Když jste bezpečnostní tým vy
Mnoho bezpečnostních nástrojů předpokládá, že za nimi stojí celý tým - lidé, kteří třídí upozornění, dolaďují pravidla a hledají vlastníky. Pokud to není vaše situace, většina z nich vám spíše zhorší týden, než aby pomohla.
Tato stránka je o opačném případě: zodpovídáte za bezpečnost, neděláte to na plný úvazek a nikdo nepřijde pomoci.
Tři věci, které se skutečně kazí
Když mluvíte s dostatkem lidí v této pozici, stále se vracejí stejné tři problémy.
Nedokážete sepsat, co máte. Hlavní web a produkt jsou snadné. Pak je tu blog na subdoméně, do které se nikdo nepřihlásil od odchodu obsahového manažera, dočasné testovací prostředí a DNS záznam směřující na službu, kterou firma zrušila před dvěma lety. Seznam, který nemáte, nemůžete bránit.
Nástroj vytváří více práce, než odebírá. Skener, který vrátí čtyři sta nálezů a pětina z nich patří někomu jinému, vám nepomohl. Přidal třídění k vaší skutečné práci. Když přestanete výsledku věřit, začnete spolu s hlukem ignorovat i skutečné nálezy.
Nedokážete odpovědět směrem nahoru. Někdo se zeptá, zda se věci zlepšují. Máte report plný závažností, ale neumíte ho převést do jedné věty.
Co jsme proti tomu postavili
Seznam, kterému můžete věřit, protože jste ho dodali vy. Připojte DNS poskytovatele - Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner nebo Contabo - nebo nahrajte zónový soubor. Z těchto domén se stanou sledovaná aktiva. Objevování běží souběžně a hledá to, co vaše DNS nezná. Rozdíl proti nástroji, který odhaduje majetek z internetu, je v tom, že cizí server se ve vašem reportu neobjeví.
Před skenováním prokážete, že doménu kontrolujete. Je to záměrné omezení a důvod, proč report o vaší infrastruktuře zůstane reportem o vaší infrastruktuře.
Nálezy, které přicházejí s dalším krokem. Nad ověřenými aktivy běží šest kontrol: objevování, TLS a certifikáty, HTTP bezpečnost a známá CVE, otevřené porty, DNS a e-mailová autentizace a reputace domény. Každý nález umí vysvětlit AYA, asistent zabudovaný v reportu - co znamená a co s ním dělat. Nemusíte číst jen identifikátor CVE a otevírat vyhledávač.
Jedna známka, kterou můžete říct nahlas. Každá kontrola vytvoří skóre a písmeno od A+ do F, které se spojí do celkové známky. „Tento kvartál jsme se posunuli z D na B“ je věta, které netechnický manažer rozumí. Technické detaily pod ní zůstávají.
Sleduje bez toho, abyste si museli vzpomenout. Nastavte plán skenů a dostanete upozornění, když známka klesne nebo se blíží konec platnosti certifikátu. Stav se potichu zhoršuje - hlavička vypadne při nasazení nebo se protokol znovu zapne kvůli kompatibilitě. Všimnout si toho je přesně práce, na kterou bezpečnostní funkce na částečný úvazek nemá čas.
Co dělat nebude
Jasnost šetří čas všem.
- Dívá se pouze zvenčí. Interní sítě, notebooky zaměstnanců a vše za obvodem jsou mimo rozsah.
- Není správou cloudové pozice. Špatně nastavené úložiště a pravidla IAM jsou jiný problém a jiný nástroj.
- Není úplným programem bezpečnosti aplikací. HTTP sken používá OWASP ZAP a najde mnoho, ale hluboké autentizované testování aplikací je samostatná disciplína.
- Neudělá vás vyhovujícími. Dostanete nálezy, známky a datovaný záznam. Certifikaci provádí posuzovatel.
Pokud je vaším hlavním problémem něco z toho, nejsme odpověď a je lepší to vědět hned.
Jak začít realisticky
Přidání domény a spuštění Discovery trvá několik minut. Déle trvá prokázání kontroly nad doménou, protože vyžaduje DNS záznam. Pokud DNS nespravujete vy, musíte o to požádat někoho jiného a čekat.
Je lepší s tím počítat než být překvapený. Ověření kořenové domény pokryje i její subdomény, takže jde o jednu žádost místo jedné pro každý host.
Bezplatný plán je zdarma natrvalo: jeden člen, týdenní skeny a sedm dní historie. Stačí k tomu, abyste viděli vlastní útočnou plochu a rozhodli se, zda patří do vašeho týdne.
Často kladené otázky
Nejsem bezpečnostní specialista. Nebude to na mě příliš složité?
Nálezy jsou vysvětlené přímo v reportu. Setkáte se s výrazy, které si budete muset vyhledat, ale nedostanete pouze seznam čísel CVE bez další pomoci.
Kolik času to každý týden zabere?
Po naplánování skenů žádný, dokud se něco nezmění a nedostanete upozornění. Práce je v prvním nastavení a v řešení toho, co se vrátí.
Už máme skener zranitelností.
Pak je otázkou, zda zná vše, co vystavujete. Skener kontroluje aktiva, na která ho nasměrujete; tento problém řeší aktiva, na která nikdo nenasměroval žádný sken.
Mohu to ukázat vedení?
K tomu slouží známka a export PDF. Existuje také samostatná stránka o budování důkazů, kterou přijme manažer nebo auditor.
Co když najdu něco, co neumím opravit?
Zeptejte se AYA v reportu. Pokud je problém nad jeho rámec, nález vám alespoň přesně řekne, co předat člověku, který ho vyřeší.