Keď ste bezpečnostný tím vy
Mnohé bezpečnostné nástroje predpokladajú, že za nimi stojí celý tím - ľudia, ktorí triedia upozornenia, dolaďujú pravidlá a hľadajú vlastníkov. Ak to nie je vaša situácia, väčšina z nich vám skôr zhorší týždeň, než aby vám pomohla.
Táto stránka je o opačnom prípade: zodpovedáte za bezpečnosť, nerobíte to na plný úväzok a nikto nepríde pomôcť.
Tri veci, ktoré sa skutočne kazia
Keď sa rozprávate s dostatočným počtom ľudí v tejto pozícii, stále sa vracajú rovnaké tri problémy.
Neviete spísať, čo máte. Hlavný web a produkt sú jednoduché. Potom je tu blog na subdoméne, do ktorej sa nikto neprihlásil od odchodu obsahového manažéra, dočasné testovacie prostredie a DNS záznam smerujúci na službu, ktorú firma zrušila pred dvoma rokmi. Zoznam, ktorý nemáte, nemôžete brániť.
Nástroj vytvára viac práce, než odoberá. Skener, ktorý vráti štyristo nálezov, z ktorých pätina patrí niekomu inému, vám nepomohol. Pridal triedenie k vašej skutočnej práci. Keď prestanete veriť výsledku, začnete spolu s hlukom ignorovať aj skutočné nálezy.
Neviete odpovedať smerom nahor. Niekto sa opýta, či sa veci zlepšujú. Máte report plný závažností, ale neviete ho premeniť na jednu vetu.
Čo sme proti tomu postavili
Zoznam, ktorému môžete veriť, pretože ste ho dodali vy. Pripojte DNS poskytovateľa - Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner alebo Contabo - alebo nahrajte zónový súbor. Z týchto domén sa stanú sledované aktíva. Objavovanie beží súbežne a hľadá to, čo vaše DNS nepozná. Rozdiel oproti nástroju, ktorý odhaduje majetok z internetu, je v tom, že cudzí server sa vo vašom reporte neobjaví.
Pred skenovaním preukážete, že doménu kontrolujete. Je to zámerné obmedzenie a dôvod, prečo report o vašej infraštruktúre zostane reportom o vašej infraštruktúre.
Nálezy, ktoré prichádzajú s ďalším krokom. Nad overenými aktívami beží šesť kontrol: objavovanie, TLS a certifikáty, HTTP bezpečnosť a známe CVE, otvorené porty, DNS a e-mailová autentifikácia a reputácia domény. Každý nález dokáže vysvetliť AYA, asistent zabudovaný v reporte - čo znamená a čo s ním urobiť. Nemusíte čítať iba identifikátor CVE a otvárať vyhľadávač.
Jedna známka, ktorú môžete povedať nahlas. Každá kontrola vytvorí skóre a písmeno od A+ po F, ktoré sa spoja do celkovej známky. „Tento štvrťrok sme sa posunuli z D na B“ je veta, ktorej netechnický manažér rozumie. Technické detaily zostávajú pod ňou.
Sleduje bez toho, aby ste si museli spomenúť. Nastavte plán skenov a dostanete upozornenie, keď známka klesne alebo sa blíži koniec platnosti certifikátu. Stav sa potichu zhoršuje - hlavička vypadne pri nasadení alebo sa protokol znovu zapne kvôli kompatibilite. Všimnúť si to je presne práca, na ktorú bezpečnostná funkcia na čiastočný úväzok nemá čas.
Čo robiť nebude
Jasnosť šetrí čas všetkým.
- Pozerá sa iba zvonka. Interné siete, notebooky zamestnancov a všetko za obvodom sú mimo rozsahu.
- Nie je správou cloudovej pozície. Zle nastavené úložisko a pravidlá IAM sú iný problém a iný nástroj.
- Nie je úplným programom bezpečnosti aplikácií. HTTP sken používa OWASP ZAP a nájde veľa, ale hlboké autentifikované testovanie aplikácií je samostatná disciplína.
- Nespraví vás vyhovujúcimi. Dostanete nálezy, známky a dátovaný záznam. Certifikáciu vykonáva posudzovateľ.
Ak je vaším hlavným problémom niečo z toho, nie sme odpoveď a je lepšie to vedieť hneď.
Ako začať realisticky
Pridanie domény a spustenie Discovery trvá niekoľko minút. Dlhšie trvá preukázanie kontroly nad doménou, pretože vyžaduje DNS záznam. Ak DNS nespravujete vy, musíte o to požiadať niekoho iného a počkať.
Je lepšie s tým počítať než byť prekvapený. Overenie koreňovej domény pokryje aj jej subdomény, takže ide o jednu požiadavku namiesto jednej na každý host.
Bezplatný plán je bezplatný natrvalo: jeden člen, týždenné skeny a sedem dní histórie. Stačí na to, aby ste videli vlastnú útočnú plochu a rozhodli sa, či patrí do vášho týždňa.
Často kladené otázky
Nie som bezpečnostný špecialista. Nebude to pre mňa príliš zložité?
Nálezy sú vysvetlené priamo v reporte. Stretnete sa s výrazmi, ktoré si budete musieť vyhľadať, ale nedostanete iba zoznam čísel CVE bez ďalšej pomoci.
Koľko času to každý týždeň zaberie?
Po naplánovaní skenov žiadny, kým sa niečo nezmení a nedostanete upozornenie. Práca je v prvom nastavení a v riešení toho, čo sa vráti.
Už máme skener zraniteľností.
Potom je otázkou, či pozná všetko, čo vystavujete. Skener kontroluje aktíva, na ktoré ho nasmerujete; tento problém rieši aktíva, na ktoré nikto nenasmeroval žiadny sken.
Môžem to ukázať vedeniu?
Na to slúži známka a export PDF. Existuje aj samostatná stránka o budovaní dôkazov, ktorú prijme manažér alebo audítor.
Čo ak nájdem niečo, čo neviem opraviť?
Opýtajte sa AYA v reporte. Ak je problém nad jeho rámec, nález vám aspoň presne povie, čo máte odovzdať človeku, ktorý ho vyrieši.