Case Studies
Gestão de Risco de Parceiros Estratégicos
Tipo de cliente: Farmacêutica / Biotecnologia com mais de 15.000 colaboradores e presença global
Desafio:
O Cliente detém um conjunto de parceiros estratégicos que providenciam soluções tecnológicas, principalmente em modelo de CaaS (Cloud as a Service) e o cliente tinha dificuldades em dispor de estrutura e conhecimento aprofundado para realizar de forma regular a avaliação da postura de Cibersegurança dos seus parceiros e dos potenciais riscos que daí podem advir.
Solução:
A Devoteam Cyber Trust apresentou um serviço ao cliente, composto por um processo que foi desenhado em conjunto com o cliente com base no qual, realiza de forma regular a avaliação de cada um dos parceiros indicados pelo cliente com o objetivo de proceder à identificação, caracterização e providenciar recomendações sobre os riscos identificados.
O processo de avaliação detém vários graus de profundidade que são definidos em concordância com a criticidade de cada um dos parceiros e da solução em si.
No âmbito do serviço, e por forma a tornar o serviço o mais eficaz e eficiente possível, a Devoteam Cyber Trust utiliza de forma combinada a solução IntegrityGRC que acelera o processo de estruturação, definição e levantamento dos riscos, bem como, através da utilização do módulo de Assessments e gestão de risco, providencia ao cliente um deliverable mais prático com base no qual é possível tomar ações e monitorizar a evolução do Roadmap de Implementação.
Impacto:
O cliente detém hoje um conhecimento aprofundado sobre os riscos que resultam de cada um dos seus parceiros e soluções, e através do seguimento e gestão destes deliverables tem resultado uma considerável redução do risco para a organização.
Através do serviço contratado o cliente acabou também por conseguir responder de forma estruturada a um requisito de conformidade que dispunha, no que diz respeito à gestão de riscos de terceiras partes.
Serviços Relacionados:
Adoção e certificação pela norma Standard ISO 27001
Tipo de cliente: Entidade Governamental Nacional
Desafio:
O cliente no âmbito do desenvolvimento das suas funções, detinha um requisito regulatório de adoção e implementação de um sistema de gestão de segurança da informação (SGSI ISO 27001), com a respetiva certificação por entidade acreditada.
O Cliente não detinha o conhecimento nem recursos suficientes para proceder à implementação.
Solução:
A Devoteam Cyber Trust disponibilizou um serviço composto pela realização de um projeto, com intervenção da sua equipa de consultoria, através da qual procedeu ao processo de implementação e apoio na certificação obtida pelo cliente.
Durante este projeto, que teve a duração de 9 meses, a Devoteam Cyber Trust aplicou o seu Roadmap de 5 passos, comprovado em inúmeros projetos, através do qual apoiou o cliente em todas as atividades, nomeadamente na estruturação dos processos e documentação, na implementação destes processos, definição e ação da análise de gestão de risco, operação, entre outras atividades críticas.
Todas as atividades realizadas foram suportadas pela plataforma IntegrityGRC da Devoteam Cyber Trust, que detém uma eficácia comprovada superior a 40% aquando da sua implementação, atendendo às funcionalidades disponibilizadas pela plataforma que suporta integralmente todas as atividades-chave da implementação de determinado standard ou regulação, desde as componentes documentais e garantindo a sua ligação com a componente operacional.
Impacto:
O Cliente conseguiu incrementar de forma muito acentuada a sua maturidade e prática de gestão de Segurança da Informação através da adoção da norma ISO 27001, e conseguiu corresponder ao seu objetivo de certificação ISO 27001 no tempo definido, através do serviço de implementação da Devoteam Cyber Trust.
Serviços Relacionados:
Serviço de Testes de Segurança Persistentes
Tipo de cliente: Entidade Financeira com mais de 35.000 colaboradores e com presença global
Desafio:
O Cliente detém um conjunto muito considerável de aplicações de negócio, com dados muito sensíveis e de suporte a transações financeiras, e com uma elevada dinâmica de atualizações.
O Cliente sentia que o modelo de teste tradicional não conseguia acompanhar a dinâmica dos seus requisitos de negócio, bem como sentia pouca agilidade no processo de reporting e gestão dos resultados das suas ações de testes de intrusão.
Solução:
Os requisitos deste cliente tiveram correspondência imediata com o serviço de Testes Persistentes KEEP-IT-SECURE-24 que a Devoteam Cyber Trust lançou em 2013.
Através deste serviço o cliente dispõe de Testes de Intrusão Persistentes, integrados no seu ciclo de gestão de alterações e com testes manuais em profundidade realizados pela equipa certificada da Devoteam Cyber Trust.
Com o deliverable deste serviço, o cliente dispõe de acesso ao portal de serviço onde pode efetuar a gestão do ciclo de vida das suas vulnerabilidades, garantir a interação entre as equipas de resolução e a equipa de testes da Devoteam Cyber Trust, geração dinâmica dos relatórios e suporte durante a resolução efetiva das vulnerabilidades.
Impacto:
O cliente conseguiu através do KEEP-IT-SECURE-24 obter um serviço com um custo muito eficiente em comparação ao serviço que detinha anteriormente, com efetivo cumprimento dos seus objetivos.
O serviço acabou por ajudar o cliente a mitigar um número superior a 60% de vulnerabilidades face ao que detinha como histórico, e com um tempo de resolução em alguns casos reduzido a menos de metade do registado anteriormente.
Serviços Relacionados:
Hackear uma Smart Camera: Exposições e Vulnerabilidades
Tipo de cliente: O cliente é uma empresa líder em análise de desempenho e opera numa geografia global
Desafio:
Como líder da indústria, o nosso cliente esforça-se por introduzir as mais recentes tecnologias no seu mercado, de forma a obter dados perspicazes a partir do streaming de vídeo em tempo real da câmara. O processo utilizado para capturar vídeos e executar análises baseia-se na distribuição geográfica das câmaras que, por vezes, podem não estar ligadas a ambientes de confiança e que terão de se ligar de forma segura à infraestrutura do nosso cliente.
O nosso cliente pediu-nos para submetermos o seu produto estrela, uma Smart Camera, a testes de segurança profundos.
Solução:
Os requisitos apresentados pelo nosso cliente foram abordados por um projeto Pentest considerando múltiplos vetores de ameaça. A abordagem incluiu os seguintes cenários:
• O acesso físico à câmara foi considerado uma vez que as câmaras são colocadas muitas vezes em áreas inseguras, e um potencial intruso pode aceder-lhes para recolher conhecimento ou comprometer o sistema;
• O acesso à rede com fios e sem fios à câmara foi considerado como um vetor válido, uma vez que as câmaras são normalmente colocadas em redes não seguras que podem ser acedidas por potenciais atacantes;
• Os endpoints da API diretamente consumidos pela câmara na nossa infraestrutura de clientes também foram analisados.
A abordagem englobava os seguintes passos:
• 1º passo – pesquisar a solução e compreender o papel de cada bloco;
• 2º passo – faça um exercício de modelação de ameaças e decida quais os vetores a analisar primeiro (rede, hardware, aplicação);
• 3º planeamento e execução.
Algumas das técnicas utilizadas:
• Pesquisar o hardware para entender os chips e fornecedores usados;
• Subverter o boot utilizando a ligação em série;
• Testes e conexão wi-fi (aplicação móvel - ativação da câmara);
• Retirar o disco SSD M2 da câmara para ler a informação;
• Intercetar comunicações a partir das portas Ethernet;
• Testar serviços expostos da câmara;
• Sistema operativo boot (alternativa) através da ranhura do Micro SD-Card;
• Instalação da Autoridade de Certificados (CA) no sistema operativo da câmara para executar o MiTM.
O projeto Pentest permitiu a descoberta de múltiplas vulnerabilidades importantes que foram prontamente resolvidas pelo cliente, reduzindo o risco para a organização e utilizadores da solução. As descobertas vão desde a capacidade de um intruso aceder a imagens de vídeo, acedendo ao armazenamento interno da câmara, à capacidade de comprometer a câmara e intercetar comunicações e também a capacidade de comprometer o backend de análise da infraestrutura do nosso cliente.
Impacto:
O Pentest Project ajudou o cliente a compreender os riscos que a solução colocava e permitiu a resolução de vulnerabilidades, impedindo-as de serem utilizadas por atacantes para impactar a organização ou utilizadores da solução do nosso cliente.
Confrontado com os resultados detalhados à sua solução, o cliente percebeu o valor de ter várias outras suas soluções a ser continuamente analisadas e integradas no Serviço KEEP-IT-SECURE-24.
Serviços Relacionados:
Serviço Red Team
Tipo de cliente: Banca com mais de 20.000 colaboradores e presença global
Desafio:
O cliente procurou melhorar a sua postura de segurança e os seus protocolos de resposta para melhor se defender contra as ameaças cibernéticas, tais como ataques direcionados ou ransomware. O seu objetivo era identificar pontos fracos nos seus sistemas e processos.
Solução:
Forneceu-se um serviço de Red Team que cobria diferentes táticas, técnicas e procedimentos (TTPs), emulando ataques direcionados e ransomware. Durante o exercício, a nossa equipa realizou várias atividades para recolha de informações sobre a superfície de ataque exposta do cliente.
Foram desencadeadas ações de intrusão a partir do exterior utilizando engenharia social e exploração técnica de vulnerabilidades, culminando o exercício com persistência e exfiltração de dados.
Após a execução do exercício, forneceu-se uma descrição detalhada das ações realizadas, dos caminhos de ataque utilizados e das vulnerabilidades exploradas para que o cliente pudesse analisar e melhorar a postura geral, incluindo os processos de deteção e resposta.
Durante o processo, trabalhámos com a equipa SOC/Blue Team do cliente para ajudar a identificar pontos cegos e avaliar as melhorias implementadas após o exercício.
Impacto:
O cliente agora tem uma compreensão melhor da superfície de ataque exposta, das fraquezas na infraestrutura tecnológica e nos processos que a suportam. Pelo facto de o exercício ter sido efetuado sem o conhecimento geral da organização, o cliente teve oportunidade de avaliar de forma realista a performance do seu SOC e implementar medidas que levaram à melhoria da resiliência a ciberataques, reduzindo consideravelmente o risco para a organização.
