Bezpečnostní skenery
Čtyři skenery pro čtyři vrstvy, na které se může dostat člověk zvenku. Každý odpovídá na jinou otázku, každý vytvoří hodnocení od A+ do F a každý uchová výsledek, aby bylo možné porovnat další sken.
Bezplatné bezpečnostní skenery pro TLS, porty, HTTP a DNS
Online skener portů
Co je tato infrastruktura ochotná ukázat cizímu člověku? Otevřené porty, služba a její verze tak, jak je vidí člověk zvenku. Pohání ho Nmap.
Kontrola SSL/TLS
Je šifrování v pořádku a kdy vyprší certifikát? Verze protokolů, šifrovací sady, řetězec certifikátů a data platnosti. Pohání ji testssl.sh.
Kontrola zabezpečení HTTP
Je webová aplikace nastavena defenzivně? Bezplatná kontrola bezpečnostních hlaviček a technologií, které server prozrazuje. Po přihlášení také známé slabiny pomocí skenu OWASP ZAP.
Kontrola zabezpečení DNS
Může kdokoli posílat e-maily, které vypadají, jako by přišly od vás? SPF, DKIM (vlastní selector), DMARC, MTA-STS a TLS-RPT, stejně jako DNSSEC a samotné záznamy.
V DNS rozhodují o tom, zda lze vaši doménu napodobit, dva typy záznamů:
Kontrola DNSSEC
Je vaše DNS podepsané a validuje se?
Kontrola SPF
Které servery mohou posílat poštu za vaši doménu?
Kontrola DKIM
Existuje pro váš selector záznam DKIM?
Kontrola DMARC
Co se stane s poštou, která kontrolou neprojde?
Kontrola MTA-STS
Je zveřejněna bezpečnostní politika přenosu pošty?
V čem se liší od desítek bezplatných skenerů
Většina online skenerů zkontroluje libovolnou adresu, kterou zadáte, výsledek vydává za úplné posouzení a tím skončí. Je to pohodlné a také proto je tato oblast plná reportů, které nikdo nebere vážně.
Bezplatné nástroje a co je nad nimi.
Najde toho také více. Pátý typ skenu, Důvěryhodnost, běží pouze zde - seznamy DNSBL, RDAP/WHOIS a zdroje informací o zneužití a hrozbách. I další čtyři jdou do větší hloubky: TLS přidává kontrolu známých zranitelností jako Heartbleed a POODLE, porty se porovnávají s databází CVE místo pouhé identifikace, HTTP se skenuje pomocí OWASP ZAP místo jediného požadavku a DNS přidává expozici přenosu zóny, wildcard záznamy, otevřené resolvery, riziko převzetí subdomény a osiřelé záznamy. Skeny se také spouštějí podle plánu místo jednorázově a výsledky lze exportovat do PDF nebo přes API.
Čtyři bezplatné nástroje na této stránce takto nefungují.
Každý provádí živou kontrolu vaší skutečné infrastruktury - skutečný síťový sken, skutečné vyjednání spojení s hostitelem přes TLS a skutečný HTTP požadavek načtený pro hlavičky, cookies a technologie - místo vyhledání v databázi vydávaného za sken. Každý jasně říká, co pokrývá a co ne, a nikdo se nejprve neptá, kdo jste: není potřeba účet, pouze omezení podle IP a pravidlo, že cíl musí být skutečná veřejná adresa, než se začne skenovat. Výsledek si přečtete jednou - v paměti zůstane přibližně patnáct minut a před jeho zmizením si jej můžete stáhnout - a na naší straně po něm nic nezůstane.
Aplikace nad nimi je místo, kde žijí části, které anonymní sken ze své podstaty zvládnout nemůže.
Ověřte doménu jednou - DNS záznamem, souborem na známé cestě nebo meta tagem, jednou pro apex doménu včetně subdomén - a každý sken proti ní se počítá jako důkaz, který lze ukázat auditorovi, což anonymní výsledek nikdy nedokáže. Každý sken se také uchová místo jednorázového přečtení: řada ukazuje, jak se vaše expozice skutečně změnila, a právě ta odpovídá na otázku manažera nebo auditora: zlepšuje se to? To je samostatná schopnost.
Jak do sebe pět částí zapadá
Každý skener vytvoří skóre od 0 do 100 a hodnocení od A+ do F. Dohromady se spojí do jednoho výsledného hodnocení váženého podle toho, jak velkou část rizika typické infrastruktury jednotlivé vrstvy představují. Důvěryhodnost domény je jediná část, kterou aplikace přidává ke čtyřem výše uvedeným bezplatným nástrojům:
| Vrstva | Váha |
|---|---|
| HTTP | 30 % |
| TLS | 20 % |
| Porty | 20 % |
| DNS | 20 % |
| Důvěryhodnost domény | 10 % |
Výsledné číslo uvedete v měsíčním reportu. Jednotlivá hodnocení ukazují, kde je potřeba pracovat. Dokumentace vysvětluje co jednotlivé typy skenů pokrývají.
Vestavěný Discovery najde inventář, nad kterým pět výše uvedených skenů běží - bez skóre, ale na tom záleží více, než to zní, protože zdroj seznamu aktiv rozhoduje o tom, zda má smysl výsledky vůbec číst.
Jeden sken popíše jen jedno odpoledne
Bezpečnostní stav se zhoršuje potichu. Po nasazení zmizí hlavička. Certifikát se blíží expiraci. Protokol se znovu povolí kvůli kompatibilitě a už se nevypne. Záznam DNS přežije službu, na kterou ukazoval.
Nic z toho se neohlásí a nic se viditelně nerozbije, proto jednorázové posouzení rychle zastarává, zatímco plánované skeny ne. Skeny mohou podle plánu běžet týdně, denně nebo každou hodinu a pokles hodnocení mezi dvěma skeny se stane zprávou místo něčeho, co musíte sami hledat.
Pro týmy, které to potřebují sledovat napříč servery a endpointy, nejen zvenku, je tu samostatná schopnost.
Bezpečnostní skenery pro týmy a MSSP
Začněte jednou doménou
Ověřte ji, spusťte Discovery a podívejte se, co se vrátí, než naplánujete něco širšího.
Každý typ skenu je součástí každého plánu včetně bezplatného.