Bezpečnostné skenery
Štyri skenery pre štyri vrstvy, ku ktorým sa môže dostať človek zvonka. Každý odpovedá na inú otázku, každý vytvorí hodnotenie od A+ po F a každý uchová výsledok, aby bolo možné porovnať ďalší sken.
Bezplatné bezpečnostné skenery pre TLS, porty, HTTP a DNS
Online skener portov
Čo je táto infraštruktúra ochotná ukázať cudziemu človeku? Otvorené porty, služba a jej verzia tak, ako ich vidí človek zvonka. Poháňa ho Nmap.
Kontrola SSL/TLS
Je šifrovanie v poriadku a kedy vyprší certifikát? Verzie protokolov, šifrovacie sady, reťazec certifikátov a dátumy platnosti. Poháňa ju testssl.sh.
Kontrola bezpečnosti HTTP
Je webová aplikácia nastavená defenzívne? Bezplatná kontrola bezpečnostných hlavičiek a technológií, ktoré server prezrádza. Po prihlásení aj známe slabiny pomocou skenu OWASP ZAP.
Kontrola bezpečnosti DNS
Môže ktokoľvek posielať e-maily, ktoré vyzerajú, akoby prišli od vás? SPF, DKIM (vlastný selector), DMARC, MTA-STS a TLS-RPT, rovnako ako DNSSEC a samotné záznamy.
V DNS rozhodujú o tom, či možno vašu doménu napodobniť, dva typy záznamov:
Kontrola DNSSEC
Je vaše DNS podpísané a validuje sa?
Kontrola SPF
Ktoré servery môžu odosielať poštu za vašu doménu?
Kontrola DKIM
Existuje pre váš selector záznam DKIM?
Kontrola DMARC
Čo sa stane s poštou, ktorá kontrolou neprejde?
Kontrola MTA-STS
Je zverejnená bezpečnostná politika prenosu pošty?
V čom sa líšia od desiatok bezplatných skenerov
Väčšina online skenerov skontroluje ľubovoľnú adresu, ktorú zadáte, výsledok vydáva za úplné posúdenie a tým skončí. Je to pohodlné a tiež preto je táto oblasť plná reportov, ktoré nikto neberie vážne.
Bezplatné nástroje a čo je nad nimi.
Nájde toho aj viac. Piaty typ skenu, Dôveryhodnosť, beží iba tu - zoznamy DNSBL, RDAP/WHOIS a zdroje informácií o zneužití a hrozbách. Aj ďalšie štyri idú do väčšej hĺbky: TLS pridáva kontrolu známych zraniteľností ako Heartbleed a POODLE, porty sa porovnávajú s databázou CVE namiesto samotnej identifikácie, HTTP sa skenuje pomocou OWASP ZAP namiesto jedinej požiadavky a DNS pridáva expozíciu prenosu zóny, wildcard záznamy, otvorené resolvery, riziko prevzatia subdomény a osirotené záznamy. Skeny sa tiež spúšťajú podľa plánu namiesto jednorazovo a výsledky možno exportovať do PDF alebo cez API.
Štyri bezplatné nástroje na tejto stránke takto nefungujú.
Každý vykonáva živú kontrolu vašej skutočnej infraštruktúry - skutočný sieťový sken, skutočné vyjednanie spojenia s hostiteľom cez TLS a skutočnú HTTP požiadavku načítanú pre hlavičky, cookies a technológie - namiesto vyhľadania v databáze vydávaného za sken. Každý jasne hovorí, čo pokrýva a čo nie, a nikto sa najprv nepýta, kto ste: netreba účet, iba obmedzenie podľa IP a pravidlo, že cieľ musí byť skutočná verejná adresa, než sa začne skenovať. Výsledok si prečítate raz - v pamäti zostane približne pätnásť minút a pred jeho zmiznutím si ho môžete stiahnuť - a na našej strane po ňom nič nezostane.
Aplikácia nad nimi je miesto, kde žijú časti, ktoré anonymný sken zo svojej podstaty zvládnuť nemôže.
Overte doménu raz - DNS záznamom, súborom na známej ceste alebo meta tagom, raz pre apex doménu vrátane subdomén - a každý sken proti nej sa počíta ako dôkaz, ktorý možno ukázať audítorovi, čo anonymný výsledok nikdy nedokáže. Každý sken sa tiež uchová namiesto jednorazového prečítania: séria ukazuje, ako sa vaša expozícia skutočne zmenila, a práve tá odpovedá na otázku manažéra alebo audítora: zlepšuje sa to? To je samostatná schopnosť.
Ako do seba päť častí zapadá
Každý skener vytvorí skóre od 0 do 100 a hodnotenie od A+ po F. Spolu sa spoja do jedného výsledného hodnotenia váženého podľa toho, akú veľkú časť rizika typickej infraštruktúry jednotlivé vrstvy predstavujú. Dôveryhodnosť domény je jediná časť, ktorú aplikácia pridáva k štyrom vyššie uvedeným bezplatným nástrojom:
| Vrstva | Váha |
|---|---|
| HTTP | 30 % |
| TLS | 20 % |
| Porty | 20 % |
| DNS | 20 % |
| Dôveryhodnosť domény | 10 % |
Výsledné číslo uvediete v mesačnom reporte. Jednotlivé hodnotenia ukazujú, kde treba pracovať. Dokumentácia vysvetľuje čo jednotlivé typy skenov pokrývajú.
Zabudovaný Discovery nájde inventár, nad ktorým beží päť vyššie uvedených skenov - bez skóre, ale záleží na ňom viac, než to znie, pretože zdroj zoznamu aktív rozhoduje o tom, či má vôbec zmysel výsledky čítať.
Jeden sken opíše len jedno popoludnie
Bezpečnostný stav sa zhoršuje potichu. Po nasadení zmizne hlavička. Certifikát sa blíži k expiracii. Protokol sa znova povolí kvôli kompatibilite a už sa nevypne. DNS záznam prežije službu, na ktorú ukazoval.
Nič z toho sa neohlási a nič sa viditeľne nerozbije, preto jednorazové posúdenie rýchlo zastaráva, zatiaľ čo plánované skeny nie. Skeny môžu podľa plánu bežať týždenne, denne alebo každú hodinu a pokles hodnotenia medzi dvoma skenmi sa stane správou namiesto niečoho, čo musíte sami hľadať.
Pre tímy, ktoré to potrebujú sledovať naprieč servermi a endpointmi, nielen zvonka, je tu samostatná schopnosť.
Bezpečnostné skenery pre tímy a MSSP
Začnite jednou doménou
Overte ju, spustite Discovery a pozrite sa, čo sa vráti, skôr než naplánujete niečo širšie.
Každý typ skenu je súčasťou každého plánu vrátane bezplatného.