Altistumisen korjaaminen, nollaluottamus ja DevSecOps
Selvittäkää, mihin hyökkääjä voisi päästä, korjatkaa järjestyksessä ja pitäkää se suljettuna
Liian monta sisäänkäyntiä
Hyökkääjät etsivät helpointa sisäänkäyntiä: julkisesti näkyvää palvelua, uudelleenkäytettyä salasanaa, päivittämätöntä palvelinta tai sovellusta, joka luottaa syötteeseensä. Useimmat organisaatiot tietävät, että niillä on heikkouksia. Harva tietää, mitkä niistä merkitsevät eniten, ja lista kasvaa nopeammin kuin tiimit ehtivät paikata.
Luottamukselle rakennetut verkot pahentavat tilannetta. Kun hyökkääjä on kehän sisällä, litteä verkko päästää hänet siirtymään järjestelmästä toiseen.
Mikä teille muuttuu
Näkyvä altistus
Ajantasainen, järjestetty näkymä siitä, mihin hyökkääjä voisi päästä, vuosittaisen raportin sijaan, joka on vanhentunut saapuessaan.
Tietomurrot, jotka pysyvät pieninä
Jokainen pyyntö tarkistetaan ja järjestelmät on segmentoitu, joten yksi kaapattu tili tai palvelin ei avaa muita.
Turvallinen koodi oletuksena
Tietoturvatarkistukset ajetaan jokaisessa putkessa, joten haavoittuvuudet havaitaan ennen julkaisua, ei sen jälkeen.
Mitä toimitamme
Jatkuva uhka-altistuksen hallinta
Jatkuva uhka-altistuksen hallinta (CTEM) on pysyvä ohjelma, joka löytää, järjestää ja korjaa sen, mihin hyökkääjä voisi päästä, sovelluksissa, pilvitileissä, verkoissa ja identiteeteissä.
Autonominen altistuksen korjaus ja automaattinen paikkaus
Yleiset altistukset korjattuina automaattisesti testattujen putkien kautta, kuten paikkaukset, turvattomat asetukset ja vanhentuneet varmenteet, ja henkilö hyväksyy kaiken, mikä voisi häiritä palvelua.
Nollaluottamusverkon käyttö
Nollaluottamus tarkoittaa, ettei kehenkään käyttäjään, laitteeseen tai palveluun luoteta sen perusteella, mistä se yhdistää. Nollaluottamusverkon käyttö (ZTNA) tarkistaa identiteetin ja laitteen kunnon jokaisella pyynnöllä ja korvaa laajan VPN-pääsyn.
Mikrosegmentointi
Järjestelmät erotettuina pieniin vyöhykkeisiin kirjallisilla säännöillä siitä, mikä saa puhua millekin, joten tunkeilija ei voi liikkua vapaasti.
DevSecOps
Salaisuusvarastot, automatisoitu ohjelmiston materiaaliluettelo (SBOM) jokaiseen koontiversioon, riippuvuuksien ja konttien skannaus sekä koodiauditoinnit rakennettuina toimitusputkeenne.
Jatkuva tunkeutumistestaus ja rajapintaturvallisuus
Sovellukset, rajapinnat ja infrastruktuuri testattuina niin kuin hyökkääjä testaisi ne, jokaisen merkittävän muutoksen jälkeen, ja jokainen havainto kuvattuna niin, että se voidaan toistaa.
Red team- ja blue team -harjoitukset
Punainen tiimi hyökkää sovittujen sääntöjen puitteissa, kun sininen tiiminne puolustaa, joten opitte, miten hyvin havaitseminen ja vaste toimivat paineen alla.
Miten työ etenee
Laajuudesta ja säännöistä sopiminen
Sovimme, mitkä järjestelmät kuuluvat laajuuteen, miten testaus tehdään, kenelle kerrotaan ja miten lopetamme, jos järjestelmä on vaarassa.
Altistuksen kartoittaminen
Käymme läpi arkkitehtuurin, konfiguraatiot, käyttöoikeudet ja koodin ja testaamme järjestelmät niin kuin hyökkääjä tekisi.
Havaintojen järjestäminen
Järjestämme jokaisen havainnon todennäköisyyden ja vaikutuksen mukaan, selitämme sen selkokielellä ja sovimme korjausten järjestyksen.
Korjaaminen ja automatisointi
Korjaamme havainnot tiiminne kanssa, automatisoimme toistuvat korjaukset ja otamme nollaluottamuspääsyn ja segmentoinnin käyttöön vaiheittain.
Uudelleentestaus jatkuvasti
Testaamme jokaisen korjauksen uudelleen ja jatkamme testaamista järjestelmienne muuttuessa.
Miten todistamme sen omassa työssämme
Työskentelemme itse näin. Jokainen XSIS:n insinööri kirjautuu sisään laitteistopohjaisella tietoturva-avaimella nollaluottamusverkon tunneleiden kautta, jotka tarkistavat laitteen jatkuvasti.
- Tietoturva ja salaus
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Standardit ja säädökset
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Miten aloittaa
Mitä tapahtuu seuraavaksi
Ennakkokonsultointi
Tilaisuus on maksuton 30 minuutin verkkopohjainen ennakkokonsultointi: käymme läpi tavoitteenne, järjestelmänne ja rajoituksenne.
Valmiustarkastus
Tilaisuuden jälkeen järjestetään maksuton 48 tunnin valmiustarkastus, jossa pääarkkitehti tarkistaa projektinne kuusikohtaista valmiuden määritelmää vasten ja suosittelee sopivaa polkua.
Polun valinta
Laajuudeltaan valmiit projektit saavat sitovan tarjouksen kolmen ja viiden arkipäivän kuluessa. Konseptivaiheen projektit alkavat Blueprint Studiossa. Käynnissä oleva järjestelmä, joka ei toimi, on dokumentoimaton tai vaatii integraatiota, alkaa diagnostiikalla, jonka kesto on 1-2 viikkoa. Blueprint Studiolla ja diagnostiikalla on kummallakin kiinteä maksu, joka ilmoitetaan tarjouksessa.
Toimitus viidessä vaiheessa
Käynnistys, sprintit reaaliaikaisin demoineen, integraatio ja kovettaminen, hyväksyntä ja käyttöönotto sekä hallinnoidut palvelut. Julkaisun jälkeen tulee takuuaika ja sen jälkeen valinnainen tuki ja ylläpito.
Kiinteisiin tuloksiin perustuvat projektit ja ympärivuorokautiset hallinnoidut palvelut
Kiinteälaajuinen, välitavoitteisiin perustuva toimitus nimetyin toimitusten vastuuhenkilöin sekä ympärivuorokautiset sovellusten hallinnoidut palvelut SLA-hallinnan alaisuudessa.
Upotetut asiantuntijat ja strateginen vahvistus
Lähi- ja paikan päällä työskentelevät pääinsinöörit ja asiantuntijat sekä upotetut ratkaisu-, transformaatio-, PQC- ja integraatioarkkitehdit.
Nopein tapa aloittaa on Postkvantti- (CBOM) ja agenttien tietoturva-auditointi -paketti, yksi nopeista yhteistyöpaketeistamme.
Mistä aloittaaKysymyksiä ja vastauksia
Onko meidän korvattava VPN, jotta voimme ottaa nollaluottamuksen käyttöön?
Ei heti. Nollaluottamus otetaan käyttöön vaiheittain, yleensä aloittaen arkaluonteisimmista sovelluksista ja pääkäyttäjien käyttöoikeuksista. VPN voi jäädä sille, mikä sitä vielä tarvitsee, ja poistetaan, kun mikään ei enää riipu siitä.
Mikä on SBOM, ja miksi tarvitsemme sellaisen?
Ohjelmiston materiaaliluettelo luettelee jokaisen ohjelmistossa olevan komponentin ja kirjaston versioineen. Kun uusi haavoittuvuus julkaistaan, se kertoo nopeasti, koskeeko se teitä ja missä. Sääntely, kuten EU:n kyberturvallisuusasetus (CRA), ja monet asiakkaat vaativat sitä nyt.
Miten insinöörinne pääsevät järjestelmiimme?
Jokaisella insinöörillä on nimetty tili, jolla on vain tehtävän tarvitsemat oikeudet, ja hän kirjautuu sisään laitteistopohjaisella tietoturva-avaimella. Jos teillä on pääkäyttäjien käyttöoikeuksille prosessi, noudatamme sitä. Istunnot lokitetaan, ja käyttöoikeus poistetaan työn päättyessä tai henkilön lähtiessä projektista.
Mitä jatkuva uhka-altistuksen hallinta tarkoittaa?
Pysyvää ohjelmaa vuosittaisen testin sijaan. Se pitää ajantasaisen luettelon siitä, mihin hyökkääjä voisi päästä, järjestää jokaisen altistuksen sen mukaan, kuinka todennäköisesti sitä käytetään ja mitä se maksaisi teille, ja seuraa jokaista korjausta, kunnes se on suljettu. Skannaus toimii jatkuvasti ja testaus seuraa jokaista merkittävää muutosta.
Mitä red team- ja blue team -harjoitus tarkoittaa?
Harjoitusta todellisissa olosuhteissa. Punainen tiimi hyökkää järjestelmiänne vastaan sovittujen sääntöjen puitteissa, kun sininen tiiminne, havaitsijat ja vastaajat, puolustaa niitä. Jälkeenpäin molemmat osapuolet käyvät läpi, mitä löydettiin, mitä jäi huomaamatta ja kuinka kauan kukin vaihe kesti, ja saatte muutokset, jotka sulkevat aukot.
Valmiina rakentamaan? Pyytäkää tarjous.
Lähettäkää vaatimuksenne tai tarjouspyyntönne. Arkkitehtimme validoivat ne ja palauttavat sitovan tarjouksen, jonka laajuus on kiinteä.
Mitä tapahtuu seuraavaksi
Valmiustarkastus
Tilaisuuden jälkeen järjestetään maksuton 48 tunnin valmiustarkastus, jossa pääarkkitehti tarkistaa projektinne kuusikohtaista valmiuden määritelmää vasten ja suosittelee sopivaa polkua.
Sitova tarjous
Teille tehdään arkkitehtuurin validointi ilman kustannuksia, minkä jälkeen saatte sitovan, kiinteän laajuuden tarjouksen kolmen ja viiden arkipäivän kuluessa: välitavoitteet, arkkitehtuuri, tiimirakenne ja palvelutasot. Allekirjoitamme kanssanne salassapitosopimuksen (NDA) pyynnöstä ennen kuin jaatte vaatimuksenne.
Käynnistys
Kun allekirjoitatte, suunnittelutiimimme aloittaa Sprint 0:n viiden ja kymmenen arkipäivän kuluessa sopimuksen allekirjoituksesta.
Toimitus viidessä vaiheessa
Käynnistys, sprintit reaaliaikaisin demoineen, integraatio ja kovettaminen, hyväksyntä ja käyttöönotto sekä hallinnoidut palvelut. Julkaisun jälkeen tulee takuuaika ja sen jälkeen valinnainen tuki ja ylläpito.