Penetratietest in St. Louis, MO
De regio St. Louis is een hoofdkantorenstad voor gereguleerde sectoren: BJC HealthCare, SSM Health, Mercy en Ascension in de zorg, Centene in managed care, Edward Jones, Stifel en Wells Fargo Advisors in vermogensbeheer, de nieuwe westelijke campus van de National Geospatial-Intelligence Agency en de defensieactiviteiten van Boeing in de nationale veiligheid, het gewasbeschermingsonderzoek van Bayer en het Danforth Plant Science Center in agri-biotech, en World Wide Technology, Emerson en Enterprise Mobility in enterprise-technologie en operaties. HackersHub voert offensieve securityopdrachten uit die zijn afgestemd op het dreigingsmodel van deze organisaties: ransomware tegen zorgsystemen, accountovername en fraude tegen beleggingsklanten, statelijke spionage gericht op geospatial-, defensie- en landbouwonderzoek, en het bewijs dat HIPAA, SEC Regulation S-P, CMMC en de wetgeving van Missouri en Illinois tegenwoordig vereisen.
Het dreigingslandschap van St. Louis en Missouri
In St. Louis staat het hoofdkantoor van een van de zorgsystemen die in de recente Amerikaanse geschiedenis het zwaarst door ransomware zijn getroffen. In mei 2024 ontdekte Ascension, het in St. Louis gevestigde katholieke zorgsysteem, een ransomware-aanval die elektronische patiëntdossiers, patiëntportalen en telefoonsystemen in zijn ziekenhuizen wekenlang platlegde; zorgverleners moesten terug naar papier en in verschillende regio's werden ambulances omgeleid. Het zorgsysteem meldde later dat persoons- en gezondheidsgegevens van bijna 5,6 miljoen mensen waren getroffen. De aanval begon volgens de berichtgeving doordat een medewerker een kwaadaardig bestand downloadde, en dat is precies het patroon waartegen we in de hele regio testen: één gebruiker als ingang, diefstal van inloggegevens, beweging door Active Directory en een impact op het hele domein die geen enkele afzonderlijke maatregel kon tegenhouden. Zorgsystemen en zorgverzekeraars beheren hier declaratie-, polis- en klinische gegevens van miljoenen verzekerden in vele staten, wat hen tot aantrekkelijke afpersingsdoelwitten maakt. De vermogensbeheerders en brokers met een hoofdkantoor in de regio hebben te maken met een andere tegenstander: fraude via overname van klantaccounts, social engineering gericht op adviseurs en kantoorpersoneel, en misbruik van de API's die adviseurs, custodians en aggregators verbinden. Het geospatial- en defensiecluster rond de National Geospatial-Intelligence Agency, Boeing, de leveranciers die hen bedienen en de luchttransportcommando's op het nabijgelegen Scott Air Force Base trekt statelijke spionage aan en is afhankelijk van leveranciers die aan CMMC voldoen. Agrarische biotech voegt zaadgenetica, eigenschapsdata en resultaten van veldproeven toe, gegevens waar zowel concurrenten als buitenlandse inlichtingendiensten naar hebben gezocht. De regio ligt bovendien aan beide oevers van de Mississippi: organisaties met activiteiten aan de kant van Illinois vallen onder de Biometric Information Privacy Act, die tot enkele van de grootste privacyuitspraken van het land heeft geleid. Bij opdrachten in St. Louis vinden we stelselmatig servicedeskprocessen die multifactorauthenticatie resetten zonder sterke verificatie, adviseurs- en agentportalen met gebrekkige autorisatie op objectniveau, onderzoeksnetwerken die vanuit het kantoordomein bereikbaar zijn, en leveranciersaccounts met permanente toegang die niemand controleert.
Pentest nodig in St. Louis?
Schriftelijke scope, OSCP-gecertificeerde testers bij naam, rapport binnen een week na de laatste testdag.
Sectoren die we in St. Louis routinematig bedienen
Zes sectoren vormen het grootste deel van het werk dat we in St. Louis scopen, elk met een eigen tegenstander en een eigen bewijsspoor.
Zorgsystemen & ziekenhuizen
Levensbeschouwelijke zorgsystemen die vanuit een hoofdkantoor in St. Louis ziekenhuizen in vele staten aansturen, het academisch medisch centrum van de onderzoeksuniversiteit van de stad, regionale ziekenhuizen en de digitale-zorgleveranciers die op al deze organisaties zijn aangesloten. Sinds 2024 stellen besturen hier een concrete vraag: kan één gedownload bestand nog steeds uitgroeien tot een storing in het hele systeem? We beantwoorden die door dat pad te volgen via identiteit, endpointbeveiliging, toegang tot het EPD en isolatie van back-ups, en door te testen of herstelvoorzieningen overeind blijven tegen een aanvaller die al domeinrechten heeft. De HIPAA-gids op /nl/insights/hipaa-pentest/ behandelt de scoping.
Managed care & zorgverzekeraars
Medicaid-, Medicare Advantage- en marketplace-zorgverzekeraars, farmaceutische en specialistische dienstverlening, en de leden-, zorgverlener- en declaratieplatforms daarachter. Externe en interne penetratietests, assessments van bevoorrechte toegang en identiteit rond bulkgegevens over declaraties en verzekeringsrecht, handmatige tests van webapplicaties en API's van leden- en zorgverlenersportalen, en bewijs gekoppeld aan HIPAA en de beveiligingseisen uit Medicaid-contracten van de staten.
Vermogensbeheer, brokers & bankwezen
Broker-dealers, geregistreerde beleggingsadviseurs, regionale banken en de adviseurs-, custodian- en aggregatorplatforms die hen verbinden. Tests op accountovername en fraudepaden, social-engineeringassessments bij adviseurs en kantoren, handmatige tests van klantportalen en API's, en bewijs afgestemd op SEC Regulation S-P (gewijzigd in 2024), Regulation S-ID, de verwachtingen van FINRA, de GLBA Safeguards Rule en het FFIEC IT Examination Handbook.
Geospatial intelligence, luchtvaart & defensie
Beeld- en geospatial-analysebedrijven, fabrikanten van vliegtuigen en wapensystemen, en de integrators en start-ups die zijn ontstaan rond de westelijke campus van de NGA en de transport- en luchtmobiliteitscommando's op Scott Air Force Base. De tegenstander is hier geduldig en door staten gesteund. We voeren identiteits-, segmentatie- en red team-werk uit dat die werkwijze nabootst, en leveren bewijs voor CUI-enclaves die richting een CMMC 2.0 Level 2-beoordeling onder DFARS 252.204-7012 gaan.
Agrarische biotech & plantwetenschap
Gewasbeschermings- en zaadbedrijven, onderzoeksinstituten voor plantwetenschap en de agtech-start-ups van het innovatiedistrict 39 North. Segmentatietests van onderzoeks- en laboratoriumnetwerken, cloud- en identiteitsassessments van platforms voor genomische data en veldproeven, en red team-operaties die toetsen of spionagetechnieken eigenschaps- en veredelingsdata kunnen bereiken.
Enterprise-IT, industriële automatisering & mobiliteit
Een grote particuliere systeemintegrator, een fabrikant van automatiserings- en meettechniek, een autoverhuur- en vlootbedrijf, en een groeiende groep B2B-softwarebedrijven. Integrators en beheerpartijen vermenigvuldigen ketenrisico, dus testen we hun beheertools op afstand en de toegangspaden naar klanten even grondig als hun eigen omgeving. Automatiseringsproducten testen we met IEC 62443 als kader; SaaS-platforms krijgen handmatige applicatie-, API- en cloudtests ter onderbouwing van het SOC 2-rapport waar hun afnemers om vragen (zie /nl/insights/soc-2-pentest/).
Compliance-frameworks waarvoor we rapporteren
Organisaties in St. Louis werken vaak aan beide oevers van de rivier en onder meerdere toezichthouders tegelijk, dus één rapport moet overal bruikbaar zijn. Het onze bevat een managementsamenvatting voor het bestuur, bevindingen met CVSS-score en reproduceerbaar bewijs, een aanvalsnarratief dat laat zien hoe bevindingen op elkaar aansluiten, en een herstelplan gerangschikt naar risico, waarbij elke bevinding is gekoppeld aan de beheersmaatregel uit Missouri, Illinois, federale regels of contracten die zij raakt. Elke bevinding met ernst medium of hoger hertesten we binnen 90 dagen om het herstel te bevestigen.
- Meldplicht datalekken Missouri (RSMo 407.1500): melding aan getroffen inwoners zonder onredelijke vertraging, en aan de Attorney General en de kredietregistratiebureaus wanneer meer dan 1.000 inwoners worden geïnformeerd
- Toezicht door het Missouri Department of Commerce and Insurance op verzekeraars en zorgverzekeraars die in de staat actief zijn
- Illinois Biometric Information Privacy Act (740 ILCS 14) en Personal Information Protection Act (815 ILCS 530) voor activiteiten in het Illinois-deel van de regio
- Plicht tot technische evaluatie onder de HIPAA Security Rule (45 CFR 164.308(a)(8)) voor zorgsystemen, zorgverzekeraars en hun business associates
- SEC Regulation S-P (gewijzigd in 2024) en Regulation S-ID voor broker-dealers en beleggingsadviseurs, met FINRA-toezicht op aangesloten firma's
- FFIEC IT Examination Handbook en GLBA Safeguards Rule (16 CFR Part 314) voor de banken en trustmaatschappijen in de regio
- Incidentmelding via Form 8-K Item 1.05 en openbaarmaking van governance onder Regulation S-K Item 106 voor beursgenoteerde ondernemingen uit St. Louis
- CMMC 2.0 Level 2-certificering tegen de 110 eisen van NIST SP 800-171, via DFARS 252.204-7012 doorgezet naar geospatial- en luchtvaarttoeleveranciers
- IEC 62443-3-3 en 62443-4-2 voor automatiseringsproducten en de fabrieken die ermee werken
- SOC 2 Type II-rapporten voor SaaS- en IT-dienstverleners, waarbij tests de criteria CC4.1 en CC7.1 onderbouwen
- PCI DSS v4.0.1-penetratietesten (Requirement 11.4) voor kaartacceptatie in retail, horeca en zorgfacturatie
- NIST SP 800-115-testrichtlijnen als basis voor scoping, rules of engagement en rapportage
Diensten geleverd voor opdrachten in St. Louis
Kies de scope die bij het risico past: een adviseursportaal, een leden-API, een CUI-enclave vóór een CMMC-beoordeling, of een volledige aanvalssimulatie tegen een zorgsysteem in meerdere staten. Uitvoering en rapportage stemmen we af op de verplichtingen in Missouri en Illinois.
Zie ook:Penetratietest in ChicagoPenetratietest in IllinoisPenetratietest in Verenigde Staten
Waarom organisaties in St. Louis kiezen voor HackersHub
Openheid over uitvoering zegt meer dan een postcode, dus dit is de onze. HackersHub werkt in offensive security sinds de oprichting in Nederland in 2015 en heeft meer dan 2.500 opdrachten afgerond; het enige hoofdkantoor staat in Amsterdam en er is geen vestiging in St. Louis of elders in de VS. Scopes die via internet bereikbaar zijn, van externe netwerken tot webapplicaties, API's, cloudomgevingen en identiteitsproviders, testen we vanuit Nederland. Scopes op locatie, waaronder interne netwerken, Active Directory, draadloos, laboratoria en ziekenhuis- of kantoorlocaties in Missouri of Illinois, worden uitgevoerd door reizende HackersHub-testers, waar nodig versterkt door gescreende Amerikaanse uitvoeringspartners. Al onze testers hebben minimaal OSCP, met OSWE- en CREST-houders in het team, en Michael van Mameren (OSCP) is engagement lead. We werken volgens PTES, OWASP WSTG en MASTG en NIST SP 800-115, en plannen gesprekken in Central-tijd. Amerikaanse klanten bedienen we nu al vanuit Nederland, een volwaardige Amerikaanse marktintroductie staat gepland voor het eerste kwartaal van 2027, en in aanloop daarnaar staan 20 kosteloze penetratietests open voor Amerikaanse bedrijven die aan de voorwaarden voldoen. Klantbeoordelingen komen gemiddeld uit op 4,9/5 over 127 reviews.
Veelgestelde vragen: St. Louis
Klaar om Uw Systemen te Beveiligen?
Vraag een offerte aan voor uw penetratietestbehoeften.