Wenn Sie das Sicherheitsteam sind
Viele Sicherheitstools setzen ein Team dahinter voraus – Leute, die Warnungen selektieren, Regeln anpassen und Besitzer verfolgen. Wenn das nicht Ihre Situation ist, macht das meiste davon Ihre Woche eher schlechter als besser.
Auf dieser Seite geht es um den anderen Fall: Sie sind für die Sicherheit verantwortlich, machen das nicht hauptberuflich und niemand wird kommen, um zu helfen.
Die drei Dinge, die tatsächlich schief gehen
Reden Sie mitEs gibt genug Leute in dieser Position und die gleichen drei Probleme kommen wieder.
Sie können nicht auflisten, was Sie haben. Die Hauptwebsite und das Produkt sind einfach. Dann ist da noch der Blog auf einer Subdomain, bei der sich seit dem Weggang des Content-Leads niemand mehr angemeldet hat, die Staging-Umgebung, die nur temporär sein sollte, und der DNS-Eintrag, der auf einen Dienst verweist, den das Unternehmen vor zwei Jahren eingestellt hat. Sie können eine Liste, die Sie nicht haben, nicht verteidigen.
Das Tool erzeugt mehr Arbeitals es entfernt. Ein Scanner, der vierhundert Ergebnisse zurückgibt, von denen sich herausstellt, dass ein Fünftel jemand anderem gehört, hat Ihnen nicht geholfen. Es hat Ihnen zusätzlich zu Ihrer eigentlichen Aufgabe eine Sortieraufgabe übertragen – und sobald Sie aufhören, der Ausgabe zu vertrauen, beginnen Sie, neben dem Lärm auch die tatsächlichen Erkenntnisse zu ignorieren.
Sie können die Frage nicht nach oben beantworten. Jemand fragt, ob es besser wird. Sie haben einen Bericht voller Schweregrade und keine Möglichkeit, daraus einen zu machenSatz.
Was wir dagegen aufgebaut haben
Eine Liste, der Sie vertrauen können, weil Sie sie bereitgestellt haben. Verbinden Sie Ihren DNS-Anbieter – Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner oder Contabo – oder laden Sie eine Zonendatei hoch, und diese werden zu den Assets, die wir überwachen. Discovery wird parallel ausgeführt, um herauszufinden, worüber Ihr DNS nichts weiß. Der Unterschied zu einem Tool, das Ihren Nachlass aus dem Internet ableitet, besteht darin, dass der Server einer anderen Person nicht in Ihrem Bericht erscheinen kann.
VorWenn alles gescannt wird, beweisen Sie, dass Sie die Kontrolle über die Domain haben. Dies ist eine bewusste Einschränkung und der Grund dafür, dass ein Bericht über Ihre Infrastruktur über Ihre Infrastruktur bleibt.
Ergebnisse, die im nächsten Schritt anfallen. Sechs Prüfungen werden anhand verifizierter Assets durchgeführt: Erkennung, TLS und Zertifikate, HTTP-Sicherheit und bekannte CVEs, offene Ports, DNS- und E-Mail-Authentifizierung sowie Domänenreputation. Jeder Befund kann von AYA, der Assistentin, erklärt werdenin den Bericht - was es bedeutet und was dagegen zu tun ist - Sie lesen also nicht eine CVE-Kennung und öffnen eine Suchmaschine.
Eine Note, die Sie laut aussprechen können. Jeder Check ergibt eine Punktzahl und einen Buchstaben von A+ bis F, zusammengefasst in einer Gesamtnote. „Wir sind in diesem Quartal von D nach B gegangen“ ist ein Satz, den ein nicht-technischer Manager versteht. Darunter sind die technischen Details immer noch für Sie da.
Es schaut weiter zu, ohne dass du dich daran erinnerst.Legen Sie Scans in einen Zeitplan und Sie werden informiert, wenn eine Note sinkt oder ein Zertifikat abläuft. Die Haltung verfällt stillschweigend – ein Header wurde bei einer Bereitstellung gelöscht, ein Protokoll wurde wieder aktiviert, um eine Kompatibilitätsbeschwerde zu beheben – und zu bemerken, dass genau das die Arbeit ist, für die eine Teilzeit-Sicherheitsfunktion keine Zeit hat.
Was es nicht tun wird
Sich darüber im Klaren zu sein, spart allen Zeit.
- Es sieht nur von außen aus. Interne Netzwerke, Mitarbeiter-Laptops und alles, was sich hinter dem Perimeter befindet, fallen nicht in den Geltungsbereich.
- Es handelt sich nicht um Cloud Posture Management. Falsch konfigurierte Speicher- und IAM-Richtlinien sind ein anderes Problem und ein anderes Tool.
- Es handelt sich nicht um ein vollständiges Anwendungssicherheitsprogramm. Der HTTP-Scan verwendet OWASP ZAP und findet eine Menge, aber das Testen tiefgreifender authentifizierter Anwendungen ist eine eigene Disziplin.
- Es macht dich nichtkonform. Sie erhalten Befunde, Noten und ein datiertes Protokoll. Für die Zertifizierung ist ein Gutachter zuständig.
Wenn Ihr Hauptproblem eines dieser Probleme ist, sind wir nicht die Lösung und es ist besser, es jetzt zu wissen.
Erste Schritte, realistisch
Das Hinzufügen einer Domäne und das Ausführen von Discovery dauert einige Minuten. Der Schritt, der länger dauert, ist der Nachweis, dass Sie die Kontrolle über die Domäne haben, denn dazu müssen Sie einen DNS-Eintrag hinzufügen – und wenn Sie nicht die Person sind, die DNS verwaltet, müssen Sie nachfragenjemand und wartet.
Es lohnt sich, dies zu planen, anstatt sich davon überraschen zu lassen. Die Überprüfung einer Apex-Domäne deckt ihre Subdomänen ab, es handelt sich also um eine Anfrage und nicht um eine pro Host.
Der kostenlose Plan ist dauerhaft kostenlos: ein Mitglied, wöchentliche Scans, sieben Tage Verlauf. Es reicht aus, die eigene Angriffsfläche zu sehen und zu entscheiden, ob dies in Ihre Woche gehört.
Häufig gefragtFragen
Ich bin kein Sicherheitsspezialist. Wird mir das zu viel werden?
Die Ergebnisse werden im Bericht erläutert und nicht angenommen. Sie werden auf Begriffe stoßen, die Sie nachschlagen müssen, Ihnen wird jedoch keine Liste mit CVE-Nummern ausgehändigt und dort zurückgelassen.
Wie viel Zeit dauert das pro Woche?
Sobald Scans geplant sind, keine, bis sich etwas ändert und Sie darüber informiert werden. Die Arbeit liegt im ersten Setup und im Handeln auf das, was zurückkommt.
Wir verfügen bereits über einen Schwachstellenscanner.
Dann stellt sich die Frage, ob es alles weiß, was Sie preisgeben. Ein Scanner überprüft die Assets, auf die Sie ihn richten. Das Problem, das dadurch gelöst wird, sind die Vermögenswerte, auf die niemand hingewiesen hat.
Kann ich das dem Management zeigen?
Dafür gibt es die Note und den PDF-Export. Es gibt eine [separate Seite zum Erstellen von Beweisen] (/prove-remediation/), die ein Manager oder Prüfer akzeptieren wird.
Was passiert, wenn ich etwas finde?Ich weiß nicht, wie ich das Problem beheben kann?
Fragen Sie AYA im Bericht. Wenn es darüber hinausgeht, sagt Ihnen der Befund zumindest genau, was Sie demjenigen geben sollen, der es tut.