Cuando eres el equipo de seguridad
Muchas herramientas de seguridad suponen que hay un equipo detrás: personas para clasificar alertas, ajustar reglas y perseguir a los propietarios. Si esa no es su situación, la mayor parte empeorará su semana en lugar de mejorarla.
Esta página trata del otro caso: tú eres responsable de la seguridad, no lo estás haciendo a tiempo completo y nadie va a venir a ayudar.
Las tres cosas que realmente salen mal
hablar conHay suficientes personas en esta posición y los mismos tres problemas vuelven.
No puedes enumerar lo que tienes. El sitio web principal y el producto son sencillos. Luego está el blog en un subdominio en el que nadie ha iniciado sesión desde que se fue el líder del contenido, el entorno de prueba que debía ser temporal y el registro DNS que apunta a un servicio que la compañía canceló hace dos años. No puedes defender una lista que no tienes.
La herramienta produce más trabajode lo que elimina. Un escáner que arroja cuatrocientos hallazgos, una quinta parte de los cuales resultan pertenecer a otra persona, no le ha ayudado. Le ha dado un trabajo de clasificación además de su trabajo real, y una vez que deja de confiar en el resultado, comienza a ignorar los hallazgos reales junto con el ruido.
No puedes responder la pregunta hacia arriba. Alguien pregunta si las cosas están mejorando. Tiene un informe lleno de gravedades y no hay forma de convertirlo en unoración.
Lo que construimos contra esos
Una lista en la que puede confiar, porque usted la proporcionó. Conecte su proveedor de DNS (Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner o Contabo) o cargue un archivo de zona, y esos se convertirán en los activos que vigilamos. Discovery se ejecuta para encontrar lo que su DNS no conoce. La diferencia con una herramienta que infiere su patrimonio a partir de Internet es que el servidor de otra persona no puede aparecer en su informe.
Antes de HTTPEscaneos Activos o Extendidos, acreditas el control técnico del dominio. Se pueden realizar otros controles sin esa prueba técnica, pero siempre se requiere autorización; esa es la razón por la que un informe sobre su infraestructura permanece sobre su infraestructura.
Hallazgos que vienen con el siguiente paso. Se ejecutan seis comprobaciones de activos autorizados: descubrimiento, TLS y certificados, seguridad HTTP y CVE conocidos, puertos abiertos, DNS y autenticación de correo, y dominio.reputación. HTTP Activo y Extendido también requieren verificación de propiedad técnica. AYA, el asistente integrado en el informe, puede explicar cada hallazgo: qué significa y qué hacer al respecto, de modo que no tenga que leer un identificador CVE y abrir un motor de búsqueda.
Una calificación que puedes decir en voz alta. Cada verificación produce una puntuación y una letra de A+ a F, combinadas en una calificación general. "Pasamos de D a B este trimestre" es unafrase que un gerente no técnico entiende. Debajo, los detalles técnicos siguen ahí para usted.
Sigue mirando sin que lo recuerdes. Programe los escaneos y se le informará cuando una calificación baje o un certificado esté a punto de caducar. La postura decae silenciosamente (un encabezado caído en una implementación, un protocolo reactivado para solucionar una queja de compatibilidad) y darse cuenta de que ese es exactamente el trabajo que una función de seguridad a tiempo parcial no tiene tiempo.para.
Lo que no hará
Tener claro esto les ahorra tiempo a todos.
- Solo se ve desde el exterior. Las redes internas, las computadoras portátiles de los empleados y cualquier cosa detrás del perímetro están fuera del alcance.
- No se trata de una gestión de la postura en la nube. El almacenamiento mal configurado y la política de IAM son un problema diferente y una herramienta diferente.
- No es un programa completo de seguridad de aplicaciones. El escaneo HTTP utiliza OWASP ZAP y encuentra muchas cosas, pero autenticadas en profundidad.Las pruebas de aplicaciones son su propia disciplina.
- No te hace cumplir. Obtienes resultados, calificaciones y un registro fechado. La certificación implica un evaluador.
Si su principal problema es uno de esos, no somos la respuesta y es mejor saberlo ahora.
Empezando, de manera realista
Agregar un dominio y ejecutar Discovery lleva unos minutos. El paso que lleva más tiempo es demostrar que usted controla el dominio, porque significa agregar un registro DNS.y si no eres la persona que administra los DNS, significa preguntarle a alguien y esperar.
Vale la pena planificarlo en lugar de sorprenderse. La verificación de un dominio principal cubre sus subdominios, por lo que es una solicitud en lugar de una por host.
El plan gratuito es gratuito permanentemente: un miembro, análisis semanales, siete días de historial. Es suficiente ver tu propia superficie de ataque y decidir si pertenece a tu semana.
Preguntas frecuentes
No soy un especialista en seguridad. ¿Esto va a pasar por alto mi cabeza?
Los hallazgos se explican en el informe en lugar de suponerse. Cumplirá con los términos que debe buscar, pero no se le entregará una lista de números CVE y se le dejará allí.
¿Cuánto tiempo lleva esto cada semana?
Una vez programados los análisis, ninguno, hasta que algo cambie y se lo informen. El trabajo está en la primera puesta en marcha y en actuar sobre lo que vuelve.
Ya contamos con un escáner de vulnerabilidades.
Entonces la pregunta es si sabe de todo lo que expones. Un escáner verifica los activos a los que apunta; El problema que esto resuelve son los activos a los que nadie señaló.
¿Puedo mostrarle esto a la gerencia?
Para eso están la calificación y la exportación de PDF. Alláes una página separada sobre la creación de evidencia que un gerente o auditor aceptará.
¿Qué sucede cuando encuentro algo que no sé cómo solucionar?
Pregúntale a AYA en el informe. Si va más allá de eso, el hallazgo al menos le dice con precisión qué entregar a quien lo haga.