шифрование данных, реагирование на инциденты и многое другое.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Безопасность продуктов и сервисов
БЕЗОПАСНОСТЬ ПРОДУКТОВ И СЕРВИСОВ
Получите полный анализ рисков, определите требования и меры безопасности, чтобы внедрить их для всех этапов жизненного цикла ваших продуктов. Познакомьтесь с нашими сервисами DevSecOps и Express SOC для SaaS.
Внедрение и сертификация SOC 2
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ SOC 2
Повысьте конкурентоспособность ваших сервисов и удовлетворите требования ваших клиентов путём сертификации SOC 2. Это распространённый фреймворк соответствия, необходимый сервисным ИТ-компаниям.
Внедрение GDPR
ВНЕДРЕНИЕ GDPR
Защитите себя от претензий со стороны субъектов персональных данных и высоких штрафов, воспользовавшись нашей услугой внедрения соответствия GDPR, так как этот документ предъявляет суровые требования к обработке персональных данных.
Разработка приложений
РАЗРАБОТКА ПРИЛОЖЕНИЙ
Закажите разработку программного обеспечения, связанного или не связанного с безопасностью, разработку индивидуальных систем безопасности или выполнение нетривиальных задач по автоматизации безопасных бизнес-процессов.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Защита веб-сайтов
ЗАЩИТА ВЕБ-САЙТОВ
Устраните основные причины инцидентов безопасности – технические уязвимости и отсутствие мониторинга. Предлагаем комплексное решение по защите ваших веб-активов, чтобы вы могли сфокусироваться на ваших бизнес-целях.
Угрозы безопасности электронной коммерции вызывают хаос в онлайн-торговле. Хакеры становятся все хитрее и изощреннее, автоматизируя свои процессы и масштабируя ресурсы. Преступники нацелены на администраторов, пользователей и сотрудников интернет-магазинов, используя множество вредоносных методов:

Financial frauds (Credit Card Fraud, Fake Return & Refund Fraud)
Phishing
Spamming
DoS & DDoS Attacks
Malware
Exploitation of Known Vulnerabilities (SQL, XSS, etc.)
Bots
Brute force
Man in the Middle
e-Skimming
Кейсы для вашей отрасли
Анализ кода для мирового производителя бытовой и промышленной техники
Аудит исходного кода системы VoIP-телефонии
Анализ инфраструктуры предприятия розничной торговли
Аудит исходного кода международной платёжной системы
Аудит исходного кода криптовалютной биржи
В Интернет-безопасности не существует “серебрянной пули” — единого программного решения, которое устранило бы все риски. Для эффективного снижения рисков необходима тщательная ручная проработка на всех участках бизнес-процессов, с использованием современных технологий безопасности.

Это означает, что вам нужна специальная команда, которая поможет вам минимизировать риски кибератак на всех этапах жизненного цикла ваших систем, а также будет постоянно информировать о проблемах безопасности и обеспечивать круглосуточную защиту ваших ресурсов.

Нанять такую команду проще, чем кажется. Достаточно нажать здесь.

Промышленность

Частота и сложность атак на SCADA, АСУ и OT увеличиваются с каждым годом.Тенденции проблем безопасности ещё печальнее. В отличие от безопасности систем в других отраслях, в промышленности и критической инфраструктуре нации цена вопроса пропущенных уязвимостей — это не просто утечки или прерывания бизнеса, а здоровье и жизни людей.

Обладая многолетним опытом разработки, внедрения и обеспечения безопасности SCADA, промышленных ИТ и ОТ, мы предлагаем лучший сервис на рынке. Обсудите с нами ваши опасения и проблемы.

Аудит SCADA и ОТ
АУДИТ SCADA И ОТ
Оцените защищенность критической инфраструктуры вашего производства. У нас международные сертификаты по промышленной информационной безопасности. Поможем вам с глубоким аудитом SCADA и ОТ, а также с промышленной автоматизацией.
Безопасность промышленных ИТ/ОТ
БЕЗОПАСНОСТЬ ПРОМЫШЛЕННЫХ ИТ/ОТ
Обеспечьте безопасность ваших систем SCADA и ОТ путём внедрения рекомендаций аудитов безопасности. Мы проектируем, разрабатываем, интегрируем и внедряем средства управления безопасностью, а также поддерживаем их и обучаем ваш персонал.
Обучение промышленной безопасности
ОБУЧЕНИЕ ПРОМЫШЛЕННОЙ БЕЗОПАСНОСТИ
Обеспечьте безопасность ваших систем SCADA и ОТ не только с помощью мер и систем безопасности, но и путём безопасного выполнения процессов и операций. Закажите комплексную программу обучения персонала требованиям безопасности.
Аудиты соответствия требованиям безопасности
АУДИТЫ СООТВЕТСТВИЯ ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ
Получите рыночные и конкурентные преимущества за счёт приведения вашей организации к официальному соответствию международным стандартам безопасности, таким как ISO 27001, PCI DSS, HIPAA, TISAX, GDPR, SOC 2 и другим.
Расследования инцидентов
РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ
Узнайте, кто, как и зачем проник в вашу систему. Мы выполняем подробное исследование, включающее анализ носителей и применяем методы на острие прогресса, такие как анализ ОЗУ, реестра, теневых томов, таймлайн-анализ и другие методы.
Харденинг серверов
ХАРДЕНИНГ СЕРВЕРОВ
Укрепите вашу ИТ-инфраструктуру путем уменьшения возможных путей для атак. Мы находим, настраиваем или удаляем лишний или опасный функционал, чтобы закрыть скрытые лазейки до того, как ими воспользуется противник.
Внедрение и сертификация ISO 27001
ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ ISO 27001
Освойте самую распространенную в мире структурную основу построения современных Систем Управления Информационной Безопасностью (СУИБ) - международный стандарт ISO 27001. Получите официальный сертификат соответствия ISO 27001.
Виртуализация
ВИРТУАЛИЗАЦИЯ
Воспользуйтесь преимуществами облачных сервисов и локальной виртуализации для повышения производительности вашей инфраструктуры (серверов, рабочих станций, приложений и сетей), а также для снижения затрат на её поддержку.
Эксперты по безопасности как сервис
ЭКСПЕРТЫ ПО БЕЗОПАСНОСТИ КАК СЕРВИС
Добавьте опыт кибербезопасности в ваши проекты, наняв нашего сертифицированного удаленного менеджера по информационной безопасности (Chief Information Security Officer, CISO) и/или специалистов по информационной безопасности.
Управляемое обнаружение угроз и реагирование
УПРАВЛЯЕМОЕ ОБНАРУЖЕНИЕ УГРОЗ И РЕАГИРОВАНИЕ
Закажите улучшенное обнаружение угроз, немедленное реагирование на инциденты и непрерывный мониторинг безопасности любых ИТ-активов: сетевых устройств, серверов, рабочих станций и отдельных приложений.
Программы осведомлённости
ПРОГРАММЫ ОСВЕДОМЛЁННОСТИ
Управляйте защитой от социальной инженерии, получайте практические навыки безопасности, улучшайте культуру безопасности и воспитывайте безопасное мышление. Закажите программу осведомлённости по безопасности.


Тенденции проблем безопасности

1
Растущая поверхность атак

2
Растущий интерес киберпреступников и спецслужб

3
Недооценка общего уровня угроз

4
Неправильное понимание угроз и неоптимальный выбор защиты

У любого инцидента безопасности всегда есть только две причины — угрозы (внешние факторы) и уязвимости (внутренние факторы). На угрозы сложно влиять. Всегда правильнее сосредоточиться на уязвимостях — внутренних проблемах, которые могут показаться мелкими, но в сочетании с угрозами приводят к крупному ущербу:

1
Нарушение разделения сред

2
Беспроводные устройства

3
Неправильное управление изменениями

4
Проблемы шин

5
Нестрогий режим доступа

6
Industry 4.0 / IIoT

Кейсы для вашей отрасли
Анализ кода для мирового производителя бытовой и промышленной техники
Аудит исходного кода системы VoIP-телефонии
Аудит безопасности промышленных информационных и операционных технологий для пивзавода
Внутренний пентест большого промышленного производства
Внедрение ISO 27001 и ENX TISAX® в компании, разрабатывающей автомобильные системы
Нажмите здесь для того, чтобы не попасть в печальную статистику атак на промышленные предприятия





Внедрение SIEM и SOC у вас

«Среднее время выявления вторжения — 206 дней. Средний жизненный цикл вторжения — 314 дней от нарушения до локализации» (на основе глобальных отчётов IBM)

Угрозы информационной безопасности растут с каждым годом, поэтому значение Центра Операций Безопасности (Security Operations Center, SOC) также растёт. SOC является нервным центром кибербезопасности. Это командный пункт защиты компании и контроля рисков безопасности. SOC может быть в вашем офисе или вне его. Может быть внутренним, совместно управляемым или полностью на аутсорсинге. Также SOC может эффективно функционировать в облачной среде. Но независимо от того, как сконфигурирован SOC, его основные функции остаются неизменными, а именно: отслеживать, обнаруживать и реагировать на проблемы и инциденты безопасности в режиме реального времени.

Миссия SOC — комплексное непрерывное управление рисками, уязвимостями, угрозами и инцидентами безопасности, в том числе, связанными с развитыми устойчивыми угрозами (APT) и скрытыми продолжительными инцидентами. Миссия включает в себя следующие пять упреждающих и реагирующих практических целей:

1. Предотвращение инцидентов безопасности.

2. Мониторинг, обнаружение и анализ потенциальных вторжений в режиме реального времени и на основе исторических данных из источников данных по безопасности.

3. Реагирование на подтвержденные инциденты путем координации ресурсов и своевременных, надлежащих контрмер.

4. Ситуационная осведомленность и отчетность о статусе безопасности, инцидентах и тенденциях злонамеренного поведения.

5. Проектирование и эксплуатация защиты компьютерных сетей.

Аудит SIEM и SOC

Наша команда профессионалов имеет опыт работы с проектами развертывания SOC разных размеров и сложности с различными сценариями применения. Мы можем помочь вам улучшить сценарии использования SIEM, включая безопасность, мошенничество, соблюдение нормативных требований, ИТ-операции, IoT/IIoT, промышленные данные, бизнес-аналитику, DevOps и другие.

Мы проконсультируем вас насчёт наиболее оптимальных решений, необходимых для вашего SOC. Мы проводим аудит, выбираем, планируем, внедряем и настраиваем SIEM; поддерживаем и сопровождаем SIEM, а также создаем новые правила корреляции.

Опции:

• Оценка и план модели зрелости

• Проектирование SIEM

• Настройка SIEM и сбора журналов

• Руководства, методики обучения, каталоги и сценарии использования

• Разработка KPI и аналитические модели

• Всесторонняя оценка продукта

• Разработка сценариев автоматизации

• Озеро данных, аналитика и машинное обучение

• Слияние аналитики угроз

Процесс внедрения SOC

Конфиденциальность. Мы подписываем cоглашение о неразглашении и обязуемся соблюдать конфиденциальность.

Совместная работа. Вы отвечаете на наши вопросы о условиях и инфраструктуре, чтобы помочь нам лучше определить ваши требования и ожидания. Где ваша ИТ-инфраструктура? Локально, в дата центре, в облаке или их сочетание? Где бы вы хотели разместить команду SOC? Это ваши сотрудники, наши или их комбинация? Какое соглашение об уровне обслуживания (SLA) SOC больше всего подходит для ваших нужд? Где бы вы хотели разместить основные системы SIEM: локально в вашем офисе, в облаке или в нашем дата-центре? Как только мы получим ваши ответы, мы назначаем проектную команду внедрения, налаживаем коммуникации, а также получаем начальный доступ и разрешения.

Обнаружение. Мы проводим анализ ваших активов: определяем все ваши объекты для мониторинга и готовим инвентарь активов. Затем мы описываем записи событий, а также процедуры реагирования на инциденты и поддержки. Вслед за этим, мы оцениваем возможности мониторинга в событиях в секунду (EPS). После этого мы анализируем все вводимые данные и разрабатываем техническое задание и план проекта.

Сделка. Мы отправляем вам подробное коммерческое предложение, включая план проекта внедрения на высоком уровне. Эти документы определяют все подробные условия и параметры проекта внедрения и сопровождения. После того, как вы принимаете наше предложение и утверждаете документы, мы подписываем договор на оказание услуг.

Внедрение. Мы разворачиваем систему SIEM, подключаем ваши активы, разрабатываем и внедряем правила и процедуры, обучаем ваш персонал и составляем отчет о внедрении.

Поддержка. Если выбрана эта опция, мы начинаем работу по обеспечению безопасности, включая, помимо прочего, мониторинг событий безопасности внутри и вне вашей ИТ-инфраструктуры, реагирование на инциденты безопасности и консультации с вашим персоналом. В зависимости от согласованного SLA, вы получаете поддержку нашей группы SOC уровня 1 круглосуточно без выходных или в рабочее время (8/5) и гарантированную доступность команд уровня 2 и уровня 3. См. также SOC как сервис.

Чем мы отличаемся

Наши особенности и уникальные преимущества:

1. Наша оценка, внедрение и оптимизация SOC основаны на современных научных исследованиях в области управления угрозами информационной безопасности.

2. Большой опыт работы с решениями от разных производителей.

3. Опыт оптимизации и масштабирования SOC/SIEM.

4. Высокая гибкость и компетентность в работе с SIEM-компонентами.

5. Комбинация защитных и наступательных методов безопасности, а также сочетание функций DevOps и инженерии безопасности.

Поэтому мы:

• проводим инвентаризацию активов, оцениваем и оптимизируем журналы событий, а также оцениваем количество событий и ваши регулярные затраты еще до подписания контрактов;

• проводим аудит любых устаревших или существующих возможностей SOC, эффективно находим недостатки, проводим рефакторинг кода, а также оптимизируем методы и процессы;

• проектируем и внедряем распределенные, масштабируемые и отказоустойчивые архитектуры SIEM;

• глубоко анализируем системы перед подключением их к SIEM: настраиваем необходимые элементы управления, уровни ведения журналов и оценки рисков, гибко определяем соответствующие способы сбора журналов событий (с агентом или без него);

• разрабатываем собственные правила парсинга для нестандартных приложений или приложений собственной разработки;

• имитируем реальные атаки и эксплуатации уязвимостей для моделирования глубокого анализа событий и минимизируем ложные срабатывания после внедрения;

• проводим сканирование уязвимостей современными методами;

• постоянно предоставляем вам услуги по отслеживанию репутации и безопасности вашей организации;

• развертываем автоматизированные средства обработки инцидентов;

• реализуем не только мониторинговые SOC, но и операционные SOC и управляющие SOC, чтобы лучше реагировать на потребности вашего бизнеса.

Таким образом, у нас есть полный набор технологий, процессов и кадров SOC для удовлетворения бизнес-потребностей бизнеса любого размера.

Познакомьтесь также с нашей услугой «SOC как сервис», не требующей от вас капитальных вложений, в отличие от внедрения SOC у вас.

Свяжитесь с нами сегодня, чтобы заказать аудит или внедрение SIEM или SOC, либо для получения консультации.




SOC как сервис

Обеспечение безопасности бизнеса — это комплекс мероприятий со множеством динамичных элементов. H-X объединяет все эти элементы за вас. Покупка услуги SOC — выгодная альтернатива запуску и содержанию вашего собственного SOC.

H-X предоставляет SOC как сервис на платформе FortiSIEM/Skout. Это управляемое решение, которое собирает, объединяет и нормализует данные журналов из сотен источников для анализа с использованием искусственного интеллекта, аналитической платформы, аналитики угроз, SIEM и круглосуточного центра управления безопасностью. Это решение выявляет угрозы, такие как, например, некорректные события входа в систему, скоординированные атаки, многофакторный обход и мошеннические агенты.

«Три столпа» нашего SOC

• Технологии: управление журналами событий, управление событиями безопасности, управление инцидентами, автоматизация управления безопасностью и реагирование, аналитика поведения пользователей и машинное обучение, поиск угроз и т.д.

• Процессы: технологические, бизнес, аналитические, операционные, коммуникационные и др.

• Люди: ИТ-специалисты и инженеры безопасности, аналитики безопасности, группа реагирования на инциденты и т. д.

Технологические возможности

• Платформы управления журналами событий

• Поведение пользователей и анализ сущностей

• Машинное обучение

• Координация и реагирование

• Цифровая криминалистика

• Распределенная облачная платформа с архитектурой высокой доступности и т. д.

В наши возможности входит мониторинг наиболее популярных серверных платформ, сетевых технологий, приложений, баз данных, платформ виртуализации, хранилищ, резервного копирования, облачных платформ и т.д.

Уровни SOC

1. Уровень 1 — аналитики оповещений непрерывно отслеживают очереди оповещений; сортируют оповещения безопасности; следят за исправностью датчиков безопасности и конечных точек; собирают данные и контекст, необходимые для начала работы Уровня 2.

2. Уровень 2 — специалисты по реагированию на инциденты проводят глубокий анализ инцидентов, сопоставляя данные из различных источников; определяют, была ли затронута критическая система или набор данных; консультируют по устранению проблем; обеспечивают поддержку новых аналитических методов обнаружения угроз.

3. Уровень 3 — эксперты в предметных областях и охотники за угрозами обладают глубокими знаниями в области сетей, конечных точек, анализа угроз, криминалистической экспертизы и декомпиляции вредоносных программ, а также проверяют функционирование конкретных приложений или базовой ИТ-инфраструктуры; действуют как «охотники за инцидентами», не дожидаясь их появления; активно участвуют в разработке, настройке и внедрении аналитики обнаружения угроз.



Мы разработаем для вас наиболее подходящий защитный механизм, соответствующий вашему конкретному профилю рисков.

Базовый сервис SOC

• Мониторинг, обнаружение и анализ потенциальных вторжений в режиме реального времени и на основе исторических тенденций источников данных по безопасности.

• Реагирование на подтвержденные инциденты посредством уведомлений об инцидентах безопасности (эскалации) с информацией об атаках, угрозах, уязвимостях, затронутых системах и рекомендациями о том, как уменьшить ущерб от инцидентов и уязвимостей.

• Участие в координации ресурсов и принятии своевременных и соответствующих контрмер для реагирования на инциденты.

• Уровень 1 (аналитики реагирования на угрозы), уровень 2 (инженеры реагирования на инциденты) и уровень 3 (эксперты в предметной области и охотники за угрозами).

• Технологии: FortiSIEM, Kubernetes, Graylog, Elasticsearch, Logstash, Kibana, syslog-ng, Ansible, Splunk и др.

Получите нашу помощь при внедрении вашего собственного SOC или SIEM.

Узнайте больше о наших бизнес-кейсах и заполните форму ниже, чтобы заказать консультацию или SOC как услугу.




Наши сертификаты:

(ISC)2
CISSP
Offensive Security
OSCP
ISACA
CISA
CISM
Microsoft
PECB
LPTP
Qualys
PECB
LPTP
BSI
LPTP
BSI