External Risk Monitor: co sleduje

Co to je?

Produkt kombinuje pasivní průzkum s ohraničeným aktivním průzkumem v rámci schválené hranice aktiv. Pasivní práce může využívat veřejné informace o DNS, certifikátech, registracích a službách; ohraničené aktivní kontroly mají omezenou rychlost a jsou omezeny na dohodnuté domény a rozsahy IP. Přezkum může zahrnovat domény, subdomény, rozsahy IP, otevřené porty, veřejně dostupné služby, plochy HTTP a HTTPS, certifikáty, stav DNS, vystavené panely, zapomenutá aktiva, indikátory veřejných úložišť a viditelné problémy konfigurace. Zaznamenává, co bylo pozorováno, kdy a proč to může být důležité. Využívá pasivní průzkum a ohraničené aktivní kontroly; zneužití a hlubší testování patří do samostatně autorizovaného penetračního testu. Zjištění jsou seskupena s kontextem závažnosti a prioritami nápravy, aby tým mohl rozhodnout, co ověřit, uzavřít, sledovat nebo předat jinému vlastníkovi.

Pro koho to je?

External Risk Monitor je vhodný pro týmy, které:

• Potřebují jasnější inventuru veřejně dostupných aktiv po růstu, změnách dodavatelů, změnách cloudu nebo po dlouhém období provozu
• Chtějí identifikovat zapomenuté domény, služby, certifikáty, panely nebo veřejné indikátory dříve, než bude obtížnější je spravovat
• Potřebují důkazy a poznámky o změnách, které mohou společně posoudit produktové, infrastrukturní, bezpečnostní a vedoucí týmy
• Chtějí pravidelnou vnější viditelnost, která doplňuje penetrační testování a interní odpovědnost za bezpečnost

Co to pomůže objasnit

Monitor pomáhá ujasnit:

• Která dohodnutá aktiva jsou veřejně pozorovatelná a jaké služby nebo konfigurační signály se jeví jako vystavené
• Kde změny domén, DNS, certifikátů, úložišť, panelů nebo služeb potřebují vlastníka nebo ověřovací krok
• Která pozorování mají dostatečný kontext pro prioritizaci nápravy a co vyžaduje další šetření
• Které otázky přesahují vnější viditelnost a vyžadují samostatný rozsah pro aplikaci, cloud, penetrační test nebo provoz

Co je zahrnuto

• Písemné potvrzení rozsahu zahrnující schválené domény, subdomény, rozsahy IP, frekvenci, limity rychlosti a výjimky
• Pasivní a ohraničený aktivní průzkum v rámci dohodnuté hranice veřejných aktiv
• Inventura aktiv s doménami, službami, certifikáty, porty, plochami HTTP/HTTPS a viditelnými indikátory, pokud jsou k dispozici
• Poznámky o změnách a zachycení důkazů k relevantním veřejně viditelným pozorováním
• Kontext závažnosti a prioritizovaná doporučení k nápravě vycházející z pozorovaného stavu
• Volitelné provedení zjištěními s analytikem, otázky vlastnictví a další kroky

Co není součástí

• Plnohodnotný penetrační test, zneužití zranitelností, použití přihlašovacích údajů, neomezené skenování ani přístup za hranici schváleného rozsahu
• Detekce v reálném čase, průběžný spravovaný provoz, nepřetržité pokrytí SOC ani reakce na mimořádné incidenty
• Příslib odhalení každého aktiva, odstranění každé expozice, zabránění budoucím změnám nebo prokázání, že systémy jsou bezpečné
• Přezkum interní konfigurace, revize kódu aplikace, migrace do cloudu ani nápravné práce, pokud nejsou samostatně vymezeny
• Právní, regulatorní ani certifikační ujištění či ujištění o souladu

Kdy si ji vybrat

External Risk Monitor zvolte, když tým potřebuje opakovatelný vnější pohled na schválená aktiva dostupná z internetu a chce mít důkazy dříve, než rozhodne, čím se zabývat. Je užitečný po změně domény nebo infrastruktury, před spuštěním, když není jasné vlastnictví, nebo jako součást širšího cyklu bezpečnostních přezkumů. Méně vhodný je tehdy, když je hlavní otázkou, zda konkrétní aplikace odolá zneužití; pak může být vhodnější specializované posouzení aplikace nebo rozsah penetračního testování. Produkt funguje dobře zejména tehdy, když organizace dokáže potvrdit hranici aktiv, určit vlastníky zjištění a dohodnout, jak budou pozorování posuzována.

Náš přístup

Začínáme potvrzením, co a jakým způsobem smí být pozorováno. Dohodnutý rozsah stanoví domény, rozsahy IP, limity rychlosti, frekvenci, výjimky a očekávání ohledně důkazů. Shromažďujeme veřejné a ohraničené aktivní signály a poté odlišujeme pozorovaný indikátor od ověřené interní příčiny. Zjištění dokumentujeme s dostatečným kontextem, aby vlastník porozuměl aktivu, důkazům, možnému problému a praktickému dalšímu kroku. Každý výsledek uvádíme s jeho důkazy a mírou jistoty, aby byl jasný jeho význam pro riziko a zneužitelnost. Při předání tým obdrží inventuru a záznam rozhodnutí, který může podpořit nápravu, další ověření nebo samostatně vymezený přezkum. Produkt tak zůstává užitečný, cílený a jasně ohraničený.

Často kladené otázky

Související články