En maskine finder det. Et menneske skriver under. I retter det.
To faser. Den første bliver enig om hvad der faktisk er jeres, og køres én gang. Den anden kører, indtil I siger stop. Klik på et hvilket som helst trin for at se, hvad der sker inde i det.
- FriendlyFlare-platformen — automatisk
- FriendlyFlare-analytiker — et navngivet menneske
- Jer
Onboarding
- Løkke · Ny adgang udvider kortlægningen, så de tre trin gentages, indtil kortet holder op med at vokse.
Første kortlægning
PlatformI giver os et firmanavn og ét domæne. Det er hele inputtet.
Derfra tegner platformen selv det første kort: certifikattransparens-logfiler, DNS og omvendt DNS, registrator- og WHOIS-oplysninger, sky-adresseblokke, kodeværter og alt andet, der allerede er offentligt om jer. Intet røres, som ikke allerede kan nås fra internettet, og I har ikke givet nogen adgang på dette tidspunkt.
Det er med vilje samme udgangspunkt, som en angriber har — den eneste ærlige måde at finde ud af, hvad en angriber kan se.
Det kommer der ud af det En første opgørelse, som regel med flere ting, ingen på jeres side ville have nævnt.
Analytikergennemgang
AnalytikerEn navngivet analytiker gennemgår maskinens kort, før I overhovedet ser det.
Vedkommende fjerner forkerte tilskrivninger — en andens server, der tilfældigvis deler registrator, et navn der bare ligner jeres — og holder det fundne op mod den underskrevne bemyndigelse, så intet uden for det aftalte scope kommer videre.
Det er her, listen holder op med at være et gæt. Det er også derfor, det første I får, er kort nok til at læse.
Det kommer der ud af det Et kort, der har været forbi et menneske, med gættene markeret som gæt.
Kundens gennemgang
JerI bekræfter hvad der er jeres, streger det ud der ikke er, og tilføjer det, vi umuligt kunne se udefra.
Derefter giver I læseadgang der, hvor I vil have det dybere billede: repositories, CI, sky-konti. Hver adgang er frivillig, og hver adgang udvider hvad kortlægningen kan nå — et internt testmiljø er usynligt fra det offentlige internet, indtil I siger, at det findes.
Hver adgang er dækket af den scope-aftale, der blev underskrevet ved onboardingen, og at udvide scopet senere er en underskrevet ændring, ikke en supportsag.
Det kommer der ud af det En aftalt og bemyndiget aktivliste — det, resten af ydelsen arbejder op imod.
Ugentlig cyklus
- Løkke · Rettelser går tilbage til scanningerne og gentestes ved deploy, aldrig taget på tro.
- Løkke · Løbende kortlægning sender nye aktiver tilbage til scanningerne, så cyklussen aldrig løber tør for flade.
Angrebsscanninger
PlatformHvert aktiv på det aftalte kort indgår i ugentlige angreb, ikke kun én gang om året.
Agenterne arbejder med én snæver opgave ad gangen under en hård regel: bevis det uden at ødelægge noget. Omgået login, åbne adminpaneler, IDOR, fund der kædes sammen på tværs af værter. Destruktive klasser er slået fra som standard og bliver det, indtil I skriver under på noget bestemt, og alt er læsende, hastighedsbegrænset og logget.
Et fund på dette stadie er en påstand, ikke en vurdering. Ingen har set på det endnu.
Det kommer der ud af det Kandidatfund med kaldet, svaret og et skærmbillede allerede vedhæftet.
Analytikertriage
AnalytikerKandidaterne går til et menneske, som prøver dem, der betyder noget.
Omkring 70–90 % arkiveres som støj, og I ser dem aldrig — ikke nåbare, ikke udnyttelige, ikke jeres. Det, der overlever, får en vurdering med et navn på, hvilket er det, en revisor eller en kunde faktisk vil have, når de spørger, hvem der gennemgik det.
Intet når jer på en agents ord alene. Det er hele pointen med trinnet.
Det kommer der ud af det Et lille antal bekræftede, reproducerbare fund, hvert underskrevet af den, der bekræftede det.
Rapporter
PlatformTo rapporter ud af det samme materiale, fordi to meget forskellige mennesker spørger.
Ledelsesrapporten er eksponering, tendens, hvad der er over sin SLA, og hvis navn der står på det. Den tekniske rapport er selve fundet: kaldet og svaret, trinnene til at genskabe det, resultatet af gentesten.
Begge er daterede, begge kan eksporteres, og begge er skrevet til at kunne gives direkte til en revisor eller en reguleret kunde uden en redigeringsrunde først. Tekniske opdateringer kommer ugentligt; ledelsesrapporten opsummerer udviklingen hver måned. Udbedringsfristen er 3 dage for kritiske fund og 14 dage for alvorlige fund og kan tilpasses jeres organisation.
Det kommer der ud af det Dateret dokumentation per fund og per release. Begge rapportformer kan ses i deres helhed på platformssiden.
Udbedring
JerFundene sendes derhen, hvor arbejdet faktisk foregår — Jira, Linear, GitHub — med dokumentationen vedhæftet, uanset om ejeren er jeres eget team eller den leverandør, der driver systemet.
Hvor der endnu ikke findes en rettelse, skrives den midlertidige løsning på fundet, og fundet forbliver åbent. “Afbødet” er ikke “lukket”, og rapporten siger hvilket af dem det er.
Når I udgiver en rettelse, bliver den angrebet igen i stedet for taget på tro.
Det kommer der ud af det Fund der lukkes, fordi de er gentestet, ikke fordi nogen har sat et flueben.
Løbende kortlægning
PlatformJeres angrebsflade ændrer sig uden at spørge jer. Et nyt subdomæne, et certifikat udstedt her til morgen, et miljø nogen startede til en demo, en leverandørs nye endpoint.
Derfor tegnes kortet om efter en plan — hver 3.–7. dag for den eksterne flade — og ikke ved kontraktens start. Alt nyt kommer med i cyklussen ved næste scanning, og alt der forsvinder, noteres som væk i stedet for stille at falde ud.
Det er dette trin, der gør forskellen på en rapport og en ydelse.
Det kommer der ud af det Et kort, der er aktuelt i dag, ikke den dag I skrev under.
Fase ét uden beregning, før I beslutter noget.
Giv os et navn og et domæne, så kører vi de to første trin gratis: kortlægningen, og et menneske der tjekker den. I beholder kortet, uanset om I går videre.