External Risk Monitor: vad produkten bevakar

Vad det är

Produkten kombinerar passiv efterforskning med avgränsad aktiv rekognosering inom den godkända tillgångsgränsen. Det passiva arbetet kan använda offentlig information om DNS, certifikat, registreringar och tjänster; de avgränsade aktiva kontrollerna är hastighetsbegränsade och begränsade till de överenskomna domänerna och IP-intervallen. Granskningen kan omfatta domäner, underdomäner, IP-intervall, öppna portar, offentligt nåbara tjänster, HTTP- och HTTPS-ytor, certifikat, DNS-hållning, exponerade paneler, bortglömda tillgångar, indikatorer på offentlig lagring och synliga konfigurationsproblem. Den registrerar vad som observerades, när det observerades och varför det kan ha betydelse. Den använder passiv research och avgränsade aktiva kontroller; utnyttjande och djupare testning hör till ett separat auktoriserat penetrationstest. Iakttagelserna grupperas med allvarlighetskontext och prioriteringar för åtgärder så att ett team kan avgöra vad som ska verifieras, stängas, bevakas eller lämnas över till en annan ägare.

Vem det är för

External Risk Monitor passar team som:

• Behöver en tydligare inventering av publikt exponerade tillgångar efter tillväxt, leverantörsbyten, molnförändringar eller en lång driftperiod
• Vill identifiera bortglömda domäner, tjänster, certifikat, paneler eller offentliga indikatorer innan de blir svårare att ta ägarskap för
• Behöver evidens och förändringsanteckningar som produkt-, infrastruktur-, säkerhets- och ledningsteam kan granska tillsammans
• Vill ha återkommande extern insyn som kompletterar penetrationstester och internt säkerhetsägarskap

Vad det hjälper till att klargöra

Bevakningen hjälper till att klargöra:

• Vilka överenskomna tillgångar som är offentligt observerbara och vilka tjänster eller konfigurationssignaler som verkar exponerade
• Var förändringar av domäner, DNS, certifikat, lagring, paneler eller tjänster behöver en ägare eller ett verifieringssteg
• Vilka iakttagelser som har tillräcklig kontext för att prioritera åtgärder och vilka som behöver utredas vidare
• Vilka frågor som ligger utanför den externa insynen och kräver en separat omfattning för applikation, moln, penetrationstest eller drift

Vad ingår

• Skriftlig bekräftelse av omfattningen med godkända domäner, underdomäner, IP-intervall, intervall för granskning, hastighetsgränser och undantag
• Passiv och avgränsad aktiv rekognosering inom den överenskomna gränsen för offentliga tillgångar
• Inventering av tillgångar med domäner, tjänster, certifikat, portar, HTTP/HTTPS-ytor och synliga indikatorer där sådana finns
• Förändringsanteckningar och insamling av evidens för relevanta iakttagelser i publikt exponerade ytor
• Allvarlighetskontext och prioriterad vägledning för åtgärder utifrån det observerade tillståndet
• Valfri genomgång med analytiker av iakttagelser, ägarskapsfrågor och nästa steg

Vad som inte ingår

• Ett fullständigt penetrationstest, utnyttjande, användning av inloggningsuppgifter, obegränsad skanning eller åtkomst utanför den godkända gränsen
• Detektion i realtid, kontinuerlig förvaltad drift, SOC-bevakning dygnet runt eller akut incidenthantering
• Löften om att upptäcka varje tillgång, eliminera varje exponering, förhindra framtida förändringar eller bevisa att systemen är säkra
• Granskning av intern konfiguration, granskning av applikationskod, molnmigrering eller åtgärdsarbete om det inte avgränsas separat
• Försäkringar i juridiska frågor, efterlevnadsfrågor, certifieringsfrågor eller regulatoriska frågor

När det passar att välja den

Välj External Risk Monitor när teamet behöver en upprepningsbar extern bild av godkända internetexponerade tillgångar och vill ha evidens innan det beslutar vad som ska åtgärdas. Produkten är användbar efter en förändring av domäner eller infrastruktur, före en lansering, när ägarskapet är oklart eller som en del av en bredare rytm för säkerhetsgranskningar. Den passar mindre väl när kärnfrågan är om en specifik applikation kan stå emot utnyttjande; då kan en dedikerad applikationsbedömning eller en omfattning för penetrationstest vara lämpligare. Produkten ger mest när organisationen kan bekräfta tillgångsgränsen, utse ägare för iakttagelserna och komma överens om hur observationerna ska granskas.

Vår strategi

Vi börjar med att bekräfta vad som får observeras och hur. Den överenskomna omfattningen fastställer domäner, IP-intervall, hastighetsgränser, granskningsintervall, undantag och förväntningar på evidens. Vi samlar in offentliga och avgränsade aktiva signaler och skiljer sedan en observerad indikator från en verifierad intern orsak. Iakttagelserna dokumenteras med tillräcklig kontext för att en ägare ska förstå tillgången, evidensen, den möjliga risken och ett praktiskt nästa steg. Varje resultat rapporteras med sin evidens och tillförlitlighet, så att dess betydelse för risk och möjligt utnyttjande är tydlig. Vid överlämningen får teamet en inventering och ett beslutsunderlag som kan stödja åtgärder, ytterligare verifiering eller en separat avgränsad granskning. Det håller produkten användbar, fokuserad och tydligt avgränsad.

Vanliga frågor

Relaterade artiklar