Mašina randa. Žmogus pasirašo. Jūs pataisote.
Dvi fazės. Pirmoji susitaria, kas iš tikrųjų yra jūsų, ir vyksta vieną kartą. Antroji veikia, kol jos neatšaukiate. Spustelėkite bet kurį žingsnį ir pamatysite, kas jame vyksta.
- FriendlyFlare platforma — automatiškai
- FriendlyFlare analitikas — konkretus žmogus
- Jūs
Įdiegimas
- Ciklas · Nauja prieiga praplečia žvalgymą, todėl šie trys žingsniai kartojasi, kol žemėlapis nustoja augti.
Pradinis žvalgymas
PlatformaJūs pateikiate įmonės pavadinimą ir vieną domeną. Tai visa įvestis.
Nuo čia platforma pati nubraižo pirmąjį žemėlapį: sertifikatų skaidrumo žurnalai, DNS ir atvirkštinis DNS, registratoriaus ir WHOIS įrašai, debesų adresų blokai, kodo saugyklos ir visa kita, kas apie jus jau vieša. Neliečiama nieko, kas dar nepasiekiama iš interneto, ir šiuo metu jūs nesate suteikę jokios prieigos.
Tai sąmoningai ta pati pradinė pozicija, kurią turi užpuolikas — vienintelis sąžiningas būdas išsiaiškinti, ką užpuolikas mato.
Kas iš to gaunasi Pirmasis sąrašas, kuriame paprastai yra keli dalykai, kurių niekas iš jūsų pusės nebūtų įvardijęs.
Analitiko peržiūra
AnalitikasKonkretus analitikas peržiūri mašinos žemėlapį dar prieš jums jį pamatant.
Jis atmeta klaidingus priskyrimus — kito serverį, kuriam tiesiog sutampa registratorius, pavadinimą, kuris tik atrodo panašus į jūsų — ir palygina rastą su pasirašytu įgaliojimu, kad niekas už sutartos apimties ribų nekeliautų toliau.
Tai žingsnis, kuriame sąrašas nustoja būti spėjimu. Dėl to pirmas dalykas, kurį gaunate, yra pakankamai trumpas, kad jį perskaitytumėte.
Kas iš to gaunasi Žemėlapis, perėjęs per žmogų, su spėjimais, pažymėtais kaip spėjimai.
Kliento patvirtinimas
JūsJūs patvirtinate, kas jūsų, išbraukiate, kas ne, ir pridedate tai, ko iš išorės nebūtume galėję pamatyti.
Tada suteikiate tik skaitymo prieigą ten, kur norite gilesnio vaizdo: saugyklos, CI, debesų paskyros. Kiekviena prieiga yra savanoriška ir kiekviena praplečia tai, ką žvalgymas gali pasiekti — vidinė bandomoji aplinka iš viešo interneto nematoma, kol nepasakote, kad ji yra.
Kiekvieną prieigą dengia įdiegimo metu pasirašyta apimties sutartis, o apimties plėtimas vėliau yra pasirašomas pakeitimas, o ne pagalbos užklausa.
Kas iš to gaunasi Suderintas ir įgaliotas turto sąrašas — tai, su kuo dirba visa likusi paslauga.
Savaitinis ciklas
- Ciklas · Pataisymai grįžta į skenavimą ir pertestuojami po diegimo, niekada nepriimami patikėjus.
- Ciklas · Reguliarus žvalgymas grąžina naują turtą į skenavimą, todėl ciklui paviršiaus niekada nepritrūksta.
Atakų skenavimas
PlatformaKiekvienas suderinto žemėlapio išteklius įtraukiamas į savaitinius atakų testus, o ne tikrinamas tik kartą per metus.
Agentai dirba po vieną siaurą užduotį ir laikosi griežtos taisyklės: įrodyk nesulaužydamas. Autentifikacijos apėjimas, atviri skydeliai, IDOR, tarpusavyje susieti radiniai keliuose serveriuose. Ardomosios klasės pagal numatymą išjungtos ir lieka išjungtos, kol nepasirašote kažko atskirai, o viskas vyksta tik skaitant, ribotu intensyvumu ir viską fiksuojant.
Šiame etape radinys yra teiginys, o ne sprendimas. Niekas į jį dar nežiūrėjo.
Kas iš to gaunasi Kandidatiniai radiniai su jau pridėta užklausa, atsakymu ir ekrano nuotrauka.
Analitiko rūšiavimas
AnalitikasKandidatai keliauja pas žmogų, kuris tuos, kurie svarbūs, pabando atkartoti.
Maždaug 70–90% užregistruojami kaip triukšmas ir jūs jų niekada nematote — nepasiekiami, neišnaudojami, ne jūsų. Kas lieka, gauna sprendimą su konkrečia pavarde, o būtent to ir nori auditorius ar klientas, klausdamas, kas tai peržiūrėjo.
Niekas jūsų nepasiekia vien agento atsakomybe. Tokia yra viso šio žingsnio esmė.
Kas iš to gaunasi Nedidelis skaičius patvirtintų, atkartojamų radinių, kiekvienas su tai patvirtinusio žmogaus parašu.
Ataskaitos
PlatformaDvi ataskaitos iš to paties įrodymų rinkinio, nes klausia du labai skirtingi žmonės.
Vadovybės ataskaita — rizikos lygis, tendencija, kas pradelsta ir kieno pavardė šalia. Techninė ataskaita — pats radinys: užklausa ir atsakymas, atkartojimo žingsniai, pertestavimo rezultatas.
Abi datuotos ir eksportuojamos, jas galima perduoti auditoriui ar reguliuojamam klientui be papildomo redagavimo. Techninius atnaujinimus pateikiame kas savaitę; vadovybės ataskaitoje tendencijos apibendrinamos kas mėnesį. Kritinių radinių taisymo SLA yra 3 dienos, aukšto lygio radinių — 14 dienų; jį galime pritaikyti jūsų organizacijai.
Kas iš to gaunasi Datuoti įrodymai apie kiekvieną radinį ir kiekvieną leidimą. Abi ataskaitų formas visa apimtimi galite pamatyti platformos puslapyje.
Taisymas
JūsRadiniai keliauja ten, kur darbas iš tikrųjų vyksta — Jira, Linear, GitHub — su pridėtais įrodymais, nesvarbu, ar savininkas yra jūsų komanda, ar tiekėjas, kuris prižiūri tą sistemą.
Kai sprendimo dar nėra, prie radinio užrašomas laikinas sprendimas, o radinys lieka atviras. „Sumažinta“ nėra „uždaryta“, ir ataskaita pasako, kuris iš jų tai yra.
Kai išleidžiate pataisymą, jis atakuojamas iš naujo, o ne priimamas patikėjus.
Kas iš to gaunasi Radiniai, kurie uždaromi todėl, kad buvo pertestuoti, o ne todėl, kad kažkas uždėjo varnelę.
Reguliarus žvalgymas
PlatformaJūsų atakos paviršius keičiasi jūsų neklausdamas. Naujas subdomenas, šįryt išduotas sertifikatas, aplinka, kurią kažkas pakėlė demonstracijai, naujas tiekėjo galinis taškas.
Todėl žemėlapis perbraižomas pagal grafiką — išoriniam paviršiui kas 3–7 dienas — o ne sutarties pradžioje. Visa, kas nauja, į ciklą patenka per kitą skenavimą, o visa, kas dingsta, užfiksuojama kaip dingę, o ne tyliai išmetama.
Būtent šis žingsnis skiria ataskaitą nuo paslaugos.
Kas iš to gaunasi Žemėlapis, kuris aktualus šiandien, o ne pasirašymo dieną.
Pirmoji fazė nemokamai, dar prieš jums ką nors nusprendžiant.
Pateikite pavadinimą ir domeną, o mes nemokamai atliksime pirmus du žingsnius: žvalgymą ir žmogaus patikrą. Žemėlapis lieka jums, nesvarbu, ar eisite toliau.