Maruziyet giderme, sıfır güven ve DevSecOps
Bir saldırganın erişebileceği noktaları bulun, öncelik sırasına göre düzeltin ve kapalı tutun
Giriş yolu çok fazla
Saldırganlar en kolay giriş yolunu arar: açıkta bırakılmış bir hizmet, yeniden kullanılan bir parola, yaması uygulanmamış bir sunucu veya girdisine güvenen bir uygulama. Çoğu kuruluş zayıflıkları olduğunu bilir. Hangilerinin en çok önem taşıdığını ise azı bilir ve liste, ekiplerin yama uygulama hızından daha hızlı büyür.
Güvene dayalı kurulan ağlar durumu daha da kötüleştirir. Saldırgan çevre güvenliğini aştığında, düz bir ağ bir sistemden diğerine geçmesine izin verir.
Sizin için ne değişir
Görebildiğiniz maruziyet
Elinize ulaştığında eskimiş olan yıllık bir rapor yerine, bir saldırganın erişebileceği noktaların güncel ve önceliklendirilmiş görünümü.
Küçük kalan ihlaller
Her istek denetlenir ve sistemler bölümlere ayrılır; böylece ele geçirilen tek bir hesap veya sunucu geri kalanı açmaz.
Varsayılan olarak güvenli kod
Güvenlik kontrolleri her işlem hattında çalışır; böylece güvenlik açıkları sürümden sonra değil, önce yakalanır.
Ne teslim ediyoruz
Sürekli tehdit maruziyeti yönetimi
Sürekli tehdit maruziyeti yönetimi (CTEM), uygulamalar, bulut hesapları, ağlar ve kimlikler genelinde bir saldırganın erişebileceği noktaları bulan, önceliklendiren ve düzelten sürekli bir programdır.
Otonom maruziyet giderme ve otomatik yama
Yamalar, güvensiz ayarlar ve süresi dolmuş sertifikalar gibi yaygın maruziyetler, test edilmiş işlem hatları aracılığıyla otomatik olarak giderilir; bir hizmeti kesintiye uğratabilecek her şey için bir kişi onay verir.
Sıfır güven ağ erişimi
Sıfır güven, hiçbir kullanıcıya, cihaza veya hizmete bağlandığı yer nedeniyle güvenilmemesi anlamına gelir. Sıfır güven ağ erişimi (ZTNA), her istekte kimliği ve cihaz sağlığını denetler ve geniş VPN erişiminin yerini alır.
Mikro bölümleme
Sistemler, neyin neyle konuşabileceğine dair yazılı kurallarla küçük bölgelere ayrılır; böylece bir davetsiz misafir serbestçe hareket edemez.
DevSecOps
Gizli anahtar kasaları, her derleme için otomatik bir yazılım malzeme listesi (SBOM), bağımlılık ve konteyner taraması ve teslim işlem hattınıza yerleştirilmiş kod denetimleri.
Sürekli sızma testi ve API güvenliği
Uygulamalar, API’ler ve altyapı, bir saldırganın test edeceği şekilde, her önemli değişiklikten sonra test edilir ve her bulgu yeniden üretilebilecek şekilde açıklanır.
Kırmızı ve mavi takım tatbikatları
Bir kırmızı takım, üzerinde anlaşılan kurallar çerçevesinde saldırırken mavi takımınız savunma yapar; böylece tespit ve müdahalenin baskı altında ne kadar iyi çalıştığını öğrenirsiniz.
İş nasıl yürür
Kapsam ve kurallar üzerinde anlaşın
Hangi sistemlerin kapsamda olduğu, testin nasıl yapıldığı, kime bilgi verildiği ve bir sistem risk altındaysa nasıl duracağımız üzerinde anlaşırız.
Maruziyeti haritalandırın
Mimariyi, yapılandırmaları, erişimi ve kodu inceler ve sistemleri bir saldırganın yapacağı şekilde test ederiz.
Bulguları sıralayın
Her bulguyu olasılık ve etkiye göre sıralar, sade bir dille açıklar ve düzeltmelerin sırası üzerinde anlaşırız.
Düzeltin ve otomatikleştirin
Bulguları ekibinizle birlikte düzeltir, tekrarlayan düzeltmeleri otomatikleştirir ve sıfır güven erişimi ile bölümlemeyi aşamalı olarak devreye alırız.
Yeniden test edin, sürekli
Her düzeltmeyi yeniden test eder ve sistemleriniz değiştikçe test etmeye devam ederiz.
Bunu kendi işimizde nasıl kanıtlıyoruz
Biz kendimiz bu şekilde çalışıyoruz. Her XSIS mühendisi, cihazı sürekli denetleyen sıfır güven ağ tünelleri üzerinden bir donanım güvenlik anahtarıyla oturum açar.
- Güvenlik ve kriptografi
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Standartlar ve düzenlemeler
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Nasıl başlanır
Sırada ne var
Ön danışmanlık oturumu
Bir ücretsiz 30 dakikalık çevrim içi ön danışmanlık oturumu: hedeflerinizi, sistemlerinizi ve kısıtlarınızı gözden geçiririz.
Hazırlık incelemesi
Bir ücretsiz 48 saatlik hazırlık incelemesi kapsamında baş mimar, projenizi 6 maddelik Hazırlık Tanımı’na göre kontrol eder ve uygun olan yolu önerir.
Yolun seçilmesi
Kapsamı hazır projeler 3–5 iş günü içinde içinde bağlayıcı bir teklif alır. Konsept aşamasındaki projeler Blueprint Studio’da başlar. Arızalı, belgelenmemiş veya entegrasyon gerektiren canlı bir sistem, 1–2 hafta teşhisiyle başlar. Blueprint Studio ve teşhisin her biri, teklifte belirtilen sabit bir ücrete tabidir.
Beş aşamada teslim
Harekete geçirme, canlı gösterimli sprintler, entegrasyon ve sağlamlaştırma, kabul ve canlıya alma, ardından yönetilen hizmetler. Lansmandan sonra bir garanti dönemi, ardından isteğe bağlı destek ve bakım gelir.
Sabit sonuçlu projeler ve 7/24 yönetilen hizmetler
Belirlenmiş teslim liderleriyle sabit kapsamlı, kilometre taşı odaklı teslim ve SLA yönetimi altında 7/24 uygulama yönetilen hizmetleri.
Gömülü uzmanlar ve stratejik ekip güçlendirme
Yakın kıyı ve yerinde baş mühendisler ve uzmanlar ile gömülü çözüm, dönüşüm, PQC ve entegrasyon mimarları.
En hızlı giriş yolu, hızlı iş birliği paketlerimizden biri olan Kuantum sonrası (CBOM) ve ajan güvenliği denetimi paketidir.
Nereden başlanırSorular ve yanıtlar
Sıfır güveni benimsemek için VPN’imizi değiştirmek zorunda mıyız?
Hemen değil. Sıfır güven aşamalı olarak, genellikle en hassas uygulamalar ve yönetici erişimiyle başlanarak devreye alınır. VPN, hâlâ ihtiyaç duyanlar için kalabilir ve hiçbir şey ona bağımlı olmadığında kaldırılır.
SBOM nedir ve neden ihtiyacımız var?
Yazılım malzeme listesi, bir yazılımın içindeki her bileşeni ve kütüphaneyi sürümüyle birlikte listeler. Yeni bir güvenlik açığı duyurulduğunda, etkilenip etkilenmediğinizi ve nerede etkilendiğinizi hızla söyler. AB Siber Dayanıklılık Yasası (CRA) gibi düzenlemeler ve birçok müşteri artık bunu talep ediyor.
Mühendisleriniz sistemlerimize nasıl erişiyor?
Her mühendisin yalnızca görevin gerektirdiği haklara sahip adlandırılmış bir hesabı vardır ve donanım güvenlik anahtarıyla oturum açar. Yönetici erişimi için bir süreciniz varsa, ona uyarız. Oturumlar günlüğe kaydedilir ve iş bittiğinde veya biri projeden ayrıldığında erişim kaldırılır.
Sürekli tehdit maruziyeti yönetimi nedir?
Yıllık bir test yerine sürekli bir program. Bir saldırganın erişebileceği noktaların güncel bir listesini tutar, her maruziyeti kullanılma olasılığına ve size maliyetine göre sıralar ve her düzeltmeyi kapatılana kadar izler. Tarama sürekli çalışır ve test her önemli değişikliği izler.
Kırmızı ve mavi takım tatbikatı nedir?
Gerçek koşullar altında bir prova. Bir kırmızı takım, üzerinde anlaşılan kurallar çerçevesinde sistemlerinize saldırırken, tespit ve müdahaleyi yapan kişilerden oluşan mavi takımınız onları savunur. Ardından her iki taraf da neyin bulunduğunu, neyin gözden kaçtığını ve her adımın ne kadar sürdüğünü gözden geçirir ve boşlukları kapatan değişiklikleri alırsınız.
İnşa etmeye hazır mısınız? Teklif isteyin.
Gereksinimlerinizi veya RFP’nizi gönderin. Mimarlarımız bunları doğrular ve bağlayıcı, sabit kapsamlı bir teklif sunar.
Sırada ne var
Hazırlık incelemesi
Bir ücretsiz 48 saatlik hazırlık incelemesi kapsamında baş mimar, projenizi 6 maddelik Hazırlık Tanımı’na göre kontrol eder ve uygun olan yolu önerir.
Bağlayıcı teklif
ücretsiz mimari doğrulama sonrasında, 3–5 iş günü içinde içinde bağlayıcı ve sabit kapsamlı bir teklif alırsınız: kilometre taşları, mimari, ekip yapısı ve SLA’lar. Gereksinimlerinizi paylaşmadan önce, talebiniz üzerine sizinle bir gizlilik sözleşmesi (NDA) imzalarız.
Harekete geçirme
İmzaladıktan sonra mühendislik ekiplerimiz Sprint 0’a sözleşme imzalandıktan sonra 5–10 iş günü içinde başlar.
Beş aşamada teslim
Harekete geçirme, canlı gösterimli sprintler, entegrasyon ve sağlamlaştırma, kabul ve canlıya alma, ardından yönetilen hizmetler. Lansmandan sonra bir garanti dönemi, ardından isteğe bağlı destek ve bakım gelir.