Offensive Security
Penetratietests en securityassessments onder leiding van experts en aangedreven door agentic AI. Wij ontdekken wat een aanvaller op uw systemen zou vinden, vóórdat hij dat doet.
Vandaag volstaat “een scan uitvoeren” niet meer. Een traditionele pentest ook niet.
Een website, webapp, SaaS-platform of API kan er prima uitzien terwijl er ongeautoriseerde toegang, blootgestelde gegevens en te omzeilen bedrijfslogica schuilgaan. Het gaat er niet om alarm te slaan: het gaat erom te vinden wat er echt toe doet en het te bewijzen.
Goedkoop, maar blind
Ze zien de bedrijfslogica niet en zitten vol valse positieven. Ze laten honderden meldingen achter en geen enkele zekerheid over wat daadwerkelijk exploiteerbaar is
Grondig, maar traag
Duur en moeilijk op te schalen. Het hangt af van schaarse expertise en doorlooptijden die weinig organisaties kunnen betalen.
Grondig en schaalbaar
De diepgang van een team van experts, met de snelheid en dekking die agentic AI mogelijk maakt. Elke bevinding wordt door een mens gevalideerd.
Menselijke aansturing. Een red team op schaal.
Elke penetratietest staat onder menselijke aansturing, onder de technische verantwoordelijkheid van ons securityteam. De expert bepaalt wat er getest wordt en tekent de resultaten af; AI-agents werken parallel over het volledige aanvalsoppervlak.
De pentester aan het roer
Stelt de strategie vast, bepaalt wat er getest wordt, interpreteert de context, scheidt echte kwetsbaarheden van ruis en ondertekent het rapport. De machine verkent; de mens beslist.
Geavanceerde agents
Exploit chaining, impactanalyse, scenario's met meerdere stappen, cloud- en multi-tenantomgevingen, complexe API's en kritieke functies.
Seniorenagents
Autorisatie, authenticatie, bedrijfslogica, BOLA / IDOR, workflowmisbruik en signaalcorrelatie.
Junioragents
Verkenning, mapping, endpoints en parameters, OWASP-checklists, bekende misconfiguraties en terugkerende patronen.
Waarom agentic AI
Onafhankelijke studies op real-world netwerken tonen aan dat agentic AI-frameworks qua dekking gelijkwaardig zijn aan gecertificeerde menselijke pentesters, maar nog achterblijven in oordeelsvermogen — daarom ligt het laatste woord altijd bij een persoon. Referentie: J. W. Lin et al., arXiv:2512.09882.
Eén dienst, uw volledige aanvalsoppervlak
Van webapps tot infrastructuur, van AI-modellen tot broncode: één methode, zes dekkingsgebieden, afgestemd op de scope die we met u overeenkomen.
Web & SaaS
Websites, portals, webapps en SaaS-platforms: authenticatie, autorisatie, bedrijfslogica, blootstelling van gegevens.
API's
REST, GraphQL en machine-to-machinediensten: BOLA / IDOR, workflowmisbruik, inputvalidatie en rate limiting.
Mobiele apps
iOS en Android, volgens OWASP MASVS: lokale opslag, communicatie, client-side hardening en de gekoppelde backend.
Infrastructuur & netwerk
Extern en intern perimeter, cloud- en multi-tenantoppervlakken, segmentatie, misconfiguraties en blootstellingen.
AI- / LLM-beveiliging
AI-modellen en AI-gestuurde applicaties: prompt injection, datalekken, misbruik van agents, inferentiecontroles.
Veilige codereview
Codereview vanuit aanvallersperspectief: kwetsbaarheden op broncodeniveau, afhankelijkheden en de buildpipeline.
Maximale diepgang, nul improvisatie
Wij gebruiken geavanceerde AI-modellen zonder dat uw gegevens ooit onversleuteld de deur uitgaan. Elke opdracht volgt een gesloten kringloop: gegevens komen beschermd binnen, leven in isolatie en verdwijnen zodra het werk klaar is. Gegevens van klanten worden onder geen enkele omstandigheid gebruikt om modellen te trainen.
De-identificatie
Hosts, inloggegevens, identificatoren en gevoelige verwijzingen worden gepseudonimiseerd vóór elke externe verwerking. De modellen zien altijd alleen de geanonimiseerde versie.
Speciale versleutelde omgeving
Elke klant krijgt een eigen, versleutelde en geïsoleerde omgeving, gehost op ACN-gekwalificeerde cloudinfrastructuur in Italië. Toegang verloopt uitsluitend via sessietokens — nooit via permanente inloggegevens.
Vernietiging na afloop van de opdracht
Zodra de oplevering van het rapport is bevestigd, wordt de omgeving vernietigd, samen met alle gegevens, logs en tokens. Alleen een minimaal uitvoeringsrecord wordt bewaard voor de traceerbaarheid die DORA en NIS2 vereisen.
Een rapport dat uw management kan lezen en uw techteam kan uitvoeren
- Elke kwetsbaarheid onderbouwd met bewijs: request en response, screenshots, tijdstempel, ernst (CVSS 3.1) en impact.
- Een duidelijke scheidslijn tussen wat bevestigd is en wat nog gevalideerd moet worden. Geen ruis.
- Prioriteiten voor herstel en een concrete basis voor uw herstelplan.
- Hertests en terugkerende assessmentplannen beschikbaar om herstelmaatregelen na verloop van tijd te verifiëren.
Methodologieën en frameworks
Drie modellen. Eén methode.
Dezelfde commandostructuur, afgestemd op uw aanvalsoppervlak en het risico dat u moet afdekken. De definitieve offerte is gebaseerd op de overeengekomen scope.
Small Business
Showcasewebsites, landingspagina's, WordPress-sites, kleine webshops, eenvoudige applicaties of lichte API's.
Mid-size Business
Digitale platforms, complexe webshops, klantenportalen, webgebaseerde bedrijfsbeheersystemen en geauthenticeerde bedrijfs-API's.
Enterprise
Bedrijfsgroepen, complexe infrastructuren, multi-tenant SaaS, API-ecosystemen en organisaties die onder de vereisten van NIS2 of DORA vallen.
Geen vaste prijslijst: elke opdracht wordt geoffreerd op basis van de werkelijke scope (perimeter, diepgang, randvoorwaarden). Neem contact met ons op voor een offerte.
Regelgeving vraagt niet of u de tools hebt. Ze vraagt om bewijs.
NIS2, DORA, ISO/IEC 27001 en AVG vereisen allemaal bewijs, controle en risicobeheer. Een gedocumenteerde penetratietest is een van de meest concrete vormen van bewijs die u kunt leveren.
NIS2
Tests en risicobeoordelingen ter ondersteuning van verplichtingen op het gebied van beveiliging en incidentbeheer.
DORA
Digitale operationele weerbaarheid: regelmatige tests en volledige traceerbaarheid van activiteiten voor de financiële sector.
ISO/IEC 27001
Bewijs ter ondersteuning van de controles van het managementsysteem en certificeringsprocessen.
AVG
Verificatie van technische maatregelen ter bescherming van persoonsgegevens en een lager risico op datalekken.
Mensen die beslissen, technologie die schaalt
De dienst wordt geleverd door een team van pentesters en securityengineers met certificeringen op het gebied van offensive security en audit, gecoördineerd door een ISO/IEC 27001 Lead Auditor. Het is dezelfde cultuur van beveiliging en compliance die Magellano Tech ertoe bracht een gecertificeerd geïntegreerd managementsysteem te behalen.
Certified Offensive AI Expert (Hack The Box)
Ons team beschikt over een van de eerste HTB COAE-certificeringen die wereldwijd zijn afgegeven, en een van de eerste in Italië: het AI-red-teamingdiploma dat wordt behaald via een praktijkopdracht van 7 dagen op echte AI-infrastructuur, met als hoogtepunt een technisch rapport van commercieel niveau. Dit is de expertise die onze tests van AI- en LLM-systemen en de orkestratie van onze offensieve agents aandrijft.
Een softwarehuis, niet alleen auditors
Wij bouwen software, SaaS-platforms en AI-oplossingen. We kennen code van binnenuit: wanneer we een applicatie testen, weten we waar we moeten kijken, omdat we dagelijks soortgelijke applicaties bouwen.
Infrastructuur op ACN-gekwalificeerde cloud in Italië, met gecertificeerde managementsystemen voor informatiebeveiliging en AI. Compliance is geen extra: het is hoe wij werken.
Ontdek wat een aanvaller zou vinden, vóórdat hij dat doet
Vertel ons wat u moet beschermen: samen bepalen we de scope en laten we u zien hoe wij werken, geheel vrijblijvend.