Коли ви команда безпеки
Багато інструментів безпеки припускають, що за ними стоїть команда – люди, які сортують сповіщення, налаштовують правила та переслідують власників. Якщо це не ваша ситуація, більшість з них погіршить ваш тиждень, а не покращить.
Ця сторінка про інший випадок: ти відповідаєш за безпеку, не займаєшся цим повний робочий день, а на допомогу ніхто не приїде.
Три речі, які насправді йдуть не так
Поговорити здостатньо людей на цій посаді, і ті самі три проблеми повертаються.
Ви не можете перерахувати те, що у вас є. Головний веб-сайт і продукт прості. Крім того, є блог у субдоміні, до якого ніхто не входив після того, як залишився джерело вмісту, проміжне середовище, яке мало бути тимчасовим, і запис DNS, що вказує на службу, яку компанія скасувала два роки тому. Ви не можете захистити список, якого у вас немає.
Інструмент виконує більше роботиніж видаляє. Сканер, який повертає чотириста знахідок, п’ята частина з яких належить комусь іншому, вам не допоміг. Він дав вам завдання сортування на додаток до вашої справжньої роботи - і як тільки ви перестаєте довіряти результатам, ви починаєте ігнорувати реальні висновки разом із шумом.
Ви не можете відповісти на питання вгору. Хтось запитує, чи справи йдуть на краще. У вас є звіт, повний суворості, і ви не можете перетворити його наречення.
Що ми створили проти них
Список, якому можна довіряти, оскільки ви його надали. Підключіть свого постачальника DNS – Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner або Contabo – або завантажте файл зони, і вони стануть активами, які ми спостерігаємо. Discovery працює разом, щоб знайти те, про що ваш DNS не знає. Відмінність від інструменту, який визначає вашу нерухомість з Інтернету, полягає в тому, що чужий сервер не може відображатися у вашому звіті.
Ранішевсе сканується, ви підтверджуєте, що контролюєте домен. Це навмисне обмеження, і саме тому звіт про вашу інфраструктуру залишається про вашу інфраструктуру.
Висновки, які з’являються на наступному кроці. Шість перевірок виконуються з перевіреними активами: виявлення, TLS і сертифікати, безпека HTTP та відомі CVE, відкриті порти, автентифікація DNS і пошта, а також репутація домену. Кожну знахідку може пояснити AYA, створений асистенту звіт – що це означає та що з цим робити – щоб ви не читали ідентифікатор CVE і не відкривали пошукову систему.
Одна оцінка, яку ви можете вимовити вголос. Кожна перевірка дає оцінку та літеру від A+ до F, об’єднаних в одну загальну оцінку. «Цього кварталу ми перейшли від D до B» - це речення, яке розуміє нетехнічний менеджер. Під ним все ще є технічні деталі.
Він продовжує дивитися без вашого спогаду.Розмістіть сканування за розкладом, і вам повідомлять, коли оцінка знижується або термін дії сертифіката закінчується. Позиція тихо занепадає - заголовок скинуто під час розгортання, протокол повторно ввімкнено, щоб виправити скаргу на сумісність - і помітити, що це саме та робота, на яку не має часу функція безпеки, яка працює неповний робочий день.
Чого він не зробить
Чіткість щодо цього економить час.
- Це виглядає лише ззовні. Внутрішні мережі, ноутбуки співробітників і все, що знаходиться за периметром, не входять у сферу дії.
- Це не керування хмарою. Неправильно налаштоване сховище та політика IAM – це інша проблема та інший інструмент.
- Це не повна програма захисту додатків. Сканування HTTP використовує OWASP ZAP і знаходить багато, але глибоке автентифіковане тестування додатків є окремою дисципліною.
- Це не робить вассумісний. Ви отримуєте висновки, оцінки та датований запис. У сертифікації бере участь оцінювач.
Якщо ваша головна проблема одна з них, ми не є відповіддю, і краще знати зараз.
Початок роботи, реалістично
Додавання домену та запуск Discovery займає кілька хвилин. Етап, який займає більше часу, - це підтвердження того, що ви контролюєте домен, оскільки це означає додавання запису DNS, і якщо ви не є особою, яка адмініструє DNS, це означає запитхтось і чекає.
Це варто планувати, а не бути здивованим. Перевірка вершинного домену охоплює його субдомени, тому це один запит, а не один на хост.
Безкоштовний план безкоштовний назавжди: один учасник, щотижневе сканування, сім днів історії. Досить побачити свою власну поверхню атаки та вирішити, чи це стосується вашого тижня.
Часто запитуютьзапитання
Я не фахівець з безпеки. Це буде над моєю головою?
Висновки пояснюються у звіті, а не припускаються. Ви відповідатимете умовам, які вам доведеться шукати, але вам не передадуть список номерів CVE і не залишать там.
Скільки часу це займає щотижня?
Після запланованого сканування жодного, доки щось не зміниться й вам не повідомлять. Робота полягає в першому налаштуванні та в дії на те, що повертається.
У нас уже є сканер уразливостей.
Тоді питання в тому, чи знає воно про все, що ви викриваєте. Сканер перевіряє активи, на які ви його вказуєте; проблема, яку це вирішує, полягає в активах, на які ніхто не вказав.
Я можу показати це керівництву?
Саме для цього призначені оцінка та експорт у PDF. Існує [окрема сторінка про створення доказів] (/prove-remediation/), яку прийме менеджер або аудитор.
Що станеться, коли я щось знайдуЯ не знаю, як виправити?
Запитайте АЯ в репортажі. Якщо це не так, знахідка принаймні точно говорить вам, що передати тому, хто це робить.