Viss, ko svešinieks sasniedz no interneta.
Jūsu uzbrukuma virsma ir katrs hosts, aplikācija, API un fails, ko esat atstājuši pieejamu, neatkarīgi no tā, vai kāds to vēl atceras. Uzbrucēji to apzina pirmie. Mēs gribētu, lai pirmie būtu jūs.
Lielāka par sarakstu, ko jums iedeva.
Uzbrukuma virsma nav diagramma. Tas ir viss, kas atsaucas, kad kāds no interneta pieklauvē, ieskaitot lietas, kuras neviens jūsu komandā neiedomātos pieminēt.
Domēni un apakšdomēni
Katrs nosaukums jūsu DNS un katrs sertifikāts, kas jebkad izsniegts uz jūsu vārda. Sertifikātu caurskatāmības žurnāli šo sarakstu padara publisku, lasāt jūs tos vai ne.
Aplikācijas, API un administrēšanas paneļi
Klientu portāli, pieteikšanās lapas, GraphQL galapunkti un Grafana panelis, ko kāds atvēra demonstrācijai. Katras no tām ir durvis ar savu slēdzeni.
Mākonis un datu krātuves
Publiskās adreses, slodzes līdzsvarotāji, krātuves un datubāzes AWS, Azure vai GCP. Pietiek ar vienu klikšķi konsolē, lai jebkura no tām kļūtu publiska.
Piegādātāji un pāri palikušais
Aģentūras kampaņas vietne uz jūsu domēna, piegādātāja portāls, pagājušā gada migrācijas serveris. To būvēja kāds cits. Uzbrūk tam joprojām kā jums.
Tā mainās, jums neprasot. Jauns apakšdomēns, šorīt izsniegts sertifikāts, ugunsmūra noteikums, kas migrācijas laikā tika atvieglots un tā arī netika aizvērts. Vienreiz uzzīmēta karte novecojusi jau pēc dažām nedēļām.
Nevar aizsargāt to, ko neviens neuzskaitīja.
Daudzi incidenti nesākas ar ģeniālu ievainojamības izmantošanu. Tie sākas ar kaut ko sasniedzamu, kam neviens nesekoja līdzi.
Uzbrucēji sāk tieši šeit
Viņi lasa tos pašus sertifikātu žurnālus un DNS ierakstus, ko mēs, automātiski un nepārtraukti. Kurš pirmais apzina jūsu virsmu, tas pirmais arī mēģina.
No tās atkarīgi pārējie jūsu rīki
Skeneri, jūsu SOC un ielāpu uzstādīšana aptver tikai tos aktīvus, par kuriem zina. Aizmirsts hosts paliek ārpus visiem trim vienlaikus.
To prasa regulatori
Gan NIS2, gan DORA sagaida, ka jūs zināt un pārvaldāt savus IKT aktīvus. "Mēs nezinājām, ka tas eksistē" nav atbilde, ko auditori pieņem.
Tīrs kods joprojām var būt plaši atvērts.
Jaunākās paaudzes modeļi, piemēram, Anthropic Claude Mythos, atrod kļūdas, kas kodā slēpušās gadu desmitiem. SonarQube noķer nepilnības katrā pull request. Paturiet abus.
Abi atbild uz vienu jautājumu: vai šis kods ir drošs? Uzbrucēji uzdod citu: kas tur ārā darbojas un vai es varu tikt iekšā? Kods nezina, kur tas izvietots, kāda konfigurācija stāv tā priekšā un kas vēl dala to pašu domēnu.
| Kas ir atklāts | AI koda pārskatīšanaMythos klases modeļi | Statiskā analīzeSonarQube un līdzīgi | FriendlyFlareNo ārpuses, katru nedēļu |
|---|---|---|---|
| Nepilnība repozitorijā, ko skenējat |
Aptverts: Tā mājas laukums |
Aptverts: Katrā pull request |
Daļēji: Ja tā ir sasniedzama, mēs to pierādām |
| Ar roku izvietota testa vides kopija |
Nav redzams: Izvietojumus neredz nekad |
Nav redzams: Nav konveijerā |
Aptverts: Atrasta caur DNS un sertifikātiem |
| Konsolē publiska padarīta datu krātuve |
Nav redzams: Konsoles iestatījumi nav kods |
Nav redzams: Konsoles iestatījumi nav kods |
Aptverts: Atrasta un pārbaudīta no ārpuses |
| Administrēšanas panelis, ko atvēris starpniekserveris vai ugunsmūra noteikums |
Nav redzams: Noteikums dzīvo ārpus repozitorija |
Nav redzams: Noteikums dzīvo ārpus repozitorija |
Aptverts: Sasniegts un pierādīts |
| Aplikācija, kas uzbūvēta AI aplikāciju veidotājā |
Nav redzams: Nav repozitorija, uz ko to pavērst |
Nav redzams: Nav konveijera, ko aizsargāt |
Aptverts: Atrasta kā jebkurš cits hosts |
| Piegādātāja hosts uz jūsu domēna |
Nav redzams: Nav jūsu kods |
Nav redzams: Nav jūsu kods |
Aptverts: Apzināts un pārbaudīts, ja ir tvērumā |
| Vai to var izmantot produkcijā |
Daļēji: Spriests teorētiski, produkcijā nav mēģināts |
Nav redzams: Šablona sakritība |
Aptverts: Pieprasījums, atbilde, ekrānuzņēmums |
Tas nav pārmetums koda rīkiem. Labojiet to, ko tie atrod, jo tad visu, ko mēs testējam, ir grūtāk salauzt. Mēs aptveram to daļu, ko tie pēc savas būtības neredz: kas ir izvietots, kur un kas to var sasniegt.
Programmatūra top ātrāk, nekā to kāds pārskata.
Ikviens ar promptu līdz pusdienām var ielikt internetā strādājošu aplikāciju. Tas tiešām ir noderīgi. Tas arī nozīmē, ka jūsu uzbrukuma virsma aug dienās, kad neviens nav reģistrējis nevienu pieteikumu.
Vairāk būvētāju, mazāk pārskatu
Mārketings, pārdošana un operācijas tagad laiž klajā paši savus rīkus. Lielākā daļa no viņiem nekad nav redzējuši draudu modeli, un neviens viņiem to arī nav lūdzis.
Izvietošana garām konveijeram
Viens klikšķis aplikāciju veidotājā publicē tieši hostinga platformā. SonarQube pārbaude nekad nenostrādā, jo nav konveijera, kurā to palaist.
Tās pašas kļūdas, tikai masveidā
API atslēgas front-end pakotnē, atvērti atstāti datubāzes noteikumi, pieteikšanās, ko pārbauda tikai pārlūkā. Ģenerētais kods atkārto šablonus, no kuriem tas mācījās.
Nākammēnes tā nepieder nevienam
Cilvēks, kurš to ar promptu uzbūvēja, pāriet pie citiem darbiem, bet aplikācija turpina darboties. Agrāk aizmirstas aplikācijas uzkrājās gadiem. Tagad pietiek ar vienu pēcpusdienu.
Tātad jautājums mainās. "Vai šis kods ir drošs?" joprojām ir svarīgi. "Kas šonedēļ tika izvietots un kas to var sasniegt?" tagad ir svarīgāk. Šim jautājumam nav repozitorija, ko skenēt. Tam ir tikai ārpuse, un ārpuse ir vieta, kur strādājam mēs.
Apzināt, pierādīt, uzturēt aktuālu.
Jūs iedodat mums uzņēmuma nosaukumu un vienu domēnu. Viss turpmākais sākas no turienes. Vispirms rakstisks pilnvarojums, un nekad nekas postošs.
Apzināt
Sertifikātu žurnāli, DNS, mākoņa adrešu diapazoni un koda glabātavas. Konkrēts analītiķis izsvītro to, kas nav jūsu, un pārējo apstiprināt jūs.
Pierādīt
AI aģenti katru nedēļu uzbrūk katram saskaņotajam aktīvam, tikai lasot un ar ierobežotu intensitāti. Katru atradumu cilvēks apstiprina, pirms jūs to redzat.
Uzturēt aktuālu
Ārējā karte tiek pārzīmēta ik pēc 3–7 dienām. Jauni aktīvi nonāk nākamajā uzbrukuma ciklā, un labojumi tiek pārtestēti, nevis pieņemti uz goda vārda.
Sāciet ar karti. Mēs to uzzīmējam bez maksas.
Iedodiet mums nosaukumu un domēnu. Jūs saņemat pirmo karti, ko pārbaudījis cilvēks, un tā paliek jums, lai kā jūs izlemtu turpināt.