あなたがセキュリティチームの場合
多くの セキュリティ ツール は、アラートの優先順位付け、ルールの調整、所有者の追跡などを行うチームの存在を前提としています。それがあなたの状況ではない場合、ほとんどの場合、その週は良くなるどころか、むしろ悪化してしまいます。
このページでは、もう 1 つのケースについて説明します。つまり、あなたにはセキュリティの責任があり、フルタイムでそれを行っているわけではなく、誰も助けに来てくれないということです。
実際にうまくいかない 3 つのこと
話すこのポジションに十分な数の人がいると、同じ 3 つの問題が再発します。
自分が持っているものをリストすることはできません。 メインの Web サイトと製品は簡単です。さらに、コンテンツリーダーが去って以来誰もログインしていないサブドメイン上のブログ、一時的なものであるはずのステージング環境、そして同社が2年前にキャンセルしたサービスを指しているDNSレコードもあります。自分が持っていないリストを擁護することはできません。
このツールはより多くの作業を生み出します スキャナーは 400 件の結果を返し、そのうちの 5 分の 1 は他人のものであることが判明しても、役に立ちません。これにより、実際の仕事に加えて分類作業が必要になり、出力を信頼しなくなると、ノイズとともに実際の発見を無視し始めることになります。
上向きの質問に答えることはできません。 状況は良くなっているのかと尋ねる人がいます。重大度が満載のレポートがあり、それを問題に変換する方法がありません。文。
それらに対して私たちが構築したもの
あなたが提供したリストなので、信頼できます。 DNS プロバイダー (Cloudflare、AWS Route 53、Azure DNS、Google Cloud DNS、DigitalOcean、GoDaddy、Hetzner、または Contabo) に接続するか、ゾーン ファイルをアップロードすると、それらが私たちが監視する資産になります。 Discovery は、DNS が認識していないものを見つけるために並行して実行されます。インターネットからあなたの財産を推測するツールとの違いは、他人のサーバーがレポートに表示されないことです。
前にあらゆるものがスキャンされると、ドメインを制御していることが証明されます。これは意図的な制約であり、インフラストラクチャに関するレポートがインフラストラクチャに関するものにとどまる理由です。
次のステップで得られる結果。 検証された資産に対して 6 つのチェックが実行されます: 検出、TLS と証明書、HTTP セキュリティと既知の CVE、オープン ポート、DNS とメール認証、ドメイン レピュテーション。それぞれの発見は、構築されたアシスタントである AYA によって説明できます。そのため、CVE 識別子を読んで検索エンジンを開く必要はありません。
大声で言える 1 つのグレード。 各チェックでスコアと A+ から F までの文字が生成され、それらを組み合わせて 1 つの総合グレードが作成されます。 「今四半期は D から B になりました」という文は、技術系ではないマネージャーでも理解できます。その下には、技術的な詳細がまだ表示されています。
それはあなたが覚えていなくても見続けます。スキャンをスケジュールに登録しておくと、成績が下がったり、証明書の有効期限が近づいたりしたときに通知されます。デプロイ時にヘッダーがドロップされ、互換性の問題を修正するためにプロトコルが再度有効になり、ポスチャは静かに衰退します。そして、それこそパートタイムのセキュリティ機能には時間のない作業であることに気づきます。
できないこと
これを明確にしておくことで、全員の時間を節約できます。
- 外部からのみ見えます。 内部ネットワーク、従業員のラップトップ、および境界の内側にあるものは対象外です。
- これはクラウドポスチャ管理ではありません。 ストレージと IAM ポリシーの構成が間違っていることは、別の問題であり、別のツールです。
- これは完全なアプリケーション セキュリティ プログラムではありません。 HTTP スキャンは OWASP ZAP を使用し、多くのことを検出しますが、詳細な認証されたアプリケーション テストは独自の分野です。
- それはあなたを作りません 準拠しています。** 所見、成績、および日付の記録が得られます。認証には評価者が関与します。
あなたの主な問題がこれらのいずれかである場合、私たちは答えを持っていないので、今すぐ知っておく方がよいでしょう。
現実的に始めましょう
ドメインを追加して Discovery を実行するには、数分かかります。より時間がかかるステップは、ドメインを制御していることを証明することです。これは、DNS レコードを追加することを意味します。また、あなたが DNS の管理者でない場合は、次のことを尋ねることになります。誰かが待っています。
それは驚くのではなく、計画する価値があります。 apex ドメインの検証はそのサブドメインをカバーするため、ホストごとに 1 つではなく 1 つのリクエストで済みます。
無料プランは永続的に無料です: 1 メンバー、毎週のスキャン、7 日間の履歴。 自分の攻撃対象領域を確認し、これが自分の週に属するかどうかを判断するだけで十分です。
よくある質問質問
私はセキュリティの専門家ではありません。これは頭の痛い問題でしょうか?
調査結果は推測ではなく、レポートで説明されています。調べなければならない用語が出てきますが、CVE 番号のリストを渡されてそのまま放置されることはありません。
これには毎週どのくらい時間がかかりますか?
スキャンがスケジュールされると、何かが変更されて通知されるまではスキャンは実行されません。仕事は最初のセットアップと、戻ってきたものに基づいて行動することにあります。
私たちはすでに脆弱性スキャナーを持っています。
次に問題は、あなたが公開したすべてのことをそれが知っているかどうかです。スキャナーは、指定された資産をチェックします。これで解決される問題は、誰もそれを指さなかった資産です。
これを経営陣に見せてもいいですか?
それが採点と PDF エクスポートの目的です。マネージャーまたは監査人が受け入れる証拠の構築に関する別のページがあります。
何かを見つけたらどうなるか修正方法がわかりません。
AYAさんにレポートで聞いてみます。それを超えている場合、その結果は少なくとも、誰に何を渡すべきかを正確に示します。