External Risk Monitor: hvad overvågningen holder øje med

Hvad det er

Produktet kombinerer passiv research med afgrænset aktiv rekognoscering inden for den godkendte aktivgrænse. Det passive arbejde kan bruge offentlige oplysninger om DNS, certifikater, registreringer og tjenester; de afgrænsede aktive kontroller er hastighedsbegrænsede og begrænset til de aftalte domæner og IP-intervaller. Gennemgangen kan omfatte domæner, subdomæner, IP-intervaller, åbne porte, offentligt tilgængelige tjenester, HTTP- og HTTPS-flader, certifikater, DNS-opsætning, eksponerede paneler, glemte aktiver, indikatorer for offentlig lagring og synlige konfigurationsproblemer. Det registreres, hvad der blev observeret, hvornår det blev observeret, og hvorfor det kan have betydning. Produktet bruger passiv research og afgrænsede aktive kontroller; udnyttelse og dybere test hører til en separat autoriseret penetrationstest. Fundene grupperes med alvorlighedskontekst og prioriteringer for afhjælpning, så et team kan beslutte, hvad der skal verificeres, lukkes, overvåges eller overdrages til en anden ejer.

Hvem er det for?

External Risk Monitor passer til teams, der:

• Har brug for en klarere oversigt over offentligt vendte aktiver efter vækst, leverandørskift, ændringer i cloud eller en lang driftsperiode
• Vil finde glemte domæner, tjenester, certifikater, paneler eller offentlige indikatorer, før det bliver sværere at tage ejerskab for dem
• Har brug for dokumentation og ændringsnoter, som produkt-, infrastruktur-, sikkerheds- og ledelsesteams kan gennemgå sammen
• Ønsker tilbagevendende ekstern synlighed, der supplerer penetrationstest og internt sikkerhedsejerskab

Hvad det hjælper med at afklare

Overvågningen hjælper med at afklare:

• Hvilke aftalte aktiver der er offentligt observerbare, og hvilke tjenester eller konfigurationssignaler der ser eksponerede ud
• Hvor ændringer i domæner, DNS, certifikater, lagring, paneler eller tjenester kræver en ejer eller et verifikationstrin
• Hvilke observationer der har tilstrækkelig kontekst til at prioritere afhjælpning, og hvilke der kræver yderligere undersøgelse
• Hvilke spørgsmål der ligger uden for den eksterne synlighed og kræver et separat omfang for applikation, cloud, penetrationstest eller drift

Hvad er inkluderet

• Skriftlig bekræftelse af omfanget med godkendte domæner, subdomæner, IP-intervaller, frekvens, hastighedsgrænser og undtagelser
• Passiv og afgrænset aktiv rekognoscering inden for den aftalte offentlige aktivgrænse
• Aktivoversigt med domæner, tjenester, certifikater, porte, HTTP/HTTPS-flader og synlige indikatorer, hvor de er tilgængelige
• Ændringsnoter og indsamling af dokumentation for relevante offentligt vendte observationer
• Alvorlighedskontekst og prioriteret vejledning om afhjælpning ud fra den observerede tilstand
• Valgfri gennemgang med en analytiker af fund, ejerskabsspørgsmål og næste skridt

Hvad er ikke inkluderet?

• En fuld penetrationstest, udnyttelse, brug af loginoplysninger, ubegrænset scanning eller adgang ud over den godkendte grænse
• Detektion i realtid, løbende managed drift, SOC-dækning døgnet rundt eller akut hændelseshåndtering
• Løfter om at finde alle aktiver, fjerne enhver eksponering, forhindre fremtidige ændringer eller bevise, at systemer er sikre
• Gennemgang af intern konfiguration, kodegennemgang af applikationer, cloudmigrering eller afhjælpning, medmindre det afgrænses separat
• Juridisk, compliance-, certificerings- eller regulatorisk forsikring

Hvornår du skal vælge det

Vælg External Risk Monitor, når teamet har brug for et gentageligt eksternt billede af godkendte internetvendte aktiver og ønsker dokumentation, før det beslutter, hvad der skal håndteres. Produktet er nyttigt efter en ændring af domæner eller infrastruktur, før en lancering, når ejerskabet er uklart, eller som en del af en bredere rytme for sikkerhedsgennemgange. Det passer mindre godt, når kernespørgsmålet er, om en bestemt applikation kan modstå udnyttelse; så kan en dedikeret applikationsvurdering eller et omfang for penetrationstest være mere passende. Produktet fungerer bedst, når organisationen kan bekræfte aktivgrænsen, udpege ejere af fundene og aftale, hvordan observationer skal gennemgås.

Vores tilgang

Vi begynder med at bekræfte, hvad der må observeres, og hvordan. Det aftalte omfang fastlægger domæner, IP-intervaller, hastighedsgrænser, frekvens, undtagelser og forventninger til dokumentation. Vi indsamler offentlige og afgrænsede aktive signaler og skelner derefter mellem en observeret indikator og en verificeret intern årsag. Fundene dokumenteres med tilstrækkelig kontekst til, at en ejer kan forstå aktivet, dokumentationen, den mulige bekymring og det praktiske næste skridt. Hvert resultat rapporteres med dokumentation og sikkerhedsgrad, så dets betydning for risiko og udnyttelighed er tydelig. Ved overdragelsen modtager teamet en oversigt og et beslutningsgrundlag, der kan understøtte afhjælpning, yderligere verifikation eller en separat afgrænset gennemgang. Det holder produktet nyttigt, fokuseret og tydeligt afgrænset.

Ofte stillede spørgsmål

Relaterede artikler