Penetratietest in Salt Lake City, Utah
Een penetratietest in Salt Lake City moet een economie volgen die zich over de hele Wasatch Front uitstrekt: de software- en SaaS-bedrijven van Lehi, Draper en de Silicon Slopes-corridor, de industrial banks en kaartuitgevers die in het centrum van de stad zijn gecharterd, de ziekenhuisgroepen en health-techleveranciers in de Salt Lake Valley, de lucht- en ruimtevaart- en defensieleveranciers rond Hill Air Force Base en Ogden, de fulfilment- en direct-to-consumer-merken in de vallei, en de hyperscale- en overheidsdatacenters in het zuiden en westen. HackersHub richt elke opdracht voor Nederlandse en Europese organisaties met een vestiging in Utah in op de aanvallen die deze organisaties realistisch gezien te wachten staan, en schrijft het rapport tegen het bewijs waar de wetgeving van Utah, federale banktoezichthouders, CMMC-assessors en zakelijke klanten om vragen.
Premium, handmatige penetratietests rond 40% onder vergelijkbare Amerikaanse aanbieders.
Waar aanvallers zich langs de Wasatch Front op richten
Het risicoprofiel van Utah wordt bepaald door drie factoren die zelden samen in één regio voorkomen. Ten eerste een dichte softwaresector: de Silicon Slopes-bedrijven tussen Salt Lake City en Provo verkopen aan zakelijke afnemers die SOC 2-rapporten en pentestverklaringen eisen, waardoor hun multi-tenant applicaties, single-sign-on-koppelingen en cloud control planes de systemen zijn die een aanvaller als eerste aftast. Ten tweede financiën: Utah chartert meer industrial banks dan welke andere staat ook, en veel van deze instellingen geven kaarten uit, financieren leenprogramma's van fintechs of beheren deposito's voor commerciële moederbedrijven. Daarmee vallen ze onder toezicht van het Utah Department of Financial Institutions en de FDIC, terwijl hun technologie vaak in de cloud van het moederbedrijf draait. In dat gedeelde eigenaarschap schuilen de gaten in toegangsbeheer. Ten derde defensie: Hill Air Force Base, thuisbasis van het Ogden Air Logistics Complex, onderhoudt frontlinievliegtuigen en de ICBM-vloot, en de machinewerkplaatsen, ingenieursbureaus en softwareleveranciers die de basis ondersteunen beschikken over controlled unclassified information waar staatsgelieerde actoren actief naar zoeken. Rond die drie pijlers liggen grote ziekenhuisgroepen en de onderzoeksnetwerken van de University of Utah, e-commercebedrijven met drukbezochte checkout- en magazijnsystemen, en datacentercampussen in Eagle Mountain, West Jordan en Bluffdale. Typische zwakke plekken in zulke omgevingen zijn API-endpoints die de client laten bepalen waar tenantgrenzen liggen, koppelingen met partnerbanken op basis van langlevende credentials, CUI die buiten de gedocumenteerde enclave op gedeelde schijven staat, platte magazijn- en klinische netwerken, en cloud-identiteitsrollen die tijdens een lancering zijn toegekend en daarna nooit herzien. Een goede penetratietest in Salt Lake City vertrekt daarom vanuit die sectorcontext en niet vanuit een generieke checklist.
Pentest nodig in Salt Lake City?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we testen in Salt Lake City en Utah
Elke sector langs de Wasatch Front heeft een eigen aanvalsoppervlak en een eigen publiek voor het rapport.
SaaS & B2B-software (Silicon Slopes)
Productbedrijven en scale-ups in Lehi, Draper, American Fork, Provo en het centrum van Salt Lake City. Handmatige webapplicatie- en API-testing gericht op tenantisolatie, autorisatielogica, SSO- en SCIM-koppelingen, en configuratiereview van AWS, Azure of GCP. Bevindingen worden gemapt op de SOC 2 Trust Services Criteria en geleverd met een attestatiebrief die inkoop- en security-questionnaireteams met klanten kunnen delen.
Industrial banks, kaartuitgevers & fintech
In Utah gecharterde industrial banks, de fintech- en leenplatforms die met hen samenwerken, payment processors en deelnemers aan de regulatory sandbox van de staat. Interne en externe netwerktesting, segmentatie van kaart- en betaalomgevingen, API-testing van bankpartnerprogramma's en review van privileged access. Rapportage ondersteunt de Interagency Guidelines Establishing Information Security Standards onder GLBA, de verwachtingen bij FFIEC-onderzoeken en PCI DSS v4.0.1 Requirement 11.4.
Zorggroepen & health tech
Ziekenhuisnetwerken, academische medische en onderzoekscentra, en leveranciers van revenue-cycle- en telehealthoplossingen in de Intermountain West. Segmentatietesting van klinische netwerken en medische apparatuur, webapplicaties rond het EPD, identity-led interne assessments en bewijs voor de evaluatie onder de HIPAA Security Rule (45 CFR 164.308(a)(8)). Meer over scoping op /nl/insights/hipaa-pentest/.
Defensie- & luchtvaartketen (Hill AFB, Ogden)
Locaties van hoofdaannemers en de onderaannemers in Ogden, Layton, Clearfield en Roy die het onderhoud van vliegtuigen en raketten ondersteunen. Testing van CUI-enclavegrenzen, validatie van NIST SP 800-171-maatregelen, red team operaties gescoped op werkwijzen van staatsactoren en CUI-veilige verwerking van al het bewijs. Lees /nl/insights/cmmc-pentest/ over hoe de doelstellingen van CMMC Level 2 zich vertalen naar een scope.
E-commerce, direct selling & fulfilment
Onlinewinkels, direct-to-consumer- en direct-sellingmerken en de distributiecentra die voor hen verzenden in de Salt Lake Valley. Testing van checkout, account takeover en bedrijfslogica, integriteit van scripts op betaalpagina's conform PCI DSS v4.0.1 Requirements 6.4.3 en 11.6.1, en segmentatie tussen magazijnsystemen en de kantoor-IT.
Datacenters, hosting & cloudinfrastructuur
Colocatieaanbieders, managed-hostingbedrijven en enterprise-datacenterexploitanten in de vallei en de zuidwestelijke corridor. Testing van beheer- en out-of-band-netwerken, grenzen met gebouwbeheer- en stroomsystemen, klantportalen en fysieke toegangsbeveiliging, zo gescoped dat productietenants nooit risico lopen.
Hoger onderwijs, staatsinstanties & lokale overheid
Universiteiten en onderzoeksinstellingen, departementen van de staat Utah, counties en gemeentelijke systemen langs de Wasatch Front. Reviews van externe blootstelling, interne testing op ransomware-weerbaarheid, segmentatie van onderzoeksnetwerken en bevindingen geformuleerd voor een schriftelijk programma waarop de Utah Cybersecurity Affirmative Defense Act en het beleid van de instantie kunnen steunen.
Kaders van Utah en de federale overheid waarvoor we rapporteren
Utah geeft organisaties een ongebruikelijk directe reden om hun beveiligingswerk vast te leggen: een erkend, schriftelijk cybersecurityprogramma kan bij rechtszaken na een datalek als affirmative defense dienen. Onze penetratietests voor organisaties in Salt Lake City zijn ingericht om dat programma en de audits eromheen te voeden. Elke opdracht levert een executive summary, een technisch rapport met reproduceerbare proof-of-concept, een mappingtabel per kader, een remediation tracker en een attestatiebrief op.
- Utah Cybersecurity Affirmative Defense Act (Utah Code 78B-4-701 e.v.), affirmative defense voor organisaties met een schriftelijk programma dat redelijkerwijs aansluit op een erkend kader zoals NIST CSF, NIST SP 800-171, NIST SP 800-53, ISO/IEC 27001 of de CIS Controls
- Utah Consumer Privacy Act (Utah Code 13-61), van kracht sinds 31 december 2023, met de eis van redelijke administratieve, technische en fysieke beveiligingsmaatregelen, gehandhaafd door de Utah Attorney General
- Utah Protection of Personal Information Act (Utah Code 13-44): redelijke procedures ter bescherming van persoonsgegevens en meldplicht aan getroffen inwoners, met melding aan de Attorney General en het Utah Cyber Center wanneer 500 of meer inwoners van Utah getroffen zijn
- GLBA en de Interagency Guidelines Establishing Information Security Standards, verwachtingen van de FDIC en richtlijnen uit het FFIEC IT Examination Handbook voor Utah industrial banks
- CMMC 2.0 Level 2 (NIST SP 800-171), waaronder CA.L2-3.12.1 periodieke security assessment, en DFARS 252.204-7012 voor toeleveranciers van Hill AFB
- HIPAA Security Rule 45 CFR 164.308(a)(8) technische evaluatie
- PCI DSS v4.0.1 Requirements 11.4 (penetration testing), 6.4.3 en 11.6.1 (integriteit van betaalpagina's)
- SOC 2 Trust Services Criteria CC4.1, CC7.1 en CC7.4
- ISO/IEC 27001:2022 Annex A 8.8 en 8.29
- NIST SP 800-115 technical security testing
Diensten geleverd voor opdrachten in Salt Lake City
De volledige dienstencatalogus van HackersHub, gescoped op de wetgeving, toezichthouders en klantaudits in Utah.
Zie ook:Penetratietest in DenverPenetratietest in PhoenixPenetratietest in ArizonaPenetratietest in Las VegasPenetratietest in San FranciscoPenetratietest in SeattlePenetratietest in CaliforniëPenetratietest in Verenigde Staten
Zo verloopt een penetratietest in Salt Lake City
- 01
Scopinggesprek
Doelen, systemen en vereist bewijs, dan een schriftelijk voorstel.
- 02
Rules of engagement
Vensters, uitsluitingen en noodstop vooraf goedgekeurd.
- 03
Handmatig testen
Gecertificeerde testers koppelen bevindingen handmatig, zoals een aanvaller.
- 04
Rapport en debrief
Managementsamenvatting, CVSS-gescoorde bevindingen, remediatiesessie.
Voor SaaS-, fintech- en industrial-bankklanten in Salt Lake City en Silicon Slopes stemt de scoping het rapport ook af op uw SOC 2-periode en het schriftelijke programma waarop de Utah Affirmative Defense Act steunt.
Wat de scope van een test bepaalt
| Factor | Waar we naar kijken |
|---|---|
| Aanvalsoppervlak | Netwerken, applicaties, API's en cloudtenants binnen scope. |
| Diepgang | Ongeauthenticeerd, of over gebruikersrollen heen. |
| Bewijs | Voor welk framework of welke klant het rapport is. |
| Klant- en auditbewijs | SOC 2- of PCI DSS-auditperiodes, due diligence van bankpartners, programmabewijs voor de Utah Affirmative Defense Act en CMMC, waar van toepassing. |
Waarom teams langs de Wasatch Front met HackersHub werken
HackersHub is een pentestbedrijf dat in Amsterdam is opgericht en daar zijn hoofdkantoor heeft, en daar zijn we open over: er is geen kantoor in Utah of elders in de VS. Applicatie-, API-, cloud- en externe pentests worden remote vanuit Nederland geleverd, wat goed past bij de cloud-native softwarebedrijven van de Silicon Slopes. Interne netwerk-, Active Directory-, draadloze, OT- en fysieke opdrachten worden on-site uitgevoerd in Salt Lake City, Lehi, Provo, Ogden of waar de systemen ook staan, door testers die voor het afgesproken venster afreizen. Calls vinden plaats op Amerikaanse Mountain Time. Michael van Mameren (OSCP) leidt de uitvoering, OSCP is het minimum voor elke tester en er zitten OSWE- en CREST-houders in het team. Rapporten zijn zo geschreven dat hetzelfde document naar een SOC 2-auditor, een FDIC-toezichthouder, een C3PAO of een advocaat die een affirmative defense voorbereidt kan, en een hertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen. Europese software- en bankgroepen met een dochter in Utah kunnen het rapport in het Engels en het Nederlands ontvangen.
Door efficiënte levering vanuit Europa ligt een HackersHub-opdracht doorgaans rond 40% onder wat vergelijkbare Amerikaanse aanbieders voor dezelfde scope rekenen, met dezelfde handmatige diepgang, OSCP-gecertificeerde testers en hetzelfde rapport. Elke opdracht wordt afzonderlijk gescoped en geoffreerd.
Veelgestelde vragen: Salt Lake City
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.