AUTONOM
Autonomes Pentesting · Anwendungen & Netzwerke

Vordask

Ein KI-System, das den Pentest selbst durchführt — Webanwendungen, interne Netze, Active Directory, WLAN.
Jedes Finding wird nachgestellt, bevor es im Bericht steht. Berichtet wird nach BSI-Methodik.
Die Modelle laufen lokal. Kein Cloud-Dienst sieht Ihre Daten.

// Die Box: in Entwicklung · Pentests: ab sofort buchbar
// Pentest anfragen Was geprüft wird
0
Cloud-KI im Test
100%
Lokale Modelle
BSI
Berichtsstandard
1:1
Jedes Finding nachgestellt
Stand

Heute buchbar.
Bald im Rack.

Ab sofort · der Pentest
  • Webanwendungen, interne Netze, Perimeter, Active Directory, WLAN.
  • Vordask testet autonom. Ich prüfe und verantworte jedes Ergebnis.
  • Bericht als IS-Penetrationstestbericht nach BSI.
  • Modelle laufen lokal — kein Cloud-KI-Dienst bekommt Ihre Daten zu sehen.
In Entwicklung · die Box
  • Dieselbe Software als Gerät in Ihrem Rack.
  • Testen, so oft Sie wollen — ohne dass etwas Ihr Netz verlässt.
  • Auch dort, wo es gar keinen Weg nach draußen gibt.
  • Die Lizenz bleibt bei Ihnen.
  • Wer einen Pentest bucht, bekommt sie zu Vorzugskonditionen.

Beides hängt zusammen. Die Box ist das Ziel, der Pentest der Weg dorthin. Wer heute bucht, bekommt einen vollwertigen Test — und bestimmt mit, worauf die Box zuerst laufen muss.

Was es findet

Gebaut für das, woran
Scanner vorbeilaufen.

01
Logikfehler
Schritte, die einzeln erlaubt sind und zusammen etwas ergeben, das niemand wollte.
02
Fremde Daten
Wer Daten sieht, die ihm nicht gehören — über Benutzer, Rollen und Kunden hinweg.
03
Wege durchs Netz
Was von innen erreichbar ist und wie weit ein übernommenes Konto kommt.
04
Bewiesen, nicht vermutet
Was sich nicht nachstellen lässt, steht nicht im Bericht.
Erstes Ergebnis

Zwei Lücken.
Beide bewiesen.

Ein Analytics-Dashboard mit zwei versteckten Schwachstellen, hinter einem Login, auf einem eigenen Gerät im Netz. Vordask hat beide selbst gefunden.

Einmal Codeausführung über ein Formelfeld — gespeichert in einem Request, ausgeführt erst beim Rendern. Und einmal Zugriff auf die Daten eines anderen Mandanten. Beides Logik, kein bekanntes Muster.

Write-up folgt.

// MetricFlow — Analytics-Dashboard, separater Host, gleiches LAN
Zuganghinter einem Login
 
[01] RCE — gespeicherte Formel
   Klasseeval injection · CWE-94
   Kettegespeichert, dann beim Rendern
   StatusExploit erfolgreich
 
[02] IDOR — /users/:id
   Klassebroken object-level auth · CWE-639
   Statusfremde Mandantendaten erreicht
 
Cloud-Dienste im Testkeine
// Write-up folgt
Warum jetzt

Der Anlass wechselt.
Die Pflicht bleibt.

NIS2, DORA, DSGVO, ein Kundenfragebogen oder ein Release, das Berechtigungen geändert hat. Was alle verlangen: regelmäßig prüfen und es belegen können.

// Was der Bericht abdeckt
Anfrage

Sehen Sie, was
sie übersehen.

Sagen Sie kurz, was geprüft werden soll. Antwort kommt so oder so.

// Pentest anfragen