Quando você é a equipe de segurança
Muitas ferramentas de segurança pressupõem uma equipe por trás delas: pessoas para fazer a triagem de alertas, ajustar regras e perseguir proprietários. Se essa não for a sua situação, a maior parte dela tornará a sua semana pior, em vez de melhor.
Esta página é sobre o outro caso: você é responsável pela segurança, não está fazendo isso em tempo integral e ninguém vai chegar para ajudar.
As três coisas que realmente dão errado
Fale comhá gente suficiente nesta posição e os mesmos três problemas voltam.
Você não pode listar o que você tem. O site principal e o produto são fáceis. Depois, há o blog em um subdomínio no qual ninguém fez login desde que o líder de conteúdo saiu, o ambiente de teste que deveria ser temporário e o registro DNS apontando para um serviço que a empresa cancelou há dois anos. Você não pode defender uma lista que não possui.
A ferramenta produz mais trabalhodo que remove. Um scanner que retorna quatrocentas descobertas, das quais um quinto pertence a outra pessoa, não o ajudou. Isso lhe deu um trabalho de classificação além do seu trabalho real - e quando você para de confiar na saída, você começa a ignorar as descobertas reais junto com o ruído.
Você não pode responder à pergunta de cima para baixo. Alguém pergunta se as coisas estão melhorando. Você tem um relatório cheio de gravidades e não tem como transformá-lo em umsentença.
O que construímos contra aqueles
Uma lista em que você pode confiar, porque você a forneceu. Conecte seu provedor de DNS - Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner ou Contabo - ou carregue um arquivo de zona, e esses se tornarão os ativos que monitoramos. A descoberta é executada paralelamente para descobrir o que seu DNS não conhece. A diferença de uma ferramenta que infere seu patrimônio pela Internet é que o servidor de outra pessoa não pode aparecer no seu relatório.
Antestudo é verificado, você prova que controla o domínio. Essa é uma restrição deliberada e é a razão pela qual um relatório sobre a sua infra-estrutura permanece sobre a sua infra-estrutura.
Descobertas que acompanham a próxima etapa. Seis verificações são executadas em ativos verificados: descoberta, TLS e certificados, segurança HTTP e CVEs conhecidos, portas abertas, DNS e autenticação de correio e reputação de domínio. Cada descoberta pode ser explicada por AYA, o assistente construídono relatório - o que significa e o que fazer a respeito - para que você não leia um identificador CVE e abra um mecanismo de pesquisa.
Uma nota você pode dizer em voz alta. Cada verificação produz uma pontuação e uma letra de A+ a F, combinadas em uma nota geral. “Passamos de D para B neste trimestre” é uma frase que um gerente não técnico entende. Por baixo, os detalhes técnicos ainda estão lá para você.
Ele continua assistindo sem você lembrar.Programe as verificações e você será avisado quando uma nota cair ou um certificado estiver prestes a expirar. A postura decai silenciosamente - um cabeçalho descartado em uma implantação, um protocolo reativado para corrigir uma reclamação de compatibilidade - e perceber que esse é exatamente o trabalho para o qual uma função de segurança de meio período não tem tempo.
O que não vai fazer
Ser claro sobre isso economiza tempo de todos.
- Parece apenas de fora. Redes internas, laptops de funcionários e qualquer coisa atrás do perímetro estão fora do escopo.
- Não se trata de gerenciamento de postura na nuvem. O armazenamento mal configurado e a política de IAM são um problema diferente e uma ferramenta diferente.
- Não é um programa completo de segurança de aplicativos. A varredura HTTP usa OWASP ZAP e encontra muitas coisas, mas testes profundos de aplicativos autenticados são uma disciplina própria.
- Isso não faz de vocêcompatível. Você obtém resultados, notas e um registro datado. A certificação envolve um avaliador.
Se o seu principal problema é um desses, não somos a resposta e é melhor saber agora.
Primeiros passos, realisticamente
Adicionar um domínio e executar o Discovery leva alguns minutos. A etapa mais demorada é provar que você controla o domínio, pois significa adicionar um registro DNS - e se você não é a pessoa que administra o DNS, significa perguntaralguém e esperando.
Vale a pena planejar isso, em vez de ser surpreendido. A verificação de um domínio apex abrange seus subdomínios, portanto, é uma solicitação em vez de uma por host.
O plano gratuito é gratuito permanentemente: um membro, verificações semanais, sete dias de histórico. Basta ver sua própria superfície de ataque e decidir se ela pertence à sua semana.
Perguntas frequentesperguntas
Não sou especialista em segurança. Isso vai passar da minha cabeça?
As conclusões são explicadas no relatório e não presumidas. Você cumprirá os termos que precisa consultar, mas não receberá uma lista de números CVE e será deixado lá.
Quanto tempo isso leva por semana?
Depois que as verificações forem agendadas, nenhuma, até que algo mude e você seja avisado. O trabalho está na primeira configuração e na atuação no que volta.
Já temos um scanner de vulnerabilidades.
Então a questão é se ele sabe tudo o que você expõe. Um scanner verifica os ativos para os quais você aponta; o problema que isso resolve são os ativos para os quais ninguém apontou.
Posso mostrar isso à gerência?
É para isso que servem a nota e a exportação de PDF. Há uma página separada sobre construção de evidências que um gerente ou auditor aceitará.
O que acontece quando encontro algoNão sei como consertar?
Pergunte a AYA no relatório. Se for além disso, a descoberta pelo menos lhe diz exatamente o que entregar a quem o fizer.