External Risk Monitor: co monitoruje

Co to jest

Produkt łączy pasywne rozpoznanie z ograniczonym aktywnym rekonesansem w zatwierdzonej granicy zasobów. Prace pasywne mogą korzystać z publicznych informacji DNS, o certyfikatach, rejestracjach i usługach; ograniczone aktywne kontrole mają limity częstotliwości i są zawężone do uzgodnionych domen i zakresów IP. Przegląd może obejmować domeny, subdomeny, zakresy IP, otwarte porty, publicznie osiągalne usługi, powierzchnie HTTP i HTTPS, certyfikaty, stan konfiguracji DNS, wystawione panele, zapomniane zasoby, wskaźniki publicznych magazynów danych oraz widoczne problemy z konfiguracją. Rejestruje, co zaobserwowano, kiedy to zaobserwowano i dlaczego może to mieć znaczenie. Wykorzystuje pasywne rozpoznanie i ograniczone aktywne kontrole; wykorzystywanie podatności i głębsze testy należą do odrębnie autoryzowanego testu penetracyjnego. Ustalenia są grupowane wraz z kontekstem istotności i priorytetami naprawczymi, aby zespół mógł zdecydować, co zweryfikować, zamknąć, monitorować lub przekazać innemu właścicielowi.

Dla kogo

External Risk Monitor jest odpowiedni dla zespołów, które:

• Potrzebują jaśniejszej inwentaryzacji zasobów publicznych po okresie wzrostu, zmianach dostawców, zmianach w chmurze lub długim okresie eksploatacji
• Chcą zidentyfikować zapomniane domeny, usługi, certyfikaty, panele lub publiczne wskaźniki, zanim trudniej będzie przypisać im właściciela
• Potrzebują dowodów i notatek o zmianach, które zespoły produktu, infrastruktury, bezpieczeństwa i kierownictwa mogą przeglądać wspólnie
• Chcą cyklicznej widoczności zewnętrznej, która uzupełnia testy penetracyjne i wewnętrzną odpowiedzialność za bezpieczeństwo

Co pomaga wyjaśnić

Monitor pomaga wyjaśnić:

• Które uzgodnione zasoby są publicznie obserwowalne i jakie usługi lub sygnały konfiguracyjne wydają się wystawione
• Gdzie zmiany domen, DNS, certyfikatów, magazynów danych, paneli lub usług wymagają właściciela lub kroku weryfikacji
• Które obserwacje mają wystarczający kontekst, by nadać priorytet naprawie, a które wymagają dalszego badania
• Które pytania wykraczają poza widoczność zewnętrzną i wymagają odrębnego zakresu dotyczącego aplikacji, chmury, testu penetracyjnego lub operacji

Co jest zawarte

• Pisemne potwierdzenie zakresu obejmujące zatwierdzone domeny, subdomeny, zakresy IP, częstotliwość, limity i wyłączenia
• Pasywny i ograniczony aktywny rekonesans w uzgodnionej granicy zasobów publicznych
• Inwentaryzacja zasobów z domenami, usługami, certyfikatami, portami, powierzchniami HTTP/HTTPS i widocznymi wskaźnikami, jeśli są dostępne
• Notatki o zmianach i dokumentowanie dowodów dla istotnych obserwacji dotyczących zasobów publicznych
• Kontekst istotności i uszeregowane według priorytetu wskazówki naprawcze oparte na zaobserwowanym stanie
• Opcjonalne omówienie ustaleń z analitykiem, w tym kwestii odpowiedzialności i kolejnych kroków

Co nie jest uwzględnione

• Pełny test penetracyjny, wykorzystywanie podatności, użycie poświadczeń, nieograniczone skanowanie ani dostęp poza zatwierdzoną granicą
• Wykrywanie w czasie rzeczywistym, ciągłe zarządzane operacje, całodobowa obsługa SOC ani awaryjna reakcja na incydenty
• Obietnica wykrycia każdego zasobu, usunięcia każdej ekspozycji, zapobieżenia przyszłym zmianom lub udowodnienia, że systemy są bezpieczne
• Wewnętrzny przegląd konfiguracji, przegląd kodu aplikacji, migracja do chmury ani prace naprawcze, chyba że objęto je odrębnym zakresem
• Zapewnienie prawne, dotyczące zgodności, certyfikacji lub regulacji

Kiedy to wybrać

External Risk Monitor warto wybrać, gdy zespół potrzebuje powtarzalnego zewnętrznego widoku zatwierdzonych zasobów dostępnych z internetu i chce mieć dowody przed podjęciem decyzji, czym się zająć. Jest przydatny po zmianie domeny lub infrastruktury, przed uruchomieniem, gdy odpowiedzialność jest niejasna, lub jako część szerszego cyklu przeglądów bezpieczeństwa. Jest mniej odpowiedni, gdy kluczowe pytanie dotyczy tego, czy konkretna aplikacja oprze się wykorzystaniu podatności; wtedy bardziej odpowiednia może być dedykowana ocena aplikacji lub zakres testów penetracyjnych. Produkt przynosi najwięcej korzyści, gdy organizacja potrafi potwierdzić granicę zasobów, wskazać właścicieli ustaleń i uzgodnić sposób przeglądania obserwacji.

Nasze podejście

Zaczynamy od potwierdzenia, co i w jaki sposób może być obserwowane. Uzgodniony zakres określa domeny, zakresy IP, limity częstotliwości, częstotliwość przeglądów, wyłączenia i oczekiwania co do dowodów. Zbieramy sygnały publiczne i z ograniczonych aktywnych kontroli, a następnie odróżniamy zaobserwowany wskaźnik od zweryfikowanej przyczyny wewnętrznej. Ustalenia dokumentujemy z kontekstem wystarczającym, by właściciel zrozumiał zasób, dowody, możliwy problem i praktyczny kolejny krok. Każdy wynik raportujemy wraz z dowodami i poziomem pewności, aby jego znaczenie dla ryzyka i możliwości wykorzystania było jasne. Przy przekazaniu zespół otrzymuje inwentaryzację i zapis decyzji, które mogą wspierać naprawę, dalszą weryfikację lub odrębnie określony przegląd. Dzięki temu produkt pozostaje użyteczny, ukierunkowany i ma jasno określone granice.

Często zadawane pytania

Artykuły pokrewne