External Risk Monitor: Theo dõi những gì

Đây là gì

Sản phẩm kết hợp nghiên cứu thụ động với trinh sát chủ động có giới hạn trong ranh giới tài sản đã được phê duyệt. Công việc thụ động có thể sử dụng thông tin công khai về DNS, chứng chỉ, đăng ký và dịch vụ; các kiểm tra chủ động có giới hạn được giới hạn tốc độ và chỉ áp dụng cho các tên miền và dải IP đã thống nhất. Phạm vi rà soát có thể bao gồm tên miền, tên miền phụ, dải IP, cổng mở, dịch vụ có thể truy cập công khai, bề mặt HTTP và HTTPS, chứng chỉ, tình trạng DNS, bảng quản trị bị lộ, tài sản bị lãng quên, dấu hiệu lưu trữ công khai và các vấn đề cấu hình có thể thấy được. Sản phẩm ghi lại những gì đã quan sát được, thời điểm quan sát và lý do điều đó có thể quan trọng. Sản phẩm sử dụng nghiên cứu thụ động và các kiểm tra chủ động có giới hạn; việc khai thác và kiểm thử sâu hơn thuộc một đợt kiểm thử xâm nhập được ủy quyền riêng. Các phát hiện được nhóm kèm bối cảnh mức độ nghiêm trọng và thứ tự ưu tiên khắc phục, để đội ngũ có thể quyết định điều gì cần xác minh, đóng lại, theo dõi hoặc chuyển cho người phụ trách khác.

Dành cho ai

External Risk Monitor phù hợp với các đội ngũ:

• Cần một bản kiểm kê rõ ràng hơn về các tài sản hướng ra công chúng sau giai đoạn tăng trưởng, thay đổi nhà cung cấp, thay đổi trên đám mây hoặc một thời gian dài vận hành
• Muốn xác định các tên miền, dịch vụ, chứng chỉ, bảng quản trị hoặc dấu hiệu công khai bị lãng quên trước khi chúng trở nên khó quản lý hơn
• Cần bằng chứng và ghi chú thay đổi mà các đội sản phẩm, hạ tầng, bảo mật và ban lãnh đạo có thể cùng xem xét
• Muốn có khả năng quan sát bên ngoài định kỳ bổ trợ cho kiểm thử xâm nhập và trách nhiệm bảo mật nội bộ

Giúp làm rõ điều gì

Sản phẩm theo dõi giúp làm rõ:

• Những tài sản đã thống nhất nào có thể quan sát công khai và những dịch vụ hoặc tín hiệu cấu hình nào có vẻ bị lộ
• Những thay đổi nào về tên miền, DNS, chứng chỉ, lưu trữ, bảng quản trị hoặc dịch vụ cần có người phụ trách hoặc một bước xác minh
• Những quan sát nào có đủ bối cảnh để ưu tiên khắc phục và những quan sát nào cần điều tra thêm
• Những câu hỏi nào nằm ngoài khả năng quan sát bên ngoài và cần một phạm vi riêng về ứng dụng, đám mây, kiểm thử xâm nhập hoặc vận hành

Những gì được bao gồm

• Xác nhận phạm vi bằng văn bản, bao gồm các tên miền, tên miền phụ, dải IP, tần suất, giới hạn tốc độ và các ngoại lệ đã được phê duyệt
• Trinh sát thụ động và chủ động có giới hạn trong ranh giới tài sản công khai đã thống nhất
• Bản kiểm kê tài sản gồm tên miền, dịch vụ, chứng chỉ, cổng, bề mặt HTTP/HTTPS và các dấu hiệu có thể thấy được nếu có
• Ghi chú thay đổi và thu thập bằng chứng cho các quan sát liên quan đến tài sản hướng ra công chúng
• Bối cảnh mức độ nghiêm trọng và hướng dẫn khắc phục được ưu tiên dựa trên trạng thái quan sát được
• Tùy chọn buổi trình bày của chuyên viên phân tích về các phát hiện, câu hỏi về quyền sở hữu và các bước tiếp theo

Những gì không được bao gồm

• Kiểm thử xâm nhập đầy đủ, khai thác, sử dụng thông tin đăng nhập, quét không giới hạn hoặc truy cập vượt ra ngoài ranh giới đã được phê duyệt
• Phát hiện theo thời gian thực, vận hành được quản lý liên tục, SOC trực liên tục suốt ngày đêm hoặc ứng phó sự cố khẩn cấp
• Đảm bảo phát hiện mọi tài sản, loại bỏ mọi điểm phơi nhiễm, ngăn chặn các thay đổi trong tương lai hoặc chứng minh rằng hệ thống an toàn
• Rà soát cấu hình nội bộ, rà soát mã nguồn ứng dụng, di chuyển lên đám mây hoặc công việc khắc phục, trừ khi được xác định phạm vi riêng
• Bảo đảm về pháp lý, tuân thủ, chứng nhận hoặc quy định

Khi nào nên chọn

Hãy chọn External Risk Monitor khi đội ngũ cần một góc nhìn bên ngoài có thể lặp lại đối với các tài sản hướng ra internet đã được phê duyệt và muốn có bằng chứng trước khi quyết định cần xử lý điều gì. Sản phẩm hữu ích sau một thay đổi về tên miền hoặc hạ tầng, trước một đợt ra mắt, khi quyền sở hữu chưa rõ ràng, hoặc như một phần của chu kỳ rà soát bảo mật rộng hơn. Sản phẩm ít phù hợp hơn khi câu hỏi cốt lõi là một ứng dụng cụ thể có chống chịu được việc khai thác hay không; khi đó, một đợt đánh giá ứng dụng chuyên biệt hoặc một phạm vi kiểm thử xâm nhập có thể phù hợp hơn. Sản phẩm hiệu quả nhất khi tổ chức có thể xác nhận ranh giới tài sản, chỉ định người phụ trách các phát hiện và thống nhất cách rà soát các quan sát.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác nhận những gì có thể được quan sát và quan sát bằng cách nào. Phạm vi đã thống nhất xác định các tên miền, dải IP, giới hạn tốc độ, tần suất, các ngoại lệ và kỳ vọng về bằng chứng. Chúng tôi thu thập các tín hiệu công khai và tín hiệu chủ động có giới hạn, sau đó phân biệt một dấu hiệu quan sát được với một nguyên nhân nội bộ đã được xác minh. Các phát hiện được ghi lại với đủ bối cảnh để người phụ trách hiểu tài sản, bằng chứng, mối lo ngại có thể có và bước tiếp theo thực tế. Mỗi kết quả được báo cáo kèm bằng chứng và mức độ tin cậy, để ý nghĩa của nó đối với rủi ro và khả năng khai thác được thể hiện rõ. Khi bàn giao, đội ngũ nhận được một bản kiểm kê và hồ sơ quyết định có thể hỗ trợ việc khắc phục, xác minh thêm hoặc một đợt rà soát có phạm vi riêng. Cách làm này giữ cho sản phẩm hữu ích, tập trung và có ranh giới rõ ràng.

Câu hỏi thường gặp

Bài viết liên quan