01
Assumption of Breach
Pracujeme s předpokladem, že prevence dříve či později selže. Naši hunteři proaktivně procházejí vaše prostředí a hledají lateral movement, persistenci a defense evasion techniky.
Podpora vašeho SOC na úrovni Tier-3, threat hunting, incident response a CTI. Pracujeme s předpokladem narušení a jdeme po útočníkovi, který už je uvnitř.
Nečekáme na alerty. Threat hunting vedeme podle hypotéz a jdeme po technikách, které detekce zatím nepokrývá.
Pracujeme s předpokladem, že prevence dříve či později selže. Naši hunteři proaktivně procházejí vaše prostředí a hledají lateral movement, persistenci a defense evasion techniky.
Na zasažených systémech děláme host forenziku a timeline analýzu. Případ zavíráme až ve chvíli, kdy eradikaci potvrdí důkazy.
Intelligence profiltrujeme na váš sektor a váš technologický stack, teprve pak vám ji posíláme. Do schránky vám tak přijde kampaň, která na vás reálně dosáhne.
Nad vaším interním týmem stojíme jako Tier-3 eskalace. Děláme adversary emulaci proti vašim detekcím a s vašimi analytiky procházíme, co z ní vyleze.
Od huntingu podle hypotéz až po incident response a forenzní vyšetřování
Přímé odpovědi na to, na co se nás ptáte nejčastěji.
Threat hunting je cílené hledání útočníka, který obešel detekci, vedené hypotézou místo alertu. Analytik si vezme konkrétní techniku z rámce MITRE ATT&CK, například T1021.001 pro RDP, sestaví dotaz nad telemetrií za 30 až 90 dní zpět a ověří, zda se takové chování v prostředí objevilo. Užitečný hunt skončí jedním ze dvou způsobů: potvrzenou kompromitací, nebo novou detekcí nasazenou do produkce. To je zároveň jediný rozumný způsob, jak změřit, jestli se hunting vyplácí. Bez hlubokého logu není možný vůbec, proto držíme logy 18 měsíců. Katalog technik je veřejný na attack.mitre.org.
DFIR (Digital Forensics and Incident Response) spojuje forenzní analýzu s řízenou reakcí na incident. Forenzní část zajišťuje důkazy tak, aby obstály, tedy paměťové a diskové obrazy a logy s ověřenou integritou. Reakční část na základě těchto zjištění zastaví útok a obnoví provoz. Pořadí je podstatné: ukvapený restart serveru zničí obsah paměti a s ním i důkaz o tom, kudy útočník přišel. Metodicky vycházíme z NIST SP 800-61, příručky pro zvládání incidentů. Pokrýváme IT i OT prostředí; forenzika ICS a SCADA je samostatná disciplína a my v ní pracujeme.
Cyber threat intelligence (CTI) je zpracovaná informace o útočnících, jejich technikách a infrastruktuře, převedená do podoby, se kterou obrana umí pracovat. Rozlišují se tři úrovně: strategická pro vedení, operační pro plánování detekce a taktická v podobě indikátorů kompromitace, které jdou rovnou do SIEM. Od syrového feedu se intelligence liší tím, že odpovídá na otázku, co s tím dnes udělat: kterou techniku detekovat dřív, které CVE patchovat dřív. Bez CTI se prioritizace řídí datem zveřejnění a skóre CVSS, což se s realitou vašeho sektoru míjí. Evropský obraz publikuje agentura ENISA každoročně ve zprávě Threat Landscape.
Ano. Retainer garantuje dostupnost týmu a smluvní rámec podepsaný předem, takže v krizi řešíte technický postup a ne nákupní proces. Nečerpané hodiny jsou rolovatelné na hardening, tabletop cvičení nebo threat hunting.
Jako jeden jazyk pro detekci, hunting i incident reporting: tvorba hypotéz pro hunting, mapování detekčního pokrytí do heatmapy technik, popis chování útočníka v reportu. Pokrytí je tak měřitelné, srovnatelné v čase a auditovatelné.
Přiveďte na svá nejkritičtější aktiva senior DFIR a threat hunting tým. Dostanete hunty podle hypotéz, pokrytí MITRE ATT&CK a písemný executive report.
Jeden provozní model napříč všemi disciplínami. Podívejte se, jak do sebe zapadá zbytek portfolia Kybit.
Nepřetržitě hlídáme vaše systémy a útok zastavíme dřív, než z něj bude výpadek nebo únik dat. Podklady pro audit NIS2, DORA i ZoKB dostanete hotové, rovnou k předání auditorovi.
Zero Trust segmentace, IAM nad Keycloakem, EntraID nebo AD a PKI, která běží v produkci. Mapováno na NIST CSF, ISO 27001 a SABSA.
Navrhujeme a stavíme moderní IT infrastrukturu. Manuální konfigurace nahrazujeme plnou automatizací přes Infrastructure as Code (Terraform, Ansible).
Nasazujeme a ladíme SIEM, XDR a SOAR. Detekční obsah jde do produkce jako kód, mapovaný na MITRE ATT&CK a kvartálně revidovaný.
Zranitelnosti najdeme dřív než útočník. Odhalujeme slabiny přes cílené penetrační testování, kontinuální vulnerability management a bezpečnostní audity.
Chybí vám kapacity? Začleníme naše certifikované inženýry a architekty přímo do vašeho interního týmu pro strategické projekty.