当你是安全团队时
大量安全工具 背后都有一个团队 - 人们负责分类警报、调整规则和追查所有者。如果这不是你的情况，那么大多数情况都会让你的一周变得更糟而不是更好。
本页介绍的是另一种情况：您负责安全，但您不是全职负责，而且没有人会来提供帮助。
实际出错的三件事
交谈足够多的人担任这个职位，同样的三个问题又回来了。
你无法列出你拥有的东西。 主要网站和产品都很简单。然后是自内容线索离开以来无人登录过的子域上的博客、本应是临时的临时环境以及指向该公司两年前取消的服务的 DNS 记录。你无法捍卫你没有的清单。
该工具产生更多工作 扫描仪会返回四百个结果，其中五分之一结果属于其他人，这对您没有帮助。它为您提供了除实际工作之外的排序工作 - 一旦您不再信任输出，您就会开始忽略真实的发现和噪音。
你不能向上回答这个问题。 有人问情况是否正在好转。你有一份充满严重性的报告，但没有办法把它变成一个句子。
我们针对这些构建了什么
您可以信任的列表，因为您提供了它。 连接您的 DNS 提供商 - Cloudflare、AWS Route 53、Azure DNS、Google Cloud DNS、DigitalOcean、GoDaddy、Hetzner 或 Contabo - 或上传区域文件，这些将成为我们监视的资产。发现同时运行，以查找您的 DNS 不知道的内容。与从互联网推断您的资产的工具的区别在于，其他人的服务器不能出现在您的报告中。
前任何内容都会被扫描，您证明您控制该域。这是一个故意的限制，这就是有关您的基础设施的报告保留有关您的基础设施的原因。
下一步的调查结果。 针对已验证的资产运行六项检查：发现、TLS 和证书、HTTP 安全性和已知 CVE、开放端口、DNS 和邮件身份验证以及域信誉。每个发现都可以由助理 AYA 进行解释进入报告 - 它的含义以及如何处理 - 这样您就不会阅读 CVE 标识符并打开搜索引擎。
您可以大声说出一个等级。 每项检查都会产生一个分数和一个从 A+ 到 F 的字母，组合成一个总体等级。 “本季度我们从 D 转到 B”是非技术经理都能理解的一句话。在它的下面，技术细节仍然存在。
它会一直看着你不记得。将扫描安排在时间表上，当成绩下降或证书即将到期时，您就会被告知。安全状况悄然衰退--部署中丢弃了一个标头，重新启用了一个协议来修复兼容性问题--并注意到这正是兼职安全功能没有时间做的工作。
它不会做什么
清楚这一点可以节省每个人的时间。
- 仅从外部看。 内部网络、员工笔记本电脑和外围的任何东西都超出了范围。
- 这不是云状态管理。 存储和 IAM 策略配置错误是一个不同的问题和不同的工具。
- 这不是一个完整的应用程序安全计划。 HTTP 扫描使用 OWASP ZAP 并发现了大量信息，但深度身份验证的应用程序测试是它自己的学科。
- 它不会让你合规。 您可以获得调查结果、成绩和注明日期的记录。认证涉及评估员。
如果您的主要问题是其中之一，我们无法提供答案，最好现在就知道。
实际开始
添加域并运行 Discovery 需要几分钟时间。需要更长时间的步骤是证明您控制域，因为这意味着添加 DNS 记录 - 如果您不是管理 DNS 的人，则意味着询问有人在等待。
这值得计划而不是感到惊讶。验证顶级域涵盖其子域，因此这是一个请求，而不是每个主机一个请求。
免费计划永久免费：一名会员、每周扫描、7 天的历史记录。 查看您自己的攻击面并决定这是否属于您的一周就足够了。
常见问题问题
我不是安全专家。这会超出我的能力范围吗？
报告中对调查结果进行了解释，而不是假设。您将遇到必须查找的术语，但不会向您提供 CVE 编号列表并留在那里。
这每周需要多少时间？
一旦安排了扫描，就不会进行扫描，直到情况发生变化并被告知为止。这项工作是在第一个设置中，并根据返回的结果采取行动。
我们已经有一个漏洞扫描程序。
那么问题是它是否知道你暴露的一切。扫描仪会检查您指向的资产；这解决的问题是没有人指出的资产。
我可以向管理层展示这个吗？
这就是成绩和 PDF 导出的用途。有一个经理或审核员会接受的关于构建证据的单独页面。
当我发现某些东西时会发生什么我不知道如何解决？
询问报告中的 AYA。如果超出这个范围，这一发现至少可以准确地告诉你该将什么交给这样做的人。