การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOps
ค้นหาสิ่งที่ผู้โจมตีเข้าถึงได้ แก้ตามลำดับ และปิดไว้ให้แน่น
ทางเข้าที่มากเกินไป
ผู้โจมตีมองหาทางเข้าที่ง่ายที่สุด ได้แก่ บริการที่เปิดเผย รหัสผ่านที่ใช้ซ้ำ เซิร์ฟเวอร์ที่ยังไม่แพตช์ หรือแอปพลิเคชันที่เชื่อถืออินพุตของตนเอง องค์กรส่วนใหญ่รู้ว่าตัวเองมีจุดอ่อน น้อยรายที่รู้ว่าจุดใดสำคัญที่สุด และรายการก็ยาวขึ้นเร็วกว่าที่ทีมจะแพตช์ได้ทัน
เครือข่ายที่สร้างบนความเชื่อถือทำให้แย่ลง เมื่อผู้โจมตีอยู่ภายในขอบเขตแล้ว เครือข่ายแบนราบทำให้ย้ายจากระบบหนึ่งไปอีกระบบได้
สิ่งที่เปลี่ยนไปสำหรับคุณ
มองเห็นการเปิดเผยได้
มุมมองที่เป็นปัจจุบันและจัดอันดับแล้วว่าผู้โจมตีเข้าถึงอะไรได้ แทนรายงานประจำปีที่ล้าสมัยตั้งแต่ส่งถึงมือ
การรั่วไหลที่จำกัดวง
ทุกคำขอถูกตรวจสอบและระบบถูกแบ่งส่วน บัญชีหรือเซิร์ฟเวอร์ที่ถูกยึดครองหนึ่งรายการจึงไม่เปิดทางไปสู่ส่วนที่เหลือ
โค้ดที่ปลอดภัยโดยค่าเริ่มต้น
การตรวจสอบความปลอดภัยทำงานในทุกไปป์ไลน์ ช่องโหว่จึงถูกจับได้ก่อนเผยแพร่ ไม่ใช่หลัง
สิ่งที่เราส่งมอบ
การบริหารการเปิดเผยต่อภัยคุกคามอย่างต่อเนื่อง
การบริหารการเปิดเผยต่อภัยคุกคามอย่างต่อเนื่อง (CTEM) คือโครงการต่อเนื่องที่ค้นหา จัดอันดับ และแก้ไขสิ่งที่ผู้โจมตีเข้าถึงได้ ครอบคลุมแอปพลิเคชัน บัญชีคลาวด์ เครือข่าย และตัวตน
การแก้ไขการเปิดเผยอัตโนมัติและการแพตช์อัตโนมัติ
การเปิดเผยทั่วไปแก้ไขอัตโนมัติผ่านไปป์ไลน์ที่ผ่านการทดสอบ เช่น แพตช์ การตั้งค่าที่ไม่ปลอดภัย และใบรับรองที่หมดอายุ โดยมีคนอนุมัติสิ่งใดที่อาจหยุดบริการ
การเข้าถึงเครือข่ายแบบ Zero Trust
Zero trust หมายถึงไม่เชื่อถือผู้ใช้ อุปกรณ์ หรือบริการใดเพราะสถานที่ที่เชื่อมต่อเข้ามา การเข้าถึงเครือข่ายแบบ Zero Trust (ZTNA) ตรวจสอบตัวตนและสุขภาพอุปกรณ์ทุกคำขอ และแทนที่การเข้าถึงผ่าน VPN แบบกว้าง
การแบ่งส่วนระดับย่อย
ระบบถูกแบ่งเป็นโซนเล็กๆ พร้อมกฎเป็นลายลักษณ์อักษรว่าอะไรสื่อสารกับอะไรได้ ผู้บุกรุกจึงเคลื่อนย้ายได้อย่างอิสระไม่ได้
DevSecOps
ตู้เซฟข้อมูลลับ รายการวัสดุซอฟต์แวร์ (SBOM) อัตโนมัติทุกบิลด์ การสแกนการพึ่งพาและคอนเทนเนอร์ และการตรวจสอบโค้ดที่ฝังในไปป์ไลน์การส่งมอบของคุณ
การทดสอบเจาะระบบอย่างต่อเนื่องและความปลอดภัยของ API
แอปพลิเคชัน API และโครงสร้างพื้นฐานถูกทดสอบแบบที่ผู้โจมตีทดสอบ หลังทุกการเปลี่ยนแปลงสำคัญ โดยอธิบายทุกข้อค้นพบเพื่อให้ทำซ้ำได้
การฝึกซ้อมทีมแดงและทีมน้ำเงิน
ทีมแดงโจมตีภายใต้กฎที่ตกลงกัน ขณะที่ทีมน้ำเงินของคุณป้องกัน คุณจึงรู้ว่าการตรวจจับและการตอบสนองทำงานได้ดีเพียงใดภายใต้แรงกดดัน
งานดำเนินไปอย่างไร
ตกลงขอบเขตและกฎ
เราตกลงว่าระบบใดอยู่ในขอบเขต ทดสอบอย่างไร ใครได้รับแจ้ง และเราหยุดอย่างไรหากระบบมีความเสี่ยง
จัดทำแผนผังการเปิดเผย
เราทบทวนสถาปัตยกรรม การตั้งค่า การเข้าถึง และโค้ด และทดสอบระบบแบบที่ผู้โจมตีทำ
จัดอันดับข้อค้นพบ
เราจัดอันดับข้อค้นพบแต่ละข้อตามโอกาสเกิดและผลกระทบ อธิบายด้วยภาษาที่เข้าใจง่าย และตกลงลำดับการแก้ไข
แก้ไขและทำให้เป็นอัตโนมัติ
เราแก้ไขข้อค้นพบร่วมกับทีมของคุณ ทำให้การแก้ไขที่เกิดซ้ำเป็นอัตโนมัติ และนำการเข้าถึงแบบ Zero Trust และการแบ่งส่วนมาใช้เป็นระยะ
ทดสอบซ้ำอย่างต่อเนื่อง
เราทดสอบซ้ำทุกการแก้ไขและทดสอบต่อเนื่องเมื่อระบบของคุณเปลี่ยน
วิธีที่เราพิสูจน์ในงานของเราเอง
เราทำงานแบบนี้เอง วิศวกร XSIS ทุกคนเข้าสู่ระบบด้วยกุญแจความปลอดภัยแบบฮาร์ดแวร์ ผ่านอุโมงค์เครือข่าย Zero Trust ที่ตรวจสอบอุปกรณ์อย่างต่อเนื่อง
- ความปลอดภัยและการเข้ารหัสลับ
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- มาตรฐานและกฎระเบียบ
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
วิธีเริ่มต้น
ขั้นตอนถัดไป
การปรึกษาก่อนเริ่มงาน
การปรึกษาก่อนเริ่มงานออนไลน์ฟรี 30 นาที: เราพูดคุยถึงเป้าหมาย ระบบ และข้อจำกัดของคุณ
การทบทวนความพร้อม
ในการทบทวนความพร้อมฟรี 48 ชั่วโมง สถาปนิกหลักจะตรวจสอบโครงการของคุณเทียบกับนิยามของความพร้อม 6 ข้อ และแนะนำแนวทางที่เหมาะที่สุด
การเลือกแนวทาง
โครงการที่ขอบเขตพร้อมจะได้รับข้อเสนอที่มีผลผูกพัน ภายใน 3 ถึง 5 วันทำการ โครงการในระยะแนวคิดจะเริ่มใน Blueprint Studio ระบบที่ใช้งานอยู่แต่มีปัญหา ไม่มีเอกสาร หรือต้องเชื่อมต่อ จะเริ่มด้วยการวินิจฉัยระยะเวลา 1 ถึง 2 สัปดาห์ Blueprint Studio และการวินิจฉัยต่างมีค่าธรรมเนียมคงที่ ซึ่งระบุไว้ในข้อเสนอ
การส่งมอบในห้าขั้นตอน
การระดมทีม สปรินต์พร้อมการสาธิตสด การเชื่อมต่อและการเสริมความแข็งแกร่ง การตรวจรับงานและการเปิดใช้งานจริง แล้วจึงเป็นบริการที่จัดการให้ หลังเปิดใช้งานจริงจะมีระยะเวลารับประกัน จากนั้นเป็นการสนับสนุนและการบำรุงรักษาแบบเลือกได้
โครงการแบบกำหนดผลลัพธ์ตายตัวและบริการที่จัดการให้ตลอด 24 ชั่วโมง
การส่งมอบที่ขอบเขตคงที่และขับเคลื่อนด้วยหมุดหมาย พร้อมหัวหน้าทีมส่งมอบที่ระบุชื่อ และบริการจัดการแอปพลิเคชันตลอด 24 ชั่วโมงภายใต้การกำกับดูแล SLA
ผู้เชี่ยวชาญที่ฝังตัวและการเสริมบุคลากรเชิงกลยุทธ์
วิศวกรหลักและผู้เชี่ยวชาญแบบเนียร์ชอร์และในสถานที่ และสถาปนิกด้านโซลูชัน การเปลี่ยนผ่าน PQC และการเชื่อมต่อระบบที่ฝังตัว
วิธีเริ่มต้นที่เร็วที่สุดคือแพ็กเกจ การตรวจสอบความปลอดภัยหลังควอนตัม (CBOM) และเอเจนต์ ซึ่งเป็นหนึ่งในแพ็กเกจเริ่มงานแบบรวดเร็วของเรา
จุดเริ่มต้นคำถามและคำตอบ
เราต้องเปลี่ยน VPN เพื่อนำ Zero Trust มาใช้หรือไม่
ไม่จำเป็นต้องเปลี่ยนในทันที Zero trust ถูกนำมาใช้เป็นระยะ ปกติเริ่มจากแอปพลิเคชันที่ละเอียดอ่อนที่สุดและการเข้าถึงของผู้ดูแลระบบ VPN ยังใช้ได้กับสิ่งที่ยังต้องใช้ และเลิกใช้เมื่อไม่มีอะไรพึ่งพาแล้ว
SBOM คืออะไร และทำไมเราต้องมี
รายการวัสดุซอฟต์แวร์แสดงรายการองค์ประกอบและไลบรารีทุกชิ้นในซอฟต์แวร์หนึ่งชิ้นพร้อมเวอร์ชัน เมื่อมีช่องโหว่ใหม่ประกาศออกมา รายการนี้บอกได้อย่างรวดเร็วว่าคุณได้รับผลกระทบหรือไม่และที่ใด กฎระเบียบ เช่น Cyber Resilience Act (CRA) ของสหภาพยุโรป และลูกค้าจำนวนมากกำหนดให้มี
วิศวกรของคุณเข้าถึงระบบของเราอย่างไร
วิศวกรแต่ละคนมีบัญชีระบุชื่อที่มีสิทธิ์เฉพาะเท่าที่งานต้องใช้ และเข้าสู่ระบบด้วยกุญแจความปลอดภัยแบบฮาร์ดแวร์ เมื่อคุณมีขั้นตอนสำหรับการเข้าถึงของผู้ดูแลระบบ เราทำตามขั้นตอนนั้น เซสชันถูกบันทึก และสิทธิ์ถูกถอดเมื่องานจบหรือมีคนออกจากโครงการ
การบริหารการเปิดเผยต่อภัยคุกคามอย่างต่อเนื่องคืออะไร
โครงการต่อเนื่องแทนการทดสอบปีละครั้ง มีรายการปัจจุบันว่าผู้โจมตีเข้าถึงอะไรได้ จัดอันดับแต่ละการเปิดเผยตามโอกาสที่จะถูกใช้งานและความเสียหายที่จะเกิดกับคุณ และติดตามทุกการแก้ไขจนกว่าจะปิด การสแกนทำงานต่อเนื่องและการทดสอบทำตามทุกการเปลี่ยนแปลงสำคัญ
การฝึกซ้อมทีมแดงและทีมน้ำเงินคืออะไร
การซ้อมภายใต้สภาพจริง ทีมแดงโจมตีระบบของคุณภายใต้กฎที่ตกลงกัน ขณะที่ทีมน้ำเงินซึ่งเป็นผู้ตรวจจับและตอบสนองป้องกันระบบ หลังจากนั้นทั้งสองฝ่ายทบทวนสิ่งที่พบ สิ่งที่พลาด และเวลาที่ใช้ในแต่ละขั้น และคุณได้รับการเปลี่ยนแปลงที่ปิดช่องว่าง
พร้อมจะสร้างแล้วหรือยัง ขอข้อเสนอได้เลย
ส่งความต้องการหรือ RFP ของคุณ สถาปนิกของเราจะตรวจสอบและส่งข้อเสนอที่มีผลผูกพันและขอบเขตคงที่กลับไปให้คุณ
ขั้นตอนถัดไป
การทบทวนความพร้อม
ในการทบทวนความพร้อมฟรี 48 ชั่วโมง สถาปนิกหลักจะตรวจสอบโครงการของคุณเทียบกับนิยามของความพร้อม 6 ข้อ และแนะนำแนวทางที่เหมาะที่สุด
ข้อเสนอที่มีผลผูกพัน
หลังการตรวจสอบความถูกต้องของสถาปัตยกรรมโดยไม่มีค่าใช้จ่าย คุณจะได้รับข้อเสนอที่มีผลผูกพันและขอบเขตคงที่ ภายใน 3 ถึง 5 วันทำการ: หมุดหมาย สถาปัตยกรรม โครงสร้างทีม และ SLA เราลงนามในข้อตกลงรักษาความลับ (NDA) กับคุณเมื่อร้องขอ ก่อนคุณแจ้งความต้องการ
การระดมทีม
เมื่อคุณลงนาม ทีมวิศวกรรมขนาดเล็กของเราจะเริ่มสปรินต์ 0 ภายใน 5 ถึง 10 วันทำการหลังลงนามสัญญา
การส่งมอบในห้าขั้นตอน
การระดมทีม สปรินต์พร้อมการสาธิตสด การเชื่อมต่อและการเสริมความแข็งแกร่ง การตรวจรับงานและการเปิดใช้งานจริง แล้วจึงเป็นบริการที่จัดการให้ หลังเปิดใช้งานจริงจะมีระยะเวลารับประกัน จากนั้นเป็นการสนับสนุนและการบำรุงรักษาแบบเลือกได้