Quand vous êtes l'équipe de sécurité
De nombreux outils de sécurité nécessitent une équipe derrière eux : des personnes chargées de trier les alertes, d'ajuster les règles et de rechercher les propriétaires. Si ce n’est pas votre situation, cela rend votre semaine pire plutôt que meilleure.
Cette page concerne l'autre cas : vous êtes responsable de la sécurité, vous ne le faites pas à plein temps et personne ne viendra vous aider.
Les trois choses qui ne vont vraiment pas
Parlez àsuffisamment de personnes dans cette position et les trois mêmes problèmes reviennent.
Vous ne pouvez pas lister ce que vous avez. Le site Web principal et le produit sont simples. Ensuite, il y a le blog sur un sous-domaine auquel personne ne s'est connecté depuis le départ du responsable du contenu, l'environnement de test qui était censé être temporaire et l'enregistrement DNS pointant vers un service que l'entreprise a annulé il y a deux ans. Vous ne pouvez pas défendre une liste que vous n’avez pas.
L'outil produit plus de travailqu'il ne supprime. Un scanner qui renvoie quatre cents résultats, dont un cinquième s'avère appartenir à quelqu'un d'autre, ne vous a pas aidé. Cela vous a confié un travail de tri en plus de votre travail réel - et une fois que vous cessez de faire confiance au résultat, vous commencez à ignorer les véritables découvertes ainsi que le bruit.
Vous ne pouvez pas répondre à la question par le haut. Quelqu'un demande si les choses s'améliorent. Vous avez un rapport plein de gravité et aucun moyen d'en faire unphrase.
Ce que nous avons construit contre ceux-ci
Une liste à laquelle vous pouvez faire confiance, car vous l'avez fournie. Connectez votre fournisseur DNS - Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner ou Contabo - ou téléchargez un fichier de zone, et ceux-ci deviennent les actifs que nous surveillons. Discovery s'exécute parallèlement pour trouver ce que votre DNS ne connaît pas. La différence avec un outil qui déduit votre patrimoine à partir d'Internet est que le serveur de quelqu'un d'autre ne peut pas apparaître dans votre rapport.
Avant HTTPScans actifs ou étendus, vous prouvez la maîtrise technique du domaine. D'autres contrôles peuvent être effectués sans cette preuve technique, mais une autorisation est toujours requise ; c'est la raison pour laquelle un rapport sur votre infrastructure reste sur votre infrastructure.
Résultats qui accompagnent l'étape suivante. Six vérifications sont exécutées sur les actifs autorisés : découverte, TLS et certificats, sécurité HTTP et CVE connus, ports ouverts, authentification DNS et de messagerie, et domaineréputation. HTTP Active et Extended nécessitent en outre une vérification technique de la propriété. Chaque résultat peut être expliqué par AYA, l'assistant intégré au rapport - ce que cela signifie et que faire à ce sujet - afin que vous ne lisiez pas un identifiant CVE et n'ouvriez pas un moteur de recherche.
Une note que vous pouvez prononcer à voix haute. Chaque contrôle produit un score et une lettre de A+ à F, combinés en une seule note globale. "Nous sommes passés de D à B ce trimestre" est unphrase qu'un manager non technique comprend. En dessous, les détails techniques sont toujours là pour vous.
Il continue de regarder sans que vous vous en souveniez. Planifiez les analyses et vous êtes informé lorsqu'une note baisse ou qu'un certificat approche de son expiration. La posture se dégrade tranquillement - un en-tête supprimé lors d'un déploiement, un protocole réactivé pour résoudre une plainte de compatibilité - et remarquant que c'est exactement le travail qu'une fonction de sécurité à temps partiel n'a pas le tempspour.
Ce qu'il ne fera pas
Être clair à ce sujet fait gagner du temps à tout le monde.
- Cela se voit uniquement de l'extérieur. Les réseaux internes, les ordinateurs portables des employés et tout ce qui se trouve derrière le périmètre sont hors de portée.
- Il ne s'agit pas de gestion de la posture du cloud. Un stockage mal configuré et une politique IAM sont un problème différent et un outil différent.
- Il ne s'agit pas d'un programme complet de sécurité des applications. L'analyse HTTP utilise OWASP ZAP et trouve de nombreuses informations, mais authentifiées en profondeurles tests d’applications sont sa propre discipline.
- Cela ne vous rend pas conforme. Vous obtenez des résultats, des notes et un dossier daté. La certification implique un évaluateur.
Si votre problème principal en fait partie, nous ne sommes pas la réponse et il vaut mieux le savoir maintenant.
Commencer, de manière réaliste
L'ajout d'un domaine et l'exécution de Discovery prennent quelques minutes. L'étape qui prend plus de temps consiste à prouver que vous contrôlez le domaine, car cela signifie ajouter un enregistrement DNS -et si vous n'êtes pas la personne qui administre le DNS, cela signifie demander à quelqu'un et attendre.
Cela vaut la peine d’être planifié plutôt que d’être surpris. La vérification d'un domaine apex couvre ses sous-domaines, il s'agit donc d'une requête plutôt que d'une par hôte.
Le forfait gratuit est gratuit en permanence : un membre, des analyses hebdomadaires, sept jours d'historique. Il suffit de voir votre propre surface d'attaque et de décider si elle appartient à votre semaine.
Questions fréquemment posées
Je ne suis pas un spécialiste de la sécurité. Est-ce que ça va me dépasser ?
Les résultats sont expliqués dans le rapport plutôt que supposés. Vous rencontrerez les conditions que vous devrez rechercher, mais vous ne recevrez pas de liste de numéros CVE et vous ne serez pas laissé là.
Combien de temps cela prend-il chaque semaine ?
Une fois les analyses programmées, aucune, jusqu'à ce que quelque chose change et que l'on vous le dise. Le travail est dans la première configuration et en agissant sur ce qui revient.
Nous disposons déjà d'un scanner de vulnérabilités.
La question est alors de savoir s’il est au courant de tout ce que vous exposez. Un scanner vérifie les actifs sur lesquels vous le pointez ; le problème que cela résout, ce sont les actifs sur lesquels personne ne l’a pointé.
Puis-je le montrer à la direction ?
C'est à cela que servent la note et l'export PDF. Làest une page séparée sur la constitution de preuves qu'un responsable ou un auditeur acceptera.
Que se passe-t-il lorsque je trouve un problème que je ne sais pas comment résoudre ?
Demandez à AYA dans le rapport. Si c’est au-delà de cela, la découverte vous indique au moins précisément ce qu’il faut remettre à quiconque le fait.