عندما تكون فريق الأمن

تفترض الكثير من أدوات الأمان وجود فريق وراءها - أشخاص لفرز التنبيهات وضبط القواعد ومطاردة المالكين. إذا لم يكن هذا هو وضعك، فإن معظمه يجعل أسبوعك أسوأ وليس أفضل.

تتناول هذه الصفحة الحالة الأخرى: أنت مسؤول عن الأمن، ولا تقوم بذلك بدوام كامل، ولن يصل أحد للمساعدة.

الأشياء الثلاثة التي تسير بشكل خاطئ بالفعل

تحدث إلىعدد كافٍ من الأشخاص في هذا الموقف وتعود نفس المشاكل الثلاث.

لا يمكنك سرد ما لديك. الموقع الرئيسي والمنتج سهلان. ثم هناك المدونة الموجودة على نطاق فرعي لم يسجل أحد الدخول إليه منذ مغادرة قائد المحتوى، والبيئة المرحلية التي كان من المفترض أن تكون مؤقتة، وسجل DNS الذي يشير إلى خدمة ألغتها الشركة قبل عامين. لا يمكنك الدفاع عن قائمة ليست لديك.

تنتج الأداة المزيد من العملبدلاً من أن تزيلها. إن الماسح الضوئي الذي يُرجع أربعمائة نتيجة، يتبين أن خمسها ينتمي إلى شخص آخر، لم يساعدك. لقد أعطاك مهمة فرز بالإضافة إلى وظيفتك الفعلية - وبمجرد أن تتوقف عن الثقة في المخرجات، فإنك تبدأ في تجاهل النتائج الحقيقية بالإضافة إلى الضوضاء.

لا يمكنك الإجابة على السؤال تصاعديًا. يسأل أحدهم ما إذا كانت الأمور تتحسن. لديك تقرير مليء بالشدة ولا توجد طريقة لتحويله إلىجملة.

ما بنيناه ضد هؤلاء

قائمة يمكنك الوثوق بها، لأنك قدمتها. قم بتوصيل موفر DNS الخاص بك - Cloudflare، أو AWS Route 53، أو Azure DNS، أو Google Cloud DNS، أو DigitalOcean، أو GoDaddy، أو Hetzner أو Contabo - أو قم بتحميل ملف منطقة، وستصبح تلك الأصول التي نشاهدها. يعمل الاكتشاف جنبًا إلى جنب للعثور على ما لا يعرفه DNS الخاص بك. الفرق بين الأداة التي تستنتج ممتلكاتك من الإنترنت هو أن خادم شخص آخر لا يمكن أن يظهر في تقريرك.

قبليتم فحص أي شيء، تثبت أنك تسيطر على المجال. يعد هذا قيدًا متعمدًا، وهو السبب وراء بقاء التقرير الخاص بالبنية الأساسية لديك متعلقًا بالبنية الأساسية لديك.

النتائج التي تأتي مع الخطوة التالية. يتم إجراء ستة عمليات فحص على الأصول التي تم التحقق منها: الاكتشاف، وTLS والشهادات، وأمان HTTP وCVEs المعروفة، والمنافذ المفتوحة، ومصادقة DNS والبريد، وسمعة المجال. يمكن تفسير كل نتيجة بواسطة AYA، المساعد الذي تم تصميمهفي التقرير - ماذا يعني ذلك، وماذا تفعل حيال ذلك - حتى لا تقرأ معرف مكافحة التطرف العنيف وتفتح محرك بحث.

درجة واحدة يمكنك قولها بصوت عالٍ. ينتج عن كل فحص درجة وحرف من A+ إلى F، مدمجين في درجة إجمالية واحدة. "لقد انتقلنا من D إلى B في هذا الربع" ​​هي جملة يفهمها المدير غير الفني. وتحته، لا تزال التفاصيل الفنية متاحة لك.

يستمر بالمشاهدة دون أن تتذكر.ضع عمليات الفحص في جدول زمني وسيتم إخبارك عندما تنخفض الدرجة أو تقترب الشهادة من انتهاء صلاحيتها. يتحلل الموقف بهدوء - يتم إسقاط رأس أثناء النشر، ويتم إعادة تمكين البروتوكول لإصلاح شكوى التوافق - وملاحظة أن هذا هو بالضبط العمل الذي لا يوجد وقت لوظيفة أمنية بدوام جزئي للقيام به.

ما لن يفعله

إن الوضوح بشأن هذا الأمر يوفر الوقت للجميع.

  • يبدو من الخارج فقط. الشبكات الداخلية وأجهزة الكمبيوتر المحمولة للموظفين وأي شيء خلف المحيط خارج النطاق.
  • إنها ليست إدارة للوضع السحابي. يعد التخزين الذي تم تكوينه بشكل خاطئ وسياسة IAM مشكلة مختلفة وأداة مختلفة.
  • إنه ليس برنامج أمان تطبيق كامل. يستخدم فحص HTTP OWASP ZAP ويجد الكثير، ولكن الاختبار العميق للتطبيقات الموثقة هو نظام خاص به.
  • لا يجعلكمتوافق. تحصل على النتائج والدرجات وسجل مؤرخ. تتضمن الشهادة مقيمًا.

إذا كانت مشكلتك الرئيسية واحدة من تلك المشكلات، فنحن لسنا الحل ومن الأفضل أن تعرفها الآن.

البدء بشكل واقعي

تستغرق إضافة مجال وتشغيل Discovery بضع دقائق. الخطوة التي تستغرق وقتا أطول هي إثبات أنك تسيطر على المجال، لأن ذلك يعني إضافة سجل DNS - وإذا لم تكن الشخص الذي يدير DNS، فهذا يعني السؤالشخص ما والانتظار.

وهذا يستحق التخطيط له بدلاً من أن نتفاجأ به. يغطي التحقق من النطاق الرئيسي نطاقاته الفرعية، لذا فهو طلب واحد وليس طلبًا واحدًا لكل مضيف.

الخطة المجانية مجانية بشكل دائم: عضو واحد، عمليات فحص أسبوعية، سبعة أيام من التاريخ. يكفي رؤية سطح الهجوم الخاص بك وتحديد ما إذا كان هذا ينطبق على أسبوعك.

قم بإجراء الفحص الأول

سؤال متكررأسئلة

أنا لست متخصصا في الأمن. هل سيكون هذا فوق رأسي؟

تم شرح النتائج في التقرير وليس افتراضها. سوف تستوفي الشروط التي يتعين عليك البحث عنها، ولكن لن يتم تسليمك قائمة بأرقام مكافحة التطرف العنيف وتركها هناك.

كم من الوقت يستغرق هذا كل أسبوع؟

بمجرد جدولة عمليات الفحص، لا شيء، حتى يتغير شيء ما ويتم إخبارك. والعمل يكون في الإعداد الأول وفي التصرف على ما يعود.

لدينا بالفعل أداة فحص الثغرات الأمنية.

ثم السؤال هو ما إذا كان يعرف كل ما تكشفه. يقوم الماسح الضوئي بفحص الأصول التي تشير إليها؛ المشكلة التي يحلها هذا هي الأصول التي لم يشر إليها أحد.

هل يمكنني عرض ذلك على الإدارة؟

هذا هو الهدف من الدرجة وتصدير PDF. هناك صفحة منفصلة عن أدلة البناء سيقبلها المدير أو المدقق.

ماذا يحدث عندما أجد شيئالا أعرف كيفية الإصلاح؟

اسأل آية في التقرير. إذا كان الأمر أبعد من ذلك، فإن النتيجة على الأقل تخبرك بالضبط بما يجب تسليمه لمن يفعل ذلك.