あなたがセキュリティチームの場合
多くの セキュリティ ツール は、アラートの優先順位付け、ルールの調整、所有者の追跡などを行うチームの存在を前提としています。それがあなたの状況ではない場合、ほとんどの場合、その週は良くなるどころか、むしろ悪化してしまいます。
このページでは、もう 1 つのケースについて説明します。つまり、あなたにはセキュリティの責任があり、フルタイムでそれを行っているわけではなく、誰も助けに来てくれないということです。
実際にうまくいかない 3 つのこと
話すこのポジションに十分な数の人がいると、同じ 3 つの問題が再発します。
自分が持っているものをリストすることはできません。 メインの Web サイトと製品は簡単です。さらに、コンテンツリーダーが去って以来誰もログインしていないサブドメイン上のブログ、一時的なものであるはずのステージング環境、そして同社が2年前にキャンセルしたサービスを指しているDNSレコードもあります。自分が持っていないリストを擁護することはできません。
このツールはより多くの作業を生み出します スキャナーは 400 件の結果を返し、そのうちの 5 分の 1 は他人のものであることが判明しても、役に立ちません。これにより、実際の仕事に加えて分類作業が必要になり、出力を信頼しなくなると、ノイズとともに実際の発見を無視し始めることになります。
上向きの質問に答えることはできません。 状況は良くなっているのかと尋ねる人がいます。重大度が満載のレポートがあり、それを問題に変換する方法がありません。文。
それらに対して私たちが構築したもの
あなたが提供したリストなので、信頼できます。 DNS プロバイダー (Cloudflare、AWS Route 53、Azure DNS、Google Cloud DNS、DigitalOcean、GoDaddy、Hetzner、または Contabo) に接続するか、ゾーン ファイルをアップロードすると、それらが私たちが監視する資産になります。 Discovery は、DNS が認識していないものを見つけるために並行して実行されます。インターネットからあなたの財産を推測するツールとの違いは、他人のサーバーがレポートに表示されないことです。
HTTP以前アクティブ スキャンまたは拡張スキャンにより、ドメインの技術的制御を証明できます。他のチェックは技術的証明がなくても実行できますが、常に承認が必要です。それが、インフラストラクチャに関するレポートがインフラストラクチャに関するものにとどまる理由です。
次のステップで得られる結果。 承認された資産に対して 6 つのチェックが実行されます: 検出、TLS と証明書、HTTP セキュリティと既知の CVE、オープン ポート、DNS とメール認証、ドメイン評判。 HTTP アクティブおよび拡張では、技術的な所有権の検証も必要です。それぞれの結果は、レポートに組み込まれたアシスタントである AYA によって説明されるため、CVE 識別子を読んで検索エンジンを開く必要はありません。
大声で言える 1 つのグレード。 各チェックでスコアと A+ から F までの文字が生成され、それらを組み合わせて 1 つの総合グレードが作成されます。 「今四半期は D から B になりました」技術者以外のマネージャーでも理解できる文です。その下には、技術的な詳細がまだ表示されています。
覚えていなくても監視し続けます。 スキャンをスケジュールに登録すると、成績が下がったり、証明書の有効期限が近づいたりしたときに通知されます。ポスチャは静かに衰退します - デプロイ時にヘッダーがドロップされ、互換性の問題を修正するためにプロトコルが再度有効になりました - そして、それがまさにパートタイムのセキュリティ機能には時間がない仕事であることに気づきますのために。
できないこと
これを明確にしておくことで、全員の時間を節約できます。
- 外側からのみ見えます。 内部ネットワーク、従業員のラップトップ、および境界の内側にあるものは対象外です。
- これはクラウドポスチャ管理ではありません。 ストレージと IAM ポリシーの構成が間違っていることは、別の問題であり、別のツールです。
- これは完全なアプリケーション セキュリティ プログラムではありません。 HTTP スキャンは OWASP ZAP を使用し、大量の情報を検出しますが、詳細な認証が行われます。アプリケーションのテストはそれ自体が専門分野です。
- これによってコンプライアンスが得られるわけではありません。 結果、成績、日付の記録が得られます。認定には評価者が関与します。
あなたの主な問題がこれらのいずれかである場合、私たちは答えを持っていないので、今すぐ知っておく方がよいでしょう。
現実的に始めましょう
ドメインを追加して Discovery を実行するには、数分かかります。ドメインを制御していることを証明するには、DNS レコードを追加する必要があるため、より時間がかかります。あなたが DNS の管理者でない場合は、誰かに尋ねて待つことになります。
それは驚くのではなく、計画する価値があります。 apex ドメインの検証はそのサブドメインをカバーするため、ホストごとに 1 つではなく 1 つのリクエストで済みます。
無料プランは永続的に無料です: 1 メンバー、毎週のスキャン、7 日間の履歴。 自分の攻撃対象領域を確認し、これが自分の週に属するかどうかを判断するだけで十分です。
よくある質問
私はセキュリティの専門家ではありません。これは頭の痛い問題でしょうか?
調査結果は推測ではなく、レポートで説明されています。調べなければならない用語が出てきますが、CVE 番号のリストを渡されてそのまま放置されることはありません。
これには毎週どれくらい時間がかかりますか?
スキャンがスケジュールされると、何かが変更されて通知されるまではスキャンは実行されません。仕事は最初のセットアップと、戻ってきたものに基づいて行動することにあります。
私たちはすでに脆弱性スキャナーを持っています。
次に問題は、あなたが公開したすべてのことをそれが知っているかどうかです。スキャナーは、指定された資産をチェックします。これで解決される問題は、誰もそれを指さなかった資産です。
これを経営陣に見せてもいいですか?
それが採点と PDF エクスポートの目的です。そこにはマネージャーまたは監査人が受け入れる証拠の構築に関する別のページです。
修正方法がわからないものを見つけた場合はどうなりますか?
AYAさんにレポートで聞いてみます。それを超えている場合、その結果は少なくとも、誰に何を渡すべきかを正確に示します。