Ha Ön a biztonsági csapat
Rengeteg biztonsági eszköz feltételez egy csapatot a háta mögött – az embereket a riasztások osztályozására, a szabályok hangolására és a tulajdonosok üldözésére. Ha nem ez a helyzet, akkor a legtöbb esetben inkább rosszabb, mint jobb lesz a hét.
Ez az oldal a másik esetről szól: Ön felelős a biztonságért, nem teljes munkaidőben csinálja, és senki sem fog segíteni.
A három dolog, ami valójában elromlik
Beszélj veleelég ember van ebben a pozícióban, és ugyanaz a három probléma visszatér.
Nem tudod felsorolni, hogy mi van. A fő weboldal és a termék egyszerű. Aztán ott van egy olyan aldomain blogja, amelyre a tartalom lead távozása óta senki sem jelentkezett be, az ideiglenesnek szánt staging környezet, valamint a cég által két éve lemondott szolgáltatásra mutató DNS-rekord. Nem védhetsz meg egy listát, amivel nem rendelkezel.
A szerszám több munkát eredményezmint amennyit eltávolít. Nem segített önnek az a szkenner, amely négyszáz leletet ad vissza, amelyek ötödéről kiderül, hogy valaki másé. Rendezési feladatot adott a tényleges munkája mellett – és ha már nem bízik a kimenetben, elkezdi figyelmen kívül hagyni a valós eredményeket és a zajt.
A kérdésre nem lehet felfelé válaszolni. Valaki megkérdezi, hogy javul-e a helyzet. A jelentés tele van súlyossággal, és nincs mód arra, hogy amondat.
Amit ezek ellen építettünk
Egy lista, amelyben megbízhat, mert Ön biztosította. Csatlakoztassa DNS-szolgáltatóját – Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner vagy Contabo – vagy töltsön fel egy zónafájlt, és ezek az általunk figyelt eszközökké válnak. A Discovery párhuzamosan fut, hogy megtalálja azt, amiről a DNS nem tud. Az a különbség, mint egy olyan eszköz, amely az Ön ingatlanára következtet az internetről, hogy valaki más szervere nem jelenhet meg a jelentésében.
Előttbármit megvizsgál, ezzel bizonyítja, hogy Ön irányítja a tartományt. Ez egy szándékos korlátozás, és ez az oka annak, hogy az infrastruktúráról szóló jelentés az infrastruktúráról marad.
A következő lépéssel kapcsolatos megállapítások. Hat ellenőrzést végeznek az ellenőrzött eszközökön: felfedezés, TLS és tanúsítványok, HTTP-biztonság és ismert CVE-k, nyitott portok, DNS- és levélhitelesítés, valamint a domain hírneve. Minden egyes leletet megmagyarázhat AYA, a felépített asszisztensa jelentésbe - mit jelent, és mit kell tenni ellene -, így nem CVE azonosítót olvas és nem nyit meg egy keresőt.
Egy érdemjegyet kimondhat hangosan. Minden ellenőrzés egy pontszámot és egy A+-tól F-ig terjedő betűt ad, amelyet egyetlen általános osztályzattá kombinálnak. „Ebben a negyedévben D-ből B-be mentünk” – ezt a mondatot egy nem műszaki vezető is megérti. Alatta a technikai részletek továbbra is ott vannak az Ön számára.
Folyton nézi anélkül, hogy eszébe jutna.Tegye ütemezésre a szkenneléseket, és a rendszer értesíti Önt, ha egy osztályzat leesik, vagy a bizonyítvány lejártához közeledik. A testtartás csendesen romlik – a fejléc kiesett a telepítés során, a protokoll újraengedélyezett a kompatibilitási panaszok kijavításához –, és észreveszi, hogy egy részmunkaidős biztonsági funkciónak pontosan erre a munkára nincs ideje.
Mit nem tesz
Ennek tisztázásával mindenki időt takaríthat meg.
- Csak kívülről néz ki. A belső hálózatok, az alkalmazottak laptopjai és minden, ami a kerület mögött van, nem tartoznak ide.
- Ez nem felhőbeli pozíciókezelés. A rosszul konfigurált tárhely és az IAM-házirend más probléma és más eszköz.
- Ez nem egy teljes alkalmazásbiztonsági program. A HTTP-ellenőrzés az OWASP ZAP-ot használja, és sok mindent talál, de a mélyen hitelesített alkalmazásteszt a saját fegyelme.
- Nem ez tesz tégedmegfelelő. Megkapja a megállapításokat, az osztályzatokat és a dátummal ellátott jegyzőkönyvet. A tanúsítás egy értékelőt foglal magában.
Ha az Ön fő problémája ezek egyike, akkor nem mi vagyunk a megoldások, és jobb, ha most megtudja.
Kezdő lépések, reálisan
A domain hozzáadása és a Discovery futtatása néhány percet vesz igénybe. A hosszabb lépés annak bizonyítása, hogy Ön irányítja a tartományt, mert ez egy DNS-rekord hozzáadását jelenti – és ha nem Ön adminisztrálja a DNS-t, akkor ez azt jelenti,valaki és vár.
Érdemes tervezni, nem meglepődni. A csúcstartomány ellenőrzése lefedi az aldomainjeit, tehát egy kérésről van szó, nem pedig állomásonként.
Az ingyenes csomag véglegesen ingyenes: egy tag, heti szkennelés, hét nap előzmény. Elég, ha megnézed a saját támadási felületedet, és eldöntöd, hogy ez a hetedhez tartozik-e.
Gyakran kérdezettkérdéseket
Nem vagyok biztonsági szakértő. Ez átmegy a fejemen?
Az eredményeket a jelentés magyarázza, nem pedig feltételezi. Meg fogja találni azokat a feltételeket, amelyeket utána kell néznie, de nem adják át a CVE-számok listáját, és nem hagyják ott.
Mennyi időt vesz igénybe ez egy héten?
Ha a szkennelés ütemezése megtörtént, addig nem történik semmi, amíg valami nem változik, és nem közlik veled. A munka az első beállításban és a visszajátszásban van.
Már van sebezhetőség-ellenőrzőnk.
Aztán a kérdés az, hogy tud-e mindenről, amit kitettél. A szkenner ellenőrzi a ráirányított eszközöket; a probléma, amit ez megold, az az eszközök, amelyekre senki sem mutatott rá.
Megmutathatom ezt a vezetőségnek?
Erre való az osztályzat és a PDF-exportálás. Van egy [külön oldal a bizonyítékok építéséről] (/prove-remediation/), amelyet a vezető vagy a könyvvizsgáló elfogad.
Mi történik, ha találok valamit?Nem tudom, hogyan javítsam?
Kérdezze meg az AYA-t a jelentésben. Ha ezen túl van, a lelet legalább pontosan megmondja, mit adjon át annak, aki megteszi.