טיפול בחשיפות, אפס אמון ו-DevSecOps
גלו למה תוקף יכול להגיע, תקנו לפי סדר ושמרו על זה סגור
יותר מדי דרכי כניסה
תוקפים מחפשים את דרך הכניסה הקלה ביותר: שירות חשוף, סיסמה בשימוש חוזר, שרת ללא עדכון או יישום שסומך על הקלט שלו. רוב הארגונים יודעים שיש להם חולשות. מעטים יודעים אילו מהן חשובות ביותר, והרשימה גדלה מהר יותר ממה שהצוותים מצליחים לתקן.
רשתות שנבנו על אמון מחמירות את המצב. ברגע שתוקף נמצא בתוך ההיקף, רשת שטוחה מאפשרת לו לעבור ממערכת אחת לאחרת.
מה משתנה אצלכם
חשיפה שאפשר לראות
מבט עדכני ומדורג של מה שתוקף יכול להגיע אליו, במקום דוח שנתי שמתיישן עוד לפני שהגיע.
פריצות שנשארות קטנות
כל בקשה נבדקת והמערכות מחולקות לסגמנטים, כך שחשבון או שרת שנפגעו אינם פותחים את השאר.
קוד מאובטח כברירת מחדל
בדיקות אבטחה פועלות בכל צינור, כך שפגיעויות נתפסות לפני השחרור, ולא אחריו.
מה אנחנו מספקים
ניהול חשיפה לאיומים מתמשך
ניהול חשיפה לאיומים מתמשך (CTEM) הוא תוכנית מתמשכת שמאתרת, מדרגת ומתקנת את מה שתוקף יכול להגיע אליו, ביישומים, בחשבונות ענן, ברשתות ובזהויות.
תיקון אוטונומי של חשיפות ותיקון אוטומטי
חשיפות נפוצות מתוקנות אוטומטית דרך צינורות נבדקים, כמו עדכונים, הגדרות לא מאובטחות ותעודות שפגו, כשאיש מאשר כל דבר שעלול לשבש שירות.
גישה לרשת באפס אמון
אפס אמון פירושו שאין לסמוך על משתמש, מכשיר או שירות בגלל המקום שממנו הם מתחברים. גישה לרשת באפס אמון (ZTNA) בודקת זהות ובריאות מכשיר בכל בקשה ומחליפה גישת VPN רחבה.
מיקרו־סגמנטציה
מערכות מופרדות לאזורים קטנים עם כללים כתובים לגבי מה רשאי לדבר עם מה, כך שפורץ אינו יכול לנוע בחופשיות.
DevSecOps
כספות סודות, מצאי חומרים של תוכנה (SBOM) אוטומטי לכל בנייה, סריקת תלויות וקונטיינרים, וביקורות קוד שמשולבות בצינור המסירה שלכם.
מבחני חדירה מתמשכים ואבטחת API
יישומים, ממשקי API ותשתית נבדקים כפי שתוקף היה בודק אותם, אחרי כל שינוי מהותי, כשכל ממצא מתואר כך שאפשר לשחזר אותו.
תרגילי צוות אדום וכחול
צוות אדום תוקף בכללים מוסכמים בעוד הצוות הכחול שלכם מגן, כך שאתם לומדים עד כמה הזיהוי והתגובה עובדים תחת לחץ.
איך העבודה מתנהלת
הסכמה על ההיקף ועל הכללים
אנחנו מסכימים אילו מערכות בהיקף, כיצד נעשית הבדיקה, למי מודיעים וכיצד נעצור אם מערכת נמצאת בסיכון.
מיפוי החשיפה
אנחנו בוחנים ארכיטקטורה, תצורות, גישה וקוד, ובודקים את המערכות כפי שתוקף היה בודק אותן.
דירוג הממצאים
אנחנו מדרגים כל ממצא לפי סבירות והשפעה, מסבירים אותו בשפה פשוטה ומסכימים על סדר התיקונים.
תיקון ואוטומציה
אנחנו מתקנים את הממצאים עם הצוות שלכם, מאוטמים תיקונים חוזרים ומכניסים גישה באפס אמון וסגמנטציה בשלבים.
בדיקה חוזרת, באופן מתמשך
אנחנו בודקים מחדש כל תיקון וממשיכים לבדוק כשהמערכות שלכם משתנות.
איך אנחנו מוכיחים זאת בעבודה שלנו
אנחנו עובדים כך בעצמנו. כל מהנדס ב-XSIS נכנס עם מפתח אבטחה חומרתי, דרך מנהרות רשת באפס אמון שבודקות את המכשיר באופן מתמשך.
- אבטחה וקריפטוגרפיה
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- תקנים ורגולציה
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
איך מתחילים
מה קורה עכשיו
מפגש ייעוץ מקדים
מפגש ייעוץ מקדים מקוון ללא עלות של 30 דקות: אנחנו עוברים איתכם על המטרות, המערכות והמגבלות שלכם.
סקירת מוכנות
במסגרת סקירת מוכנות ללא עלות בת 48 שעות, מהנדס ראשי בודק את הפרויקט שלכם מול הגדרת המוכנות בת שש הנקודות וממליץ על המסלול המתאים.
בחירת המסלול
פרויקטים עם היקף מוכן מקבלים הצעה מחייבת בתוך 3–5 ימי עסקים. פרויקטים בשלב הרעיון מתחילים ב-Blueprint Studio. מערכת חיה שנכשלת, אינה מתועדת או זקוקה לאינטגרציה מתחילה באבחון של 1–2 שבועות. ל-Blueprint Studio ולאבחון יש שכר טרחה קבוע, הנקוב בהצעה.
אספקה בחמישה שלבים
התנעה, ספרינטים עם הדגמות חיות, אינטגרציה והקשחה, קבלה ועלייה לאוויר, ואז שירותים מנוהלים. לאחר ההשקה מגיע תקופת אחריות, ולאחריה תמיכה ותחזוקה אופציונליות.
פרויקטים בתוצאה קבועה ושירותים מנוהלים מסביב לשעון
מסירה בהיקף קבוע ובמונחי אבני דרך עם מובילי מסירה מוגדרים, ושירותי ניהול יישומים מסביב לשעון תחת ממשל SLA.
מומחים מוטמעים ותגבור כוח אדם אסטרטגי
מהנדסים ראשיים ומומחים קרוב גיאוגרפית ובאתר הלקוח, ואדריכלי פתרונות, טרנספורמציה, PQC ואינטגרציה מוטמעים.
הדרך המהירה ביותר היא חבילת ביקורת אבטחת סוכנים ופוסט־קוונטית (CBOM), אחת מחבילות ההתקשרות המהירות שלנו.
מאיפה להתחילשאלות ותשובות
האם אנחנו חייבים להחליף את ה-VPN כדי לאמץ אפס אמון?
לא בבת אחת. אפס אמון מוכנס בשלבים, בדרך כלל החל מהיישומים הרגישים ביותר ומגישת מנהלים. ה-VPN יכול להישאר למה שעדיין צריך אותו ויוצא משימוש כששום דבר לא תלוי בו.
מהו SBOM, ולמה אנחנו זקוקים לו?
מצאי חומרים של תוכנה מפרט כל רכיב וספרייה בתוך תוכנה, עם הגרסה שלו. כשמתפרסמת פגיעות חדשה, הוא אומר לכם במהירות אם אתם מושפעים והיכן. רגולציות כמו חוק החוסן הקיברנטי (CRA) באיחוד האירופי, ולקוחות רבים, מבקשים אותו היום.
איך המהנדסים שלכם ניגשים למערכות שלנו?
לכל מהנדס חשבון בשמו עם הזכויות שהמשימה צריכה בלבד, והוא נכנס עם מפתח אבטחה חומרתי. היכן שיש לכם תהליך לגישת מנהלים, אנחנו פועלים לפיו. הפעילות מתועדת, והגישה מוסרת כשהעבודה מסתיימת או כשמישהו עוזב את הפרויקט.
מהו ניהול חשיפה לאיומים מתמשך?
תוכנית מתמשכת במקום בדיקה שנתית. היא שומרת רשימה עדכנית של מה שתוקף יכול להגיע אליו, מדרגת כל חשיפה לפי הסבירות שתנוצל ולפי מה שהיא תעלה לכם, ועוקבת אחרי כל תיקון עד שהוא נסגר. הסריקה פועלת ברציפות והבדיקה עוקבת אחרי כל שינוי מהותי.
מהו תרגיל צוות אדום וכחול?
חזרה בתנאים אמיתיים. צוות אדום תוקף את המערכות שלכם בכללים מוסכמים, בעוד הצוות הכחול שלכם, האנשים שמזהים ומגיבים, מגן עליהן. אחר כך שני הצדדים סוקרים מה נמצא, מה הוחמץ וכמה זמן לקח כל שלב, ואתם מקבלים את השינויים שסוגרים את הפערים.
מוכנים לבנות? בקשו הצעה.
שלחו את הדרישות או ה-RFP שלכם. הארכיטקטים שלנו מאמתים אותם ומחזירים הצעה מחייבת בהיקף קבוע.
מה קורה עכשיו
סקירת מוכנות
במסגרת סקירת מוכנות ללא עלות בת 48 שעות, מהנדס ראשי בודק את הפרויקט שלכם מול הגדרת המוכנות בת שש הנקודות וממליץ על המסלול המתאים.
הצעה מחייבת
לאחר אימות ארכיטקטורה ללא עלות, תקבלו הצעה מחייבת בהיקף קבוע בתוך 3–5 ימי עסקים: אבני דרך, ארכיטקטורה, מבנה צוות ו-SLA. אנחנו חותמים איתכם על הסכם סודיות (NDA) לפי בקשה, לפני שאתם משתפים את הדרישות שלכם.
התנעה
לאחר החתימה, צוותי ההנדסה שלנו מתחילים את ספרינט 0 בתוך 5–10 ימי עסקים מחתימת החוזה.
אספקה בחמישה שלבים
התנעה, ספרינטים עם הדגמות חיות, אינטגרציה והקשחה, קבלה ועלייה לאוויר, ואז שירותים מנוהלים. לאחר ההשקה מגיע תקופת אחריות, ולאחריה תמיכה ותחזוקה אופציונליות.