Kõik, milleni võõras internetist ulatub.
Teie ründepind on iga host, rakendus, API ja fail, mille olete välja avanud, olenemata sellest, kas keegi mäletab, et seda tegi. Ründajad kaardistavad selle esimesena. Meie meelest võiksite seda teha teie.
Suurem kui nimekiri, mis teile anti.
Ründepind ei ole joonis. See on kõik, mis vastab, kui keegi internetist uksele koputab, kaasa arvatud asjad, mida keegi teie tiimist nimekirja panna ei oskaks.
Domeenid ja alamdomeenid
Iga nimi teie DNS-is ja iga sertifikaat, mis teile kunagi välja on antud. Sertifikaadiläbipaistvuse logid teevad selle nimekirja avalikuks, loete te seda või mitte.
Rakendused, API-d ja halduspaneelid
Kliendiportaalid, sisselogimislehed, GraphQL-i otspunktid ja see Grafana töölaud, mille keegi demo jaoks lahti tegi. Igaüks on uks oma lukuga.
Pilv ja salvestus
Avalikud aadressid, koormusjaoturid, kopad ja andmebaasid AWS-is, Azure'is või GCP-s. Üks klõps konsoolis võib ükskõik millise neist avalikuks teha.
Tarnijad ja jäägid
Agentuuri kampaanialeht teie domeenil, tarnija portaal, mullune migratsiooniserver. Ehitas keegi teine. Rünnatakse ikkagi teid.
See muutub teilt küsimata. Uus alamdomeen, täna hommikul välja antud sertifikaat, migratsiooni ajaks lõdvendatud tulemüürireegel, mida keegi kunagi tagasi ei keeranud. Üks kord joonistatud kaart on paari nädalaga aegunud.
Kaitsta ei saa seda, mida keegi üles ei lugenud.
Paljud intsidendid ei alga nutika ärakasutusega. Need algavad millestki kättesaadavast, mida keegi ei jälginud.
Ründajad alustavad siit
Nad loevad samu sertifikaadilogisid ja DNS-kirjeid, mida meie, automaatselt ja kogu aeg. Kes teie pinna esimesena kaardistab, saab esimese katse.
Teised tööriistad sõltuvad sellest
Skannerid, teie SOC ja paikamine katavad kõik ainult neid varasid, millest nad teavad. Unustatud host jääb kõigist kolmest korraga välja.
Regulaatorid küsivad seda
Nii NIS2 kui DORA eeldavad, et te teate oma IKT-varasid ja haldate neid. „Me ei teadnud, et see olemas on“ ei ole vastus, mida audiitor aktsepteerib.
Puhas kood võib ikkagi pärani lahti olla.
Tipptasemel mudelid nagu Anthropicu Claude Mythos leiavad vigu, mis on koodis aastakümneid peidus olnud. SonarQube püüab vead kinni igas pull requestis. Hoidke mõlemad alles.
Mõlemad vastavad ühele küsimusele: kas see kood on turvaline? Ründajad küsivad midagi muud: mis seal väljas töötab ja kas ma saan sisse? Kood ei tea, kuhu see juurutati, milline konfiguratsioon selle ees on ega mis veel samal domeenil elab.
| Mis on avatud | AI-koodiülevaatusMythos-klassi mudelid | Staatiline analüüsSonarQube ja sarnased | FriendlyFlareVäljastpoolt, iga nädal |
|---|---|---|---|
| Viga hoidlas, mida te skannite |
Kaetud: Tema koduväljak |
Kaetud: Igas pull requestis |
Osaliselt: Kui see on kättesaadav, tõestame |
| Käsitsi juurutatud testkeskkonna koopia |
Ei näe: Juurutusi ei näe kunagi |
Ei näe: Pole torus |
Kaetud: Leitud DNS-i ja sertifikaatide kaudu |
| Konsoolis avalikuks tehtud salvestuskopp |
Ei näe: Konsooli seaded ei ole kood |
Ei näe: Konsooli seaded ei ole kood |
Kaetud: Leitud ja väljastpoolt testitud |
| Puhvri või tulemüürireegliga avatud halduspaneel |
Ei näe: Reegel elab väljaspool hoidlat |
Ei näe: Reegel elab väljaspool hoidlat |
Kaetud: Kätte saadud ja tõestatud |
| AI-rakenduseehitajas tehtud rakendus |
Ei näe: Pole hoidlat, millele seda suunata |
Ei näe: Pole toru, kuhu väravat panna |
Kaetud: Leitud nagu iga teine host |
| Tarnija host teie domeenil |
Ei näe: Pole teie kood |
Ei näe: Pole teie kood |
Kaetud: Kaardistatud ja ulatuses olles testitud |
| Kas seda saab tootmises ära kasutada |
Osaliselt: Arutleb, tootmises ei proovi |
Ei näe: Mustri sobitamine |
Kaetud: Päring, vastus, ekraanipilt |
See ei ole koodi tööriistade mahategemine. Parandage, mis nad leiavad, sest see teeb kõik, mida meie testime, raskemini murtavaks. Meie katame selle osa, mida nad oma ülesehituse tõttu ei näe: mis on juurutatud, kus ja kes selleni ulatub.
Tarkvara jõuab välja kiiremini, kui keegi üle vaatab.
Igaüks, kel on prompt, saab lõunaks töötava rakenduse internetti panna. See on päriselt kasulik. Samas tähendab see, et teie ründepind kasvab ka päevadel, mil keegi tiketti ei avanud.
Rohkem ehitajaid, vähem ülevaatusi
Turundus, müük ja operatsioonid lasevad nüüd oma tööriistu ise välja. Enamik neist pole ohumudelit kunagi näinud ja keegi pole neilt seda ka palunud.
Juurutused torust mööda
Üks klõps rakenduseehitajas avaldab otse majutusplatvormile. SonarQube'i värav ei käivitu kunagi, sest pole toru, kus see käivituda saaks.
Samad vead, suures mahus
API-võtmed esiotsa kimbus, lahti jäetud andmebaasireeglid, sisselogimine kontrollitud ainult brauseris. Genereeritud kood kordab mustreid, millelt see õppis.
Järgmisel kuul pole sel omanikku
Inimene, kes selle promptis, liigub edasi, ja rakendus töötab edasi. Unustatud rakendusi kogunes varem aastate jooksul. Nüüd kulub selleks üks pärastlõuna.
Nii et küsimus nihkub. „Kas see kood on turvaline?“ on endiselt oluline. „Mis sel nädalal juurutati ja kes selleni ulatub?“ on nüüd olulisem. Sellel küsimusel pole hoidlat, mida skannida. Sellel on ainult väliskülg, ja väliskülg on see, kus meie töötame.
Kaardista, tõesta, hoia ajakohasena.
Te annate meile ettevõtte nime ja ühe domeeni. Kõik allolev käivitub sealt, alati kirjaliku volitusega ja mitte kunagi midagi hävitavat.
Kaardista
Sertifikaadilogid, DNS, pilve aadressiplokid ja koodihoidlad. Nimeline analüütik eemaldab selle, mis pole teie oma, ja ülejäänu kinnitate teie.
Tõesta
AI-agendid ründavad iga kokkulepitud vara kord nädalas, ainult lugedes ja piiratud sagedusega. Inimene kirjutab igale leiule alla enne, kui te seda näete.
Hoia ajakohasena
Väline kaart joonistatakse ümber iga 3–7 päeva järel. Uued varad liituvad järgmise rünnakuringiga ja parandused testitakse üle, mitte ei võeta sõna peale.
Alustage kaardist. Joonistame selle tasuta.
Andke meile nimi ja domeen. Saate esimese kaardi, mille inimene on üle kontrollinud, ja see jääb teile, olenemata sellest, kas lähete edasi.