Kitettségek felszámolása, zero trust és DevSecOps
Derítse ki, mit érhet el egy támadó, javítsa sorrendben, és tartsa zárva
Túl sok bejárat
A támadók a legkönnyebb bejáratot keresik: egy nyilvánosan elérhető szolgáltatást, egy újrahasznált jelszót, egy javítatlan szervert vagy egy alkalmazást, amely megbízik a bemenetében. A legtöbb szervezet tudja, hogy vannak gyengeségei. Kevés tudja, melyek a legfontosabbak, és a lista gyorsabban nő, mint ahogy a csapatok javítani tudnak.
A bizalomra épülő hálózatok még rontanak a helyzeten. Amint egy támadó a peremvédelmen belülre jut, egy tagolatlan hálózatban egyik rendszerről a másikra léphet.
Mi változik Önnél
Látható kitettség
Naprakész, rangsorolt kép arról, mit érhet el egy támadó, egy olyan éves jelentés helyett, amely már megérkezésekor elavult.
Szűk körre korlátozott behatolások
Minden kérést ellenőrzünk, a rendszereket szegmentáljuk, így egy kompromittált fiók vagy szerver nem nyitja meg az utat a többihez.
Biztonságos kód alapértelmezés szerint
A biztonsági ellenőrzések minden szállítási folyamatban lefutnak, így a sebezhetőségeket a kiadás előtt észleljük, nem utána.
Mit nyújtunk
Folyamatos fenyegetettségi kitettség kezelése
A folyamatos fenyegetettségi kitettség kezelése (CTEM) állandó program, amely az alkalmazásokon, felhőfiókokon, hálózatokon és identitásokon át megtalálja, rangsorolja és kijavítja azt, amit egy támadó elérhetne.
Autonóm kitettségjavítás és automatikus javítástelepítés
A gyakori kitettségek, például a hiányzó javítások, a nem biztonságos beállítások és a lejárt tanúsítványok automatikus kijavítása tesztelt folyamatokon keresztül; mindent, ami egy szolgáltatást megzavarhat, ember hagy jóvá.
Zero trust hálózati hozzáférés
A zero trust azt jelenti, hogy egyetlen felhasználóban, eszközben vagy szolgáltatásban sem bízunk meg a csatlakozási helye miatt. A zero trust hálózati hozzáférés (ZTNA) minden kérésnél ellenőrzi az identitást és az eszköz állapotát, és felváltja a széles körű VPN-hozzáférést.
Mikroszegmentálás
Kis zónákra osztott rendszerek, írott szabályokkal arról, mi kommunikálhat mivel, így egy betolakodó nem mozoghat szabadon.
DevSecOps
Titoktárak, minden buildhez automatikusan készülő szoftver-anyagjegyzék (SBOM), függőség- és konténervizsgálat, valamint a szállítási folyamatába épített kódauditok.
Folyamatos behatolási tesztelés és API-biztonság
Alkalmazások, API-k és infrastruktúra tesztelése úgy, ahogy egy támadó tesztelné őket, minden jelentős változtatás után, minden megállapítást reprodukálhatóan leírva.
Red team és blue team gyakorlatok
Egy red team a megállapodott szabályok szerint támad, míg az Ön blue teamje védekezik, így kiderül, mennyire működik jól az észlelés és a reagálás nyomás alatt.
Hogyan folyik a munka
A hatókör és a szabályok egyeztetése
Megállapodunk abban, mely rendszerek tartoznak a hatókörbe, hogyan történik a tesztelés, kit értesítünk, és hogyan állunk le, ha egy rendszer veszélyben van.
A kitettség feltérképezése
Áttekintjük az architektúrát, a konfigurációkat, a hozzáférést és a kódot, és úgy teszteljük a rendszereket, ahogy egy támadó tenné.
A megállapítások rangsorolása
Minden megállapítást valószínűség és hatás szerint rangsorolunk, közérthetően elmagyarázzuk, és egyeztetjük a javítások sorrendjét.
Javítás és automatizálás
A csapatával együtt javítjuk a megállapításokat, automatizáljuk az ismétlődő javításokat, és szakaszosan bevezetjük a zero trust hozzáférést és a szegmentálást.
Újratesztelés, folyamatosan
Minden javítást újratesztelünk, és a rendszerei változása során is folyamatosan tesztelünk.
Hogyan bizonyítjuk a saját munkánkban
Mi magunk is így dolgozunk. Minden XSIS-mérnök hardveres biztonsági kulccsal jelentkezik be, olyan zero trust hálózati alagutakon keresztül, amelyek folyamatosan ellenőrzik az eszközt.
- Biztonság és kriptográfia
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Szabványok és szabályozások
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Hogyan kezdje
Mi történik ezután
Előzetes konzultáció
Egy ingyenes 30 perces online előzetes konzultáció: áttekintjük a céljait, rendszereit és korlátait.
Felkészültségi értékelés
Egy ingyenes 48 órás felkészültségi értékelés során egyik vezető architektünk a hatpontos készenléti definíció (Definition of Ready) alapján megvizsgálja a projektjét, és javasolja a hozzá illő utat.
Az út kiválasztása
A kész hatókörű projektek 3 és 5 munkanapon belül kötelező érvényű ajánlatot kapnak. A koncepciószakaszban lévő projektek a Blueprint Studióban indulnak. A hibás, dokumentálatlan vagy integrációra szoruló éles rendszer diagnosztikával indul (időtartam: 1 és 2 hét között). A Blueprint Studiónak és a diagnosztikának egyaránt fix díja van, amelyet az ajánlat tartalmaz.
Megvalósítás öt szakaszban
Mobilizálás, sprintek élő bemutatókkal, integráció és megerősítés, átvétel és élesítés, majd menedzselt szolgáltatások. Az élesítés után következik: garanciaidőszak, majd opcionális támogatás és karbantartás.
Fix kimenetelű projektek és éjjel-nappal működő menedzselt szolgáltatások
Rögzített hatókörű, mérföldkövekre épülő megvalósítás megnevezett megvalósítási vezetőkkel, valamint éjjel-nappal működő alkalmazás-üzemeltetési szolgáltatások SLA-alapú irányítással.
Beágyazott szakértők és stratégiai kapacitásbővítés
Nearshore és helyszíni vezető mérnökök és szakértők, valamint beágyazott megoldás-, transzformációs, PQC- és integrációs architektek.
Leggyorsabban ezzel a csomaggal indulhat: Posztkvantum (CBOM) és ágensbiztonsági audit, amely egyik gyors indulású csomagunk.
Hol kezdjeKérdések és válaszok
Le kell cserélnünk a VPN-ünket a zero trust bevezetéséhez?
Nem egyszerre. A zero trustot szakaszosan vezetjük be, általában a legérzékenyebb alkalmazásokkal és az adminisztrátori hozzáféréssel kezdve. A VPN maradhat ott, ahol még szükség van rá, és akkor vonjuk ki, amikor semmi nem függ tőle.
Mi az SBOM, és miért van rá szükségünk?
A szoftver-anyagjegyzék felsorolja egy szoftver minden komponensét és könyvtárát a verziójukkal együtt. Amikor új sebezhetőséget jelentenek be, gyorsan megmutatja, érintett-e, és hol. Az olyan szabályozások, mint az EU Cyber Resilience Act (CRA), és sok ügyfél ma már megköveteli.
Hogyan férnek hozzá a mérnökeik a rendszereinkhez?
Minden mérnöknek névre szóló fiókja van, csak a feladathoz szükséges jogokkal, és hardveres biztonsági kulccsal jelentkezik be. Ha Önnek van saját folyamata az adminisztrátori hozzáférésre, azt követjük. A munkameneteket naplózzuk, a hozzáférést pedig a munka végén vagy akkor vonjuk vissza, amikor valaki kilép a projektből.
Mi a folyamatos fenyegetettségi kitettség kezelése?
Éves teszt helyett állandó program. Naprakész listát vezet arról, mit érhet el egy támadó, minden kitettséget aszerint rangsorol, mennyire valószínű a kihasználása és mibe kerülne Önnek, és minden javítást a lezárásáig követ. A vizsgálat folyamatosan fut, a tesztelés pedig minden jelentős változtatást követ.
Mi a red team és blue team gyakorlat?
Valós körülmények közötti próba. A red team a megállapodott szabályok szerint támadja a rendszereit, míg az Ön blue teamje, vagyis az észlelésért és reagálásért felelős munkatársai, védi őket. Utána mindkét fél áttekinti, mit találtak, mit nem vettek észre, és mennyi ideig tartottak az egyes lépések, Ön pedig megkapja a hiányosságokat megszüntető változtatásokat.
Készen áll az építésre? Kérjen ajánlatot.
Küldje el követelményeit vagy ajánlatkérését (RFP). Architektjeink ellenőrzik őket, és kötelező érvényű, rögzített hatókörű ajánlatot küldenek.
Mi történik ezután
Felkészültségi értékelés
Egy ingyenes 48 órás felkészültségi értékelés során egyik vezető architektünk a hatpontos készenléti definíció (Definition of Ready) alapján megvizsgálja a projektjét, és javasolja a hozzá illő utat.
Kötelező érvényű ajánlat
Az ingyenes architektúra-validálás után 3 és 5 munkanapon belül kötelező érvényű, rögzített hatókörű ajánlatot kap: mérföldkövekkel, architektúrával, csapatszerkezettel és SLA-kkal. Kérésre titoktartási megállapodást (NDA) írunk alá Önnel, mielőtt megosztaná a követelményeit.
Mobilizálás
Mérnöki podjaink a szerződés aláírását követő 5 és 10 munkanapon belül megkezdik a Sprint 0-t.
Megvalósítás öt szakaszban
Mobilizálás, sprintek élő bemutatókkal, integráció és megerősítés, átvétel és élesítés, majd menedzselt szolgáltatások. Az élesítés után következik: garanciaidőszak, majd opcionális támogatás és karbantartás.