Khắc phục phơi nhiễm, zero trust và DevSecOps
Tìm những gì kẻ tấn công có thể chạm tới, sửa theo thứ tự và giữ kín lối vào
Quá nhiều lối vào
Kẻ tấn công tìm lối vào dễ nhất: dịch vụ bị phơi bày, mật khẩu dùng lại, máy chủ chưa vá hoặc ứng dụng tin tưởng dữ liệu đầu vào. Phần lớn tổ chức biết mình có điểm yếu. Ít tổ chức biết điểm nào quan trọng nhất, và danh sách tăng nhanh hơn tốc độ đội ngũ vá được.
Mạng xây trên niềm tin làm mọi thứ tệ hơn. Khi kẻ tấn công đã vào trong vành đai, mạng phẳng cho phép chúng đi từ hệ thống này sang hệ thống khác.
Những gì thay đổi với bạn
Phơi nhiễm bạn thấy được
Bức tranh luôn cập nhật, được xếp hạng, về những gì kẻ tấn công có thể chạm tới, thay vì báo cáo hằng năm đã lỗi thời khi đến tay.
Vụ xâm nhập được giữ nhỏ
Mọi yêu cầu đều được kiểm tra và hệ thống được phân đoạn, nên một tài khoản hay máy chủ bị chiếm không mở đường cho phần còn lại.
Mã an toàn mặc định
Kiểm tra bảo mật chạy trong mọi quy trình triển khai (pipeline), nên lỗ hổng bị bắt trước khi phát hành, không phải sau.
Chúng tôi bàn giao gì
Quản lý phơi nhiễm mối đe dọa liên tục
Quản lý phơi nhiễm mối đe dọa liên tục (CTEM) là chương trình thường trực tìm, xếp hạng và sửa những gì kẻ tấn công có thể chạm tới, trên ứng dụng, tài khoản đám mây, mạng và danh tính.
Khắc phục phơi nhiễm tự chủ và vá tự động
Phơi nhiễm phổ biến được sửa tự động qua quy trình đã kiểm thử, như bản vá, cấu hình không an toàn và chứng chỉ hết hạn, với con người phê duyệt mọi thay đổi có thể làm gián đoạn dịch vụ.
Truy cập mạng zero trust
Zero trust nghĩa là không người dùng, thiết bị hay dịch vụ nào được tin chỉ vì kết nối từ đâu. Truy cập mạng zero trust (ZTNA) kiểm tra danh tính và sức khỏe thiết bị trên mọi yêu cầu và thay thế truy cập VPN rộng.
Phân đoạn vi mô
Hệ thống được chia thành vùng nhỏ với quy tắc bằng văn bản về thành phần nào được giao tiếp với thành phần nào, để kẻ xâm nhập không di chuyển tự do.
DevSecOps
Kho bí mật, bảng kê thành phần phần mềm (SBOM) tự động cho mọi bản dựng, quét phụ thuộc và container, và đánh giá mã được tích hợp vào quy trình triển khai của bạn.
Kiểm thử xâm nhập liên tục và bảo mật API
Ứng dụng, API và hạ tầng được kiểm thử như cách kẻ tấn công làm, sau mọi thay đổi đáng kể, với mọi phát hiện được mô tả để tái hiện được.
Diễn tập tấn công và phòng thủ
Red team tấn công trong khuôn khổ quy tắc đã thỏa thuận, trong khi blue team của bạn phòng thủ, để bạn biết khả năng phát hiện và ứng phó hoạt động thế nào dưới áp lực.
Công việc diễn ra thế nào
Thống nhất phạm vi và quy tắc
Chúng tôi thống nhất hệ thống nào trong phạm vi, cách kiểm thử, ai được báo và cách dừng nếu một hệ thống gặp rủi ro.
Lập bản đồ phơi nhiễm
Chúng tôi rà soát kiến trúc, cấu hình, quyền truy cập và mã, và kiểm thử hệ thống như cách kẻ tấn công làm.
Xếp hạng phát hiện
Chúng tôi xếp từng phát hiện theo khả năng xảy ra và tác động, giải thích bằng ngôn ngữ dễ hiểu và thống nhất thứ tự sửa.
Sửa và tự động hóa
Chúng tôi sửa phát hiện cùng đội ngũ của bạn, tự động hóa các bản sửa lặp lại, và đưa truy cập zero trust cùng phân đoạn vào theo giai đoạn.
Kiểm thử lại liên tục
Chúng tôi kiểm thử lại mọi bản sửa và tiếp tục kiểm thử khi hệ thống thay đổi.
Chúng tôi tự áp dụng điều này
Chúng tôi tự làm theo cách này. Mọi kỹ sư XSIS đăng nhập bằng khóa bảo mật phần cứng, qua đường hầm mạng zero trust kiểm tra thiết bị liên tục.
- Bảo mật và mật mã
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Tiêu chuẩn và quy định
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Cách bắt đầu
Các bước tiếp theo
Buổi tư vấn sơ bộ
Một buổi tư vấn sơ bộ trực tuyến miễn phí 30 phút: chúng tôi cùng bạn xem xét mục tiêu, hệ thống và ràng buộc.
Đánh giá mức độ sẵn sàng
Trong một đánh giá mức độ sẵn sàng miễn phí trong 48 giờ, một kiến trúc sư chính kiểm tra dự án của bạn theo định nghĩa sẵn sàng (Definition of Ready) gồm 6 điểm và đề xuất lộ trình phù hợp.
Chọn lộ trình
Các dự án đã rõ phạm vi nhận đề xuất có ràng buộc trong vòng 3 đến 5 ngày làm việc. Các dự án ở giai đoạn ý tưởng bắt đầu trong Blueprint Studio. Hệ thống đang vận hành gặp lỗi, thiếu tài liệu hoặc cần tích hợp bắt đầu bằng chẩn đoán kéo dài 1 đến 2 tuần. Blueprint Studio và chẩn đoán đều có phí cố định, được báo trong đề xuất.
Triển khai trong năm giai đoạn
Khởi động, các sprint có trình diễn trực tiếp, tích hợp và gia cố, nghiệm thu và đưa vào vận hành, sau đó là dịch vụ được quản lý. Sau khi ra mắt là thời gian bảo hành, sau đó là hỗ trợ và bảo trì tùy chọn.
Dự án kết quả cố định và dịch vụ được quản lý suốt ngày đêm
Triển khai phạm vi cố định theo cột mốc, với trưởng nhóm bàn giao được chỉ định, cùng dịch vụ ứng dụng được quản lý suốt ngày đêm dưới quản trị SLA.
Chuyên gia tham gia đội ngũ và tăng cường chiến lược
Kỹ sư chính và chuyên gia nearshore, tại chỗ, cùng kiến trúc sư giải pháp, chuyển đổi, PQC và tích hợp tham gia đội ngũ của bạn.
Cách nhanh nhất để bắt đầu là gói Đánh giá bảo mật hậu lượng tử (CBOM) và bảo mật tác nhân, một trong các gói hợp tác nhanh của chúng tôi.
Nên bắt đầu từ đâuCâu hỏi và trả lời
Chúng tôi có phải thay VPN để áp dụng zero trust không?
Không cần ngay. Zero trust được đưa vào theo giai đoạn, thường bắt đầu từ ứng dụng nhạy cảm nhất và quyền quản trị. VPN có thể ở lại cho những gì còn cần và được loại bỏ khi không còn gì phụ thuộc vào nó.
SBOM là gì, và vì sao chúng tôi cần?
Bảng kê thành phần phần mềm liệt kê mọi thành phần và thư viện bên trong một phần mềm, kèm phiên bản. Khi công bố lỗ hổng mới, nó cho biết nhanh liệu bạn có bị ảnh hưởng và ở đâu. Các quy định như EU Cyber Resilience Act (CRA) và nhiều khách hàng nay yêu cầu có một bảng như vậy.
Kỹ sư của XSIS truy cập hệ thống của chúng tôi thế nào?
Mỗi kỹ sư có tài khoản được nêu tên chỉ có những quyền mà công việc cần, và đăng nhập bằng khóa bảo mật phần cứng. Khi bạn có quy trình cấp quyền quản trị, chúng tôi làm theo. Phiên được ghi nhật ký, và quyền bị thu hồi khi công việc kết thúc hoặc người đó rời dự án.
Quản lý phơi nhiễm mối đe dọa liên tục là gì?
Chương trình thường trực thay vì kiểm thử hằng năm. Nó giữ danh sách hiện hành về những gì kẻ tấn công có thể chạm tới, xếp từng phơi nhiễm theo khả năng bị lợi dụng và thiệt hại, và theo dõi mọi bản sửa đến khi đóng. Quét chạy liên tục và kiểm thử theo sau mọi thay đổi đáng kể.
Diễn tập tấn công và phòng thủ là gì?
Một buổi diễn tập trong điều kiện thật. Red team tấn công hệ thống của bạn trong khuôn khổ quy tắc đã thỏa thuận, trong khi blue team của bạn, những người phát hiện và ứng phó, bảo vệ hệ thống. Sau đó hai bên rà soát điều đã phát hiện, điều bị bỏ sót và thời gian từng bước, và bạn nhận các thay đổi khắc phục khoảng trống.
Sẵn sàng xây dựng? Hãy yêu cầu đề xuất.
Gửi yêu cầu hoặc RFP của bạn. Các kiến trúc sư của chúng tôi kiểm chứng và gửi lại đề xuất có ràng buộc, phạm vi cố định.
Các bước tiếp theo
Đánh giá mức độ sẵn sàng
Trong một đánh giá mức độ sẵn sàng miễn phí trong 48 giờ, một kiến trúc sư chính kiểm tra dự án của bạn theo định nghĩa sẵn sàng (Definition of Ready) gồm 6 điểm và đề xuất lộ trình phù hợp.
Đề xuất có ràng buộc
Sau bước kiểm chứng kiến trúc miễn phí, bạn nhận đề xuất có ràng buộc, phạm vi cố định trong vòng 3 đến 5 ngày làm việc: cột mốc, kiến trúc, cơ cấu đội ngũ và SLA. Chúng tôi ký thỏa thuận bảo mật (NDA) với bạn theo yêu cầu, trước khi bạn chia sẻ yêu cầu của mình.
Khởi động
Sau khi bạn ký, các nhóm kỹ thuật của chúng tôi bắt đầu Sprint 0 trong vòng 5 đến 10 ngày làm việc kể từ khi ký hợp đồng.
Triển khai trong năm giai đoạn
Khởi động, các sprint có trình diễn trực tiếp, tích hợp và gia cố, nghiệm thu và đưa vào vận hành, sau đó là dịch vụ được quản lý. Sau khi ra mắt là thời gian bảo hành, sau đó là hỗ trợ và bảo trì tùy chọn.