Afhjælpning af eksponering, nultillid og DevSecOps
Find det, en angriber kan nå, luk det i den rigtige rækkefølge, og hold det lukket
For mange veje ind
Angribere leder efter den nemmeste vej ind: en eksponeret service, en genbrugt adgangskode, en server uden patches eller en applikation, der stoler på sit input. De fleste organisationer ved, at de har svagheder. Få ved, hvilke der betyder mest, og listen vokser hurtigere, end teams kan patche.
Netværk bygget på tillid gør det værre. Når en angriber først er inden for perimeteren, kan vedkommende i et fladt netværk bevæge sig fra det ene system til det næste.
Det ændrer sig for dig
Eksponering, du kan se
Et aktuelt, prioriteret overblik over, hvad en angriber kan nå, i stedet for en årsrapport, der er forældet, når den kommer.
Brud, der forbliver små
Hver anmodning kontrolleres, og systemerne er segmenteret, så én kompromitteret konto eller server ikke åbner for resten.
Sikker kode som standard
Sikkerhedstjek kører i hver pipeline, så sårbarheder fanges før udgivelsen, ikke efter.
Det leverer vi
Kontinuerlig styring af trusselseksponering
Kontinuerlig styring af trusselseksponering (CTEM) er et fast program, der finder, prioriterer og lukker det, en angriber kan nå, på tværs af applikationer, cloudkonti, netværk og identiteter.
Autonom udbedring af eksponering og automatisk patching
Almindelige eksponeringer, fx manglende patches, usikre indstillinger og udløbne certifikater, rettes automatisk gennem testede pipelines, og en person godkender alt, der kan forstyrre en service.
Nultillidsbaseret netværksadgang
Nultillid betyder, at ingen bruger, enhed eller service har tillid på grund af, hvor den forbinder fra. Nultillidsbaseret netværksadgang (ZTNA) kontrollerer identitet og enhedens tilstand ved hver anmodning og erstatter bred VPN-adgang.
Mikrosegmentering
Systemer opdelt i små zoner med nedskrevne regler for, hvad der må tale med hvad, så en indtrænger ikke kan bevæge sig frit.
DevSecOps
Hemmelighedslagre, en automatiseret softwarestykliste (SBOM) for hvert build, scanning af afhængigheder og containere samt kodegennemgang indbygget i din leverancepipeline.
Kontinuerlig penetrationstest og API-sikkerhed
Applikationer, API’er og infrastruktur testes, som en angriber ville teste dem, efter hver væsentlig ændring, og hvert fund beskrives, så det kan genskabes.
Red team- og blue team-øvelser
Et red team angriber inden for aftalte regler, mens dit blue team forsvarer, så du lærer, hvor godt detektion og respons fungerer under pres.
Sådan forløber arbejdet
Aftal omfanget og reglerne
Vi aftaler, hvilke systemer der er omfattet, hvordan der testes, hvem der informeres, og hvordan vi stopper, hvis et system er i fare.
Kortlæg eksponeringen
Vi gennemgår arkitektur, konfigurationer, adgang og kode og tester systemerne, som en angriber ville.
Prioriter fundene
Vi prioriterer hvert fund efter sandsynlighed og konsekvens, forklarer det i klart sprog og aftaler rækkefølgen af rettelserne.
Ret og automatiser
Vi retter fundene sammen med dit team, automatiserer de rettelser, der går igen, og indfører nultillidsbaseret adgang og segmentering i etaper.
Test igen, løbende
Vi tester hver rettelse igen og fortsætter med at teste, i takt med at dine systemer ændrer sig.
Sådan beviser vi det i vores eget arbejde
Vi arbejder selv på denne måde. Alle XSIS-ingeniører logger ind med en hardwaresikkerhedsnøgle gennem nultillidsbaserede netværkstunneler, der løbende kontrollerer enheden.
- Sikkerhed og kryptografi
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Standarder og regler
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Sådan begynder du
Det sker der nu
Forhåndskonsultation
En gratis online forhåndskonsultation på 30 minutter: vi gennemgår dine mål, systemer og begrænsninger.
Parathedsanalyse
I en gratis parathedsanalyse på 48 timer tjekker en ledende arkitekt dit projekt op mod de 6 punkter i Definition of Ready og anbefaler det spor, der passer.
Valg af spor
Projekter med et klart omfang modtager et bindende forslag inden for 3 til 5 hverdage. Projekter i konceptfasen starter i Blueprint Studio. Et system i drift, der fejler, er udokumenteret eller skal integreres, starter med en diagnosticering på 1 til 2 uger. Blueprint Studio og diagnosticeringen har hver et fast honorar, som er angivet i forslaget.
Levering i fem faser
Mobilisering, sprints med demonstrationer, integration og hærdning, accept og idriftsættelse samt derefter administrerede tjenester. Efter idriftsættelsen følger en garantiperiode, derefter valgfri support og vedligeholdelse.
Projekter med fast resultat og administrerede tjenester døgnet rundt
Milepælsdrevet levering med fast omfang og navngivne leveringsansvarlige samt administrerede applikationstjenester døgnet rundt under SLA-styring.
Indlejrede specialister og strategisk teamforstærkning
Ledende ingeniører og specialister nearshore og på stedet samt indlejrede løsnings-, transformations-, PQC- og integrationsarkitekter.
Den hurtigste vej ind er pakken Revision af postkvantekryptografi (CBOM) og agentsikkerhed, en af vores hurtige opgavepakker.
Hvor du begynderSpørgsmål og svar
Skal vi udskifte vores VPN for at indføre nultillid?
Ikke med det samme. Nultillid indføres i etaper, som regel begyndende med de mest følsomme applikationer og administratoradgangen. VPN’en kan blive til det, der stadig har brug for den, og udfases, når intet længere afhænger af den.
Hvad er en SBOM, og hvorfor har vi brug for en?
En softwarestykliste viser hver komponent og hvert bibliotek i et stykke software med versionsnummer. Når en ny sårbarhed offentliggøres, fortæller den dig hurtigt, om og hvor du er ramt. Regler som EU’s forordning om cyberrobusthed (CRA) og mange kunder kræver nu en.
Hvordan får jeres ingeniører adgang til vores systemer?
Hver ingeniør har en navngiven konto med kun de rettigheder, opgaven kræver, og logger ind med en hardwaresikkerhedsnøgle. Hvor du har en proces for administratoradgang, følger vi den. Sessioner logges, og adgangen fjernes, når arbejdet slutter, eller nogen forlader projektet.
Hvad er kontinuerlig trusselseksponeringsstyring?
Et fast program i stedet for en årlig test. Det fører en aktuel liste over, hvad en angriber kan nå, prioriterer hver eksponering efter, hvor sandsynligt det er, at den udnyttes, og hvad den vil koste dig, og følger hver rettelse, indtil den er lukket. Scanningen kører løbende, og der testes efter hver væsentlig ændring.
Hvad er en red team- og blue team-øvelse?
En øvelse under virkelige forhold. Et red team angriber dine systemer inden for aftalte regler, mens dit blue team, de folk, der opdager og reagerer, forsvarer dem. Bagefter gennemgår begge sider, hvad der blev fundet, hvad der blev overset, og hvor lang tid hvert trin tog, og du får de ændringer, der lukker hullerne.
Klar til at bygge? Bed om et forslag.
Send dine krav eller din RFP. Vores arkitekter validerer dem og sender et bindende forslag med fast omfang retur.
Det sker der nu
Parathedsanalyse
I en gratis parathedsanalyse på 48 timer tjekker en ledende arkitekt dit projekt op mod de 6 punkter i Definition of Ready og anbefaler det spor, der passer.
Bindende forslag
Efter arkitekturvalidering uden omkostninger modtager du et bindende forslag med fast omfang inden for 3 til 5 hverdage: milepæle, arkitektur, teamstruktur og SLA’er. Vi underskriver efter anmodning en fortrolighedsaftale (NDA) med dig, før du deler dine krav.
Mobilisering
Når du har underskrevet, begynder vores ingeniørteams på sprint 0 inden for 5 til 10 hverdage efter kontraktunderskrivelse.
Levering i fem faser
Mobilisering, sprints med demonstrationer, integration og hærdning, accept og idriftsættelse samt derefter administrerede tjenester. Efter idriftsættelsen følger en garantiperiode, derefter valgfri support og vedligeholdelse.