Hogyan bizonyítsd be, hogy javítottad
A biztonsági probléma megtalálása egy feladat. A javítás bizonyítása más, és a legtöbb eszköz csak az elsőnél segít. Ha még mindig azon dolgozik, hogy mit tegyen ki először, kezdje a [támadási felület kezelési útmutatójával] (/attack-surface-management/).
A különbség azért számít, mert általában nem volt ott az a személy, akinek meggyőzésre van szüksége. A jövő évi költségvetést elfogadó vezető, egy könyvvizsgáló kérbizonyíték, egy ügyfél biztonsági kérdőívet küld, egy biztosító áraz egy kötvényt – egyikük sem figyelte, hogy javítasz valamit. Szükségük van valamire, amit tudnak olvasni.
Ez az oldal ennek a valaminek a felépítéséről szól.
Miért kérnek most erre?
Egy 2026 augusztusában közzétett nyílt levélben 116 szervezet – köztük a Microsoft, a Google, az AWS, a Cisco, a Cloudflare, a CrowdStrike, az IBM, az Oracle és a Palo Alto Networks – felszólított minden szervezetet, hogytávolítsa el legkockázatosabb gyengeségeit és ellenőrizze az eredményeket anélkül, hogy megzavarná az alapvető szolgáltatásokat. (Felhívás a kibervédelemmel kapcsolatos kollektív fellépésre, OpenAI)
Ez a második fele az a rész, amely megváltoztatja a munkát. A "foltoztuk" már régóta elfogadható válasz. Egyre kevésbé elfogadható.
Mi számít bizonyítéknak, és mi nem
A tiszta beolvasás képernyőképe nem bizonyíték. Aztnincs előtte, nincs dátuma, amelyet nem szerkeszthet, és te magad készítetted.
A kármentesítés bizonyítékához négy dologra van szükség:
1.
Előtte. A probléma, ahogy volt, a dátummal.
2.
Utána. Ugyanaz az ellenőrzés, ugyanúgy fut, későbbi dátummal.
3.
Egy módszer. Mit és hogyan ellenőriztek, tehát a kettő összehasonlítható.
4.
Olyan forrás, amely nem a saját állítása. Valami eszköz által generált, nem a kérdezett személy által gépelt.
Hiányzik valaki, és visszatérsz ahhoz, hogy inkább higgyenek neki, mintsem mutassák meg.
A legolcsóbb módja annak, hogy mind a négyet megmérjük, mielőtt bárki megkérdezné. Bizonyítékot nem lehet visszamenőleg előállítani – ha nincs feljegyzés a problémáról, akkor nincs mód annak bizonyítására, hogy a probléma megszűnt.
Amit minden közönség valójában akar
Nem ugyanazt a kérdést teszik fel, és ha mindegyiküknek ugyanazt a PDF-fájlt küldik, ez általában miért megy rosszul.
| Ki kérdez | Amit valójábanakar | Mit kell küldeni |
|---|---|---|
| Az Ön vezetése | Változott valamit az elköltött pénzünk? | Egy szám az idő múlásával. A D-ből B-be került osztályzat több mint negyven megoldott megállapítást jelent |
| Egy könyvvizsgáló | Be tudod mutatni, hogy működik a vezérlő? | A dátum előtt, a dátum után és a módszer. A részleteket itt várjuk |
| Az ügyfél biztonsági felülvizsgálata | Kockázatos vagy számunkra? | Egy aktuális összefoglaló, megosztható, amelyhez nem szükséges fiókot létrehozni |
| Anbiztosító vagy beszerzési csoport | Javul vagy romlik a testtartásod? | A trend, nem a pillanatkép |
A gyakori hiba az, hogy egy könyvvizsgálói részletességi szintet elküldenek a vezetőnek, vagy egy vezetői összefoglalót egy könyvvizsgálónak. Az elsőt figyelmen kívül hagyja; a második kérdésekkel tér vissza.
Hogyan építsük meg a nyomvonalat
Ez minden olyan eszközzel működik, amely őrzi a történelmet. A sorrend fontosabb, mint a termék.
1. Határozza meg az alapvonalat, mielőtt bármit javítana.Ez visszafelé tart, és ez az a lépés, amit az emberek kihagynak. Egy szkennelés ma, amíg a problémák továbbra is fennállnak, három hónap múlva az "előtte" lesz. A javítást követően a rekord nem hozható létre.
2. Használjon egyetlen olyan mértéket, amely túléli a fordítást. A keresések száma nő, ha jobban megnézi, így a javulás hanyatlásnak tűnik. Egyetlen fokozatos mérték abba az irányba mozdul el, amelyet egy nem műszaki olvasó elvár.
3. Futtassa újra ugyanazokat az ellenőrzéseket aütemezése, nem kézzel. Két eltérően lefutott vizsgálat nem hasonlítható össze, és a bizonyítékok nyomvonala egy hiányossággal felveti a kérdést, amelyet a legkevésbé szeretne.
4. Tartsa az előzményeket elég hosszú ideig ahhoz, hogy számítson. Egy hónapnyi történelem megoldást jelent. Egy év program bizonyít. Bármit is őriz meg a szerszáma, az a leghosszabb időszak, amelyet valaha is bemutathat – ellenőrizze most, ne decemberben.
5. Rögzítse a javítást, ne csak az eredményt. Mit változtatott, ki, mikor. A vizsgálat azt mutatja, hogy a probléma megszűnt; ez azt mutatja, hogy okkal állt le, és nem véletlenül.
Hogyan csinálja ezt az AYAsec
Minden szkennelés 0-100-as pontszámot és A+-tól F-ig tartó osztályzatot ad, így az előtte és utána egy összehasonlítható szám, nem pedig két lista.
A vizsgálatok ütemezetten futhatnak, ami azt jelenti, hogy a rekord felhalmozódik anélkül, hogy bárkinek eszébe jutna elkészíteni. Ha egy évfolyamcsökken a szkennelések között, azt mondják – nem kell észrevennie.
A jelentések PDF formátumban exportálhatók kétféle formában: rövid a lezárást akaró közönség számára, teljes a munkavégzést igénylő közönség számára. Bármely jelentést megosztott hivatkozásokká is lehet alakítani, amelyek AYAsec-fiók nélkül nyílnak meg, és általában az ügyfél biztonsági felülvizsgálata ezt szeretné.
A jelentésben található mezőkért lásd: hogyan kell olvasni ajelentés a dokumentumokban.
A tervtől függ, hogy mennyi előzményt őriz meg: hét nap ingyenesen, harminc nap a Starteren, a Pro-tól elérhető auditexporttal. Az ingyenes elég ahhoz, hogy lássa, ez működik-e az Ön számára. Decemberben nem elég bizonyítani semmit, és ezt inkább szeptemberben, mint decemberben érdemes tudni.
Mi ez nem
AYAsecleleteket, osztályzatokat és keltezett jegyzőkönyvet készít. Nem ad ki megfelelőségi tanúsítványt vagy tanúsítványt. Senki sem adhat át Önnek egyet a szkennelésből – a tanúsítás egy értékelőt igényel, és az ilyen bizonyítékok inkább hozzájárulnak ehhez a folyamathoz, nem pedig helyettesítik azt.
Ha valaki azt mondja Önnek, hogy a szkennere megfelelővé tesz, akkor ezt kétszer érdemes elolvasni.
Gyakran ismételt kérdések
Kijavítottuk a dolgokat, mielőtt elkezdtükmérő. Megmutathatjuk még?
Nem ezekre a javításokra, és ezen semmilyen eszköz nem tudja megváltoztatni. Kezdje el a rekordot most, hogy a következő kör bizonyítható legyen.
Elegendő egy osztályzat önmagában?
Általában a menedzsmentnek. Egy könyvvizsgáló esetében nem – a mögöttes megállapításokat és a dátumokat akarják kérni, erre szolgál a teljes jelentés.
Meddig tartsuk vissza a bizonyítékokat?
Elég hosszú ahhoz, hogy lefedje azt a ciklust, amelyről megkérdezik. Az éves költségvetési megbeszélések és az éves ellenőrzések egyaránt azt jelentik, hogy egy év azgyakorlati válasz.
Megmutathatjuk ezt egy ügyfélnek anélkül, hogy hozzáférést adnánk a fiókunkhoz?
Igen. A jelentés megosztható hivatkozásként, amely fiók nélkül nyílik meg, és a hivatkozás visszavonható.
A tiszta jelentés azt jelenti, hogy biztonságban vagyunk?
Ez azt jelenti, hogy az adott napon átmentek az ellenőrzések. Ez egy hasznos dolog, amit meg lehet mutatni, és ez nem ugyanaz az állítás.