Kiedy jesteś zespołem bezpieczeństwa
Wiele narzędzi zabezpieczających zakłada, że stoi za nimi zespół – ludzie, którzy selekcjonują alerty, dostosowują zasady i ścigają właścicieli. Jeśli taka nie jest w Twojej sytuacji, w większości przypadków Twój tydzień będzie gorszy, a nie lepszy.
Ta strona dotyczy innego przypadku: odpowiadasz za bezpieczeństwo, nie robisz tego na pełny etat i nikt nie przyjdzie z pomocą.
Trzy rzeczy, które faktycznie idą źle
Porozmawiaj zwystarczająco dużo osób na tym stanowisku i te same trzy problemy powracają.
Nie możesz wystawić tego, co posiadasz. Strona główna i produkt są łatwe. Do tego dochodzi blog w subdomenie, do której nikt się nie logował od czasu odejścia lidera treści, środowisko testowe, które miało być tymczasowe, oraz rekord DNS wskazujący usługę, którą firma anulowała dwa lata temu. Nie możesz bronić listy, której nie masz.
Narzędzie wykonuje więcej pracyniż usuwa. Skaner zwracający czterysta znalezisk, z których jedna piąta okazuje się należeć do kogoś innego, nie pomógł Ci. Dało ci to zadanie sortowania oprócz faktycznej pracy – a kiedy przestaniesz ufać wynikom, zaczniesz ignorować prawdziwe ustalenia wraz z hałasem.
Nie możesz odpowiedzieć na pytanie w górę. Ktoś pyta, czy sytuacja się poprawia. Masz raport pełen wagi i nie ma możliwości przekształcenia go w raportzdanie.
Co zbudowaliśmy przeciwko tym
Lista, której możesz zaufać, ponieważ ją dostarczyłeś. Podłącz swojego dostawcę DNS – Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner lub Contabo – lub prześlij plik strefy, a staną się one zasobami, które będziemy obserwować. Discovery działa równolegle, aby znaleźć to, o czym nie wie Twój DNS. Różnica w stosunku do narzędzia, które wnioskuje o Twojej posiadłości z Internetu, polega na tym, że w Twoim raporcie nie może pojawić się serwer innej osoby.
Zanimcokolwiek zostanie przeskanowane, udowadniasz, że kontrolujesz domenę. Jest to zamierzone ograniczenie i dlatego raport o Twojej infrastrukturze pozostaje o Twojej infrastrukturze.
Wyniki, które pojawią się w następnym kroku. Przeprowadza się sześć kontroli zweryfikowanych zasobów: wykrywanie, TLS i certyfikaty, zabezpieczenia HTTP i znane CVE, otwarte porty, uwierzytelnianie DNS i poczty oraz reputacja domeny. Każde odkrycie może zostać wyjaśnione przez AYA, zbudowaną asystentkędo raportu – co to oznacza i co z tym zrobić – aby nie czytać identyfikatora CVE i nie otwierać wyszukiwarki.
Jedna ocena, którą możesz wypowiedzieć na głos. Każde sprawdzenie daje wynik i literę od A+ do F, połączone w jedną ocenę ogólną. „W tym kwartale przeszliśmy z D do B” to zdanie, które rozumie menedżer nietechniczny. Pod spodem nadal czekają na Ciebie szczegóły techniczne.
Ogląda, a ty nie pamiętasz.Zaplanuj skanowanie, a otrzymasz informację, gdy ocena ulegnie pogorszeniu lub zbliża się wygaśnięcie certyfikatu. Postawa zanika po cichu – nagłówek upuszczony we wdrożeniu, protokół ponownie włączony w celu naprawienia skargi dotyczącej kompatybilności – i zauważenie, że jest to dokładnie praca, na którą nie ma czasu funkcja bezpieczeństwa pracująca w niepełnym wymiarze godzin.
Czego nie zrobi
Wyjaśnienie tej kwestii pozwala każdemu zaoszczędzić czas.
- Wygląda to tylko z zewnątrz. Sieci wewnętrzne, laptopy pracowników i wszystko, co znajduje się za obwodem, nie wchodzi w zakres.
- To nie jest zarządzanie stanem w chmurze. Źle skonfigurowana pamięć masowa i zasady IAM to inny problem i inne narzędzie.
- Nie jest to program zapewniający pełną ochronę aplikacji. Skanowanie HTTP wykorzystuje OWASP ZAP i znajduje wiele informacji, ale testowanie aplikacji z głębokim uwierzytelnieniem to osobna dyscyplina.
- To nie czyni cięzgodne. Otrzymujesz ustalenia, oceny i datowany zapis. Certyfikacja obejmuje asesora.
Jeśli Twoim głównym problemem jest jeden z powyższych, nie jesteśmy odpowiedzią i lepiej wiedzieć teraz.
Realistycznie mówiąc, zaczynamy
Dodanie domeny i uruchomienie Discovery zajmuje kilka minut. Dłuższym krokiem jest udowodnienie, że kontrolujesz domenę, bo oznacza to dodanie rekordu DNS - a jeśli nie jesteś osobą administrującą DNS, oznacza to zapytaniektoś i czekam.
Warto to zaplanować, zamiast dać się zaskoczyć. Weryfikacja domeny wierzchołkowej obejmuje jej subdomeny, więc jest to jedno żądanie, a nie jedno na host.
Bezpłatny plan jest bezpłatny na stałe: jeden członek, cotygodniowe skany, siedem dni historii. Wystarczy zobaczyć własną powierzchnię ataku i zdecydować, czy należy ona do Twojego tygodnia.
Często zadawane pytaniapytania
Nie jestem specjalistą ds. bezpieczeństwa. Czy to mnie przerośnie?
Ustalenia zostały wyjaśnione w raporcie, a nie przyjęte. Spełnisz warunki, które musisz sprawdzić, ale nie otrzymasz listy numerów CVE i tam nie zostawisz.
Ile czasu zajmuje to tygodniowo?
Po zaplanowaniu skanowania nie będzie żadnych, dopóki coś się nie zmieni i nie zostaniesz o tym poinformowany. Praca polega na pierwszym ustawieniu i działaniu w oparciu o to, co wróci.
Mamy już skaner podatności.
Pytanie brzmi, czy wie o wszystkim, co ujawniasz. Skaner sprawdza zasoby, na które go wskazujesz; Problem, który to rozwiązuje, to aktywa, na które nikt nie wskazał.
Czy mogę to pokazać kierownictwu?
Do tego właśnie służy ocena i eksport do pliku PDF. Istnieje osobna strona poświęcona gromadzeniu dowodów, którą akceptuje menedżer lub audytor.
Co się stanie, gdy coś znajdęNie wiem jak to naprawić?
Zapytaj AYA w raporcie. Jeśli chodzi o coś więcej, odkrycie przynajmniej mówi dokładnie, co wręczyć temu, kto to zrobi.