Quando você é a equipe de segurança
Muitas ferramentas de segurança pressupõem uma equipe por trás delas: pessoas para fazer a triagem de alertas, ajustar regras e perseguir proprietários. Se essa não for a sua situação, a maior parte dela tornará a sua semana pior, em vez de melhor.
Esta página é sobre o outro caso: você é responsável pela segurança, não está fazendo isso em tempo integral e ninguém vai chegar para ajudar.
As três coisas que realmente dão errado
Fale comhá gente suficiente nesta posição e os mesmos três problemas voltam.
Você não pode listar o que você tem. O site principal e o produto são fáceis. Depois, há o blog em um subdomínio no qual ninguém fez login desde que o líder de conteúdo saiu, o ambiente de teste que deveria ser temporário e o registro DNS apontando para um serviço que a empresa cancelou há dois anos. Você não pode defender uma lista que não possui.
A ferramenta produz mais trabalhodo que remove. Um scanner que retorna quatrocentas descobertas, das quais um quinto pertence a outra pessoa, não o ajudou. Isso lhe deu um trabalho de classificação além do seu trabalho real - e quando você para de confiar na saída, você começa a ignorar as descobertas reais junto com o ruído.
Você não pode responder à pergunta de cima para baixo. Alguém pergunta se as coisas estão melhorando. Você tem um relatório cheio de gravidades e não tem como transformá-lo em umsentença.
O que construímos contra aqueles
Uma lista em que você pode confiar, porque você a forneceu. Conecte seu provedor de DNS - Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner ou Contabo - ou carregue um arquivo de zona, e esses se tornarão os ativos que monitoramos. A descoberta é executada paralelamente para descobrir o que seu DNS não conhece. A diferença de uma ferramenta que infere seu patrimônio pela Internet é que o servidor de outra pessoa não pode aparecer no seu relatório.
Antes do HTTPVarreduras ativas ou estendidas, você comprova o controle técnico do domínio. Outras verificações podem ser realizadas sem essa comprovação técnica, mas é sempre necessária autorização; essa é a razão pela qual um relatório sobre sua infraestrutura permanece sobre ela.
Descobertas que acompanham a próxima etapa. Seis verificações são executadas em ativos autorizados: descoberta, TLS e certificados, segurança HTTP e CVEs conhecidos, portas abertas, DNS e autenticação de correio e domínioreputação. HTTP Ativo e Estendido também exigem verificação técnica de propriedade. Cada descoberta pode ser explicada pelo AYA, o assistente integrado ao relatório - o que significa e o que fazer a respeito - para que você não leia um identificador CVE e abra um mecanismo de pesquisa.
Uma nota você pode dizer em voz alta. Cada verificação produz uma pontuação e uma letra de A+ a F, combinadas em uma nota geral. “Passamos de D para B neste trimestre” é umafrase que um gerente não técnico entende. Por baixo, os detalhes técnicos ainda estão lá para você.
Ele continua assistindo sem que você se lembre. Coloque as verificações em uma programação e você será avisado quando uma nota cair ou um certificado estiver prestes a expirar. A postura decai silenciosamente - um cabeçalho descartado em uma implantação, um protocolo reativado para corrigir uma reclamação de compatibilidade - e perceber que esse é exatamente o trabalho que uma função de segurança de meio período não tem tempopara.
O que não vai fazer
Ser claro sobre isso economiza tempo de todos.
- Parece apenas de fora. Redes internas, laptops de funcionários e qualquer coisa atrás do perímetro estão fora do escopo.
- Não se trata de gerenciamento de postura na nuvem. O armazenamento mal configurado e a política de IAM são um problema diferente e uma ferramenta diferente.
- Não é um programa completo de segurança de aplicativos. A varredura HTTP usa OWASP ZAP e encontra muitas coisas, mas profundamente autenticadaso teste de aplicativos é uma disciplina própria.
- Isso não o torna compatível. Você obtém resultados, notas e um registro datado. A certificação envolve um avaliador.
Se o seu principal problema é um desses, não somos a resposta e é melhor saber agora.
Primeiros passos, realisticamente
Adicionar um domínio e executar o Discovery leva alguns minutos. A etapa mais demorada é provar que você controla o domínio, pois significa adicionar um registro DNS -e se você não é a pessoa que administra o DNS, significa perguntar a alguém e esperar.
Vale a pena planejar isso, em vez de ser surpreendido. A verificação de um domínio apex abrange seus subdomínios, portanto, é uma solicitação em vez de uma por host.
O plano gratuito é gratuito permanentemente: um membro, verificações semanais, sete dias de histórico. Basta ver sua própria superfície de ataque e decidir se ela pertence à sua semana.
Perguntas frequentes
Não sou especialista em segurança. Isso vai passar da minha cabeça?
As conclusões são explicadas no relatório e não presumidas. Você cumprirá os termos que precisa consultar, mas não receberá uma lista de números CVE e será deixado lá.
Quanto tempo isso leva por semana?
Depois que as verificações forem agendadas, nenhuma, até que algo mude e você seja avisado. O trabalho está na primeira configuração e na atuação no que volta.
Já temos um scanner de vulnerabilidades.
Então a questão é se ele sabe tudo o que você expõe. Um scanner verifica os ativos para os quais você aponta; o problema que isso resolve são os ativos para os quais ninguém apontou.
Posso mostrar isso à gerência?
É para isso que servem a nota e a exportação de PDF. Láé uma página separada sobre como construir evidências que um gerente ou auditor aceitará.
O que acontece quando encontro algo que não sei como consertar?
Pergunte a AYA no relatório. Se for além disso, a descoberta pelo menos lhe diz exatamente o que entregar a quem o fizer.