Pembaikan pendedahan, kepercayaan sifar dan DevSecOps
Temui apa yang boleh dicapai penyerang, baiki mengikut urutan dan kekalkan ia tertutup
Terlalu banyak jalan masuk
Penyerang mencari jalan masuk paling mudah: perkhidmatan terdedah, kata laluan yang digunakan semula, pelayan tanpa tampalan atau aplikasi yang mempercayai inputnya. Kebanyakan organisasi tahu mereka mempunyai kelemahan. Sedikit yang tahu kelemahan mana paling penting, dan senarainya bertambah lebih pantas daripada kemampuan pasukan menampal.
Rangkaian yang dibina atas kepercayaan memburukkannya. Setelah penyerang berada di dalam perimeter, rangkaian rata membolehkannya berpindah daripada satu sistem ke sistem seterusnya.
Apa yang berubah untuk anda
Pendedahan yang dapat anda lihat
Pandangan terkini dan tersusun tentang apa yang boleh dicapai penyerang, dan bukan laporan tahunan yang sudah lapuk sebaik diterima.
Pelanggaran yang kekal kecil
Setiap permintaan disemak dan sistem disegmenkan, jadi satu akaun atau pelayan yang terkompromi tidak membuka yang lain.
Kod selamat secara lalai
Pemeriksaan keselamatan berjalan dalam setiap saluran, jadi kelemahan ditangkap sebelum keluaran, bukan selepasnya.
Apa yang kami sampaikan
Pengurusan pendedahan ancaman berterusan
Pengurusan pendedahan ancaman berterusan (CTEM) ialah program berterusan yang mencari, menyusun dan membaiki apa yang boleh dicapai penyerang, merentas aplikasi, akaun awan, rangkaian dan identiti.
Pembetulan pendedahan autonomi dan penampalan automatik
Pendedahan lazim dibaiki secara automatik melalui saluran yang teruji, seperti tampalan, tetapan tidak selamat dan sijil tamat tempoh, dengan manusia meluluskan apa-apa yang boleh mengganggu perkhidmatan.
Akses rangkaian kepercayaan sifar
Kepercayaan sifar bermaksud tiada pengguna, peranti atau perkhidmatan dipercayai kerana tempat ia bersambung. Akses rangkaian kepercayaan sifar (ZTNA) menyemak identiti dan kesihatan peranti pada setiap permintaan dan menggantikan akses VPN yang luas.
Penyegmenan mikro
Sistem dipisahkan kepada zon kecil dengan peraturan bertulis tentang apa yang boleh berhubung dengan apa, supaya penyusup tidak dapat bergerak bebas.
DevSecOps
Peti besi rahsia, senarai bahan perisian (SBOM) automatik bagi setiap binaan, pengimbasan kebergantungan dan kontena, serta audit kod terbina dalam saluran penyampaian anda.
Ujian penembusan berterusan dan keselamatan API
Aplikasi, API dan infrastruktur diuji seperti cara penyerang mengujinya, selepas setiap perubahan penting, dengan setiap penemuan diterangkan supaya ia boleh dihasilkan semula.
Latihan pasukan merah dan biru
Pasukan merah menyerang dalam peraturan yang dipersetujui manakala pasukan biru anda mempertahankan, supaya anda mengetahui sejauh mana pengesanan dan tindak balas berfungsi di bawah tekanan.
Cara kerja ini dijalankan
Bersetuju tentang skop dan peraturan
Kami bersetuju tentang sistem mana yang dalam skop, bagaimana ujian dijalankan, siapa yang dimaklumkan dan bagaimana kami berhenti jika sesuatu sistem berisiko.
Memetakan pendedahan
Kami menyemak seni bina, konfigurasi, akses dan kod, serta menguji sistem seperti cara penyerang mengujinya.
Menyusun penemuan
Kami menyusun setiap penemuan mengikut kebarangkalian dan kesan, menerangkannya dalam bahasa biasa dan bersetuju tentang urutan pembaikan.
Membaiki dan mengautomasikan
Kami membaiki penemuan bersama pasukan anda, mengautomasikan pembaikan yang berulang, dan memperkenalkan akses kepercayaan sifar serta penyegmenan secara berperingkat.
Menguji semula, secara berterusan
Kami menguji semula setiap pembaikan dan terus menguji apabila sistem anda berubah.
Cara kami membuktikannya dalam kerja kami sendiri
Kami sendiri bekerja dengan cara ini. Setiap jurutera XSIS log masuk dengan kunci keselamatan perkakasan, melalui terowong rangkaian kepercayaan sifar yang menyemak perantinya secara berterusan.
- Keselamatan dan kriptografi
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Piawaian dan peraturan
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Cara bermula
Apa yang berlaku seterusnya
Sesi praperundingan
Satu sesi praperundingan dalam talian percuma selama 30 minit: kami meneliti matlamat, sistem dan kekangan anda.
Semakan kesediaan
Dalam satu semakan kesediaan percuma selama 48 jam, seorang Arkitek Utama menyemak projek anda menurut Takrif Kesediaan 6 perkara dan mengesyorkan landasan yang sesuai.
Memilih landasan
Projek yang bersedia dari segi skop menerima cadangan mengikat dalam 3 hingga 5 hari perniagaan. Projek pada peringkat konsep bermula di Blueprint Studio. Sistem yang sedang berjalan tetapi gagal, tidak didokumenkan atau memerlukan integrasi bermula dengan diagnostik selama 1 hingga 2 minggu. Blueprint Studio dan diagnostik masing-masing mempunyai fi tetap, disebut dalam cadangan.
Penyampaian dalam lima peringkat
Mobilisasi, sprint dengan demonstrasi langsung, integrasi dan pengukuhan, penerimaan dan pelancaran, kemudian perkhidmatan terurus. Selepas pelancaran menyusul tempoh jaminan, kemudian sokongan dan penyelenggaraan pilihan.
Projek hasil tetap dan perkhidmatan terurus sepanjang masa
Penyampaian skop tetap yang dipacu pencapaian dengan ketua penyampaian yang dinamakan, serta perkhidmatan terurus aplikasi sepanjang masa di bawah tadbir urus SLA.
Pakar yang ditempatkan dan penambahan strategik
Jurutera utama dan pakar nearshore serta di lokasi, dan arkitek penyelesaian, transformasi, PQC dan integrasi yang ditempatkan.
Cara terpantas untuk bermula ialah pakej Audit keselamatan pascakuantum (CBOM) dan ejen, salah satu pakej penglibatan pantas kami.
Dari mana hendak bermulaSoalan dan jawapan
Perlukah kami menggantikan VPN untuk mengamalkan kepercayaan sifar?
Tidak serentak. Tanpa kepercayaan diperkenalkan secara berperingkat, biasanya bermula dengan aplikasi paling sensitif dan akses pentadbir. VPN boleh kekal bagi apa yang masih memerlukannya dan ditamatkan apabila tiada lagi yang bergantung kepadanya.
Apakah SBOM, dan mengapa kami memerlukannya?
Senarai bahan perisian menyenaraikan setiap komponen dan pustaka di dalam sesuatu perisian, bersama versinya. Apabila kelemahan baharu diumumkan, ia memberitahu anda dengan pantas sama ada anda terjejas dan di mana. Peraturan seperti EU Cyber Resilience Act (CRA), dan banyak pelanggan, kini memintanya.
Bagaimana jurutera anda mengakses sistem kami?
Setiap jurutera mempunyai akaun bernama dengan hanya hak yang diperlukan oleh tugasan, dan log masuk dengan kunci keselamatan perkakasan. Di tempat anda mempunyai proses untuk akses pentadbir, kami mengikutinya. Sesi direkodkan, dan akses ditarik balik apabila kerja berakhir atau seseorang meninggalkan projek.
Apakah pengurusan pendedahan ancaman berterusan?
Program berterusan dan bukan ujian tahunan. Ia mengekalkan senarai terkini tentang apa yang boleh dicapai penyerang, menyusun setiap pendedahan mengikut kebarangkalian ia digunakan dan kosnya kepada anda, serta menjejaki setiap pembaikan sehingga ditutup. Pengimbasan berjalan secara berterusan dan ujian menyusul selepas setiap perubahan penting.
Apakah latihan pasukan merah dan biru?
Latihan dalam keadaan sebenar. Pasukan merah menyerang sistem anda dalam peraturan yang dipersetujui, manakala pasukan biru anda, iaitu orang yang mengesan dan bertindak balas, mempertahankannya. Selepas itu kedua-dua pihak menyemak apa yang ditemui, apa yang terlepas dan berapa lama setiap langkah mengambil masa, dan anda menerima perubahan yang menutup jurang itu.
Bersedia untuk membina? Minta cadangan.
Hantar keperluan atau RFP anda. Arkitek kami mengesahkannya dan mengembalikan cadangan mengikat dengan skop tetap.
Apa yang berlaku seterusnya
Semakan kesediaan
Dalam satu semakan kesediaan percuma selama 48 jam, seorang Arkitek Utama menyemak projek anda menurut Takrif Kesediaan 6 perkara dan mengesyorkan landasan yang sesuai.
Cadangan mengikat
Selepas pengesahan seni bina tanpa kos, anda menerima cadangan mengikat berskop tetap dalam 3 hingga 5 hari perniagaan: pencapaian, seni bina, struktur pasukan dan SLA. Kami menandatangani perjanjian kerahsiaan (NDA) dengan anda atas permintaan, sebelum anda berkongsi keperluan anda.
Mobilisasi
Setelah anda menandatangani, pod kejuruteraan kami memulakan Sprint 0 dalam 5 hingga 10 hari perniagaan selepas kontrak ditandatangani.
Penyampaian dalam lima peringkat
Mobilisasi, sprint dengan demonstrasi langsung, integrasi dan pengukuhan, penerimaan dan pelancaran, kemudian perkhidmatan terurus. Selepas pelancaran menyusul tempoh jaminan, kemudian sokongan dan penyelenggaraan pilihan.