Знайдемо відомі вразливості на вашому периметрі раніше за ботів
Сканування всього зовнішнього периметру плюс ручний розбір спеціаліста. Ви отримуєте список того, що треба закрити, без хибних тривог.
Коли вам потрібен саме Vulnerability Assessment
Широке технічне покриття всього периметру. Це не дешевша версія пентесту: у них різні задачі.
Периметр виріс непомітно
Сервісів, доменів і піддоменів побільшало, і вже ніхто в команді не тримає повну картину в голові.
Інфраструктура швидко змінюється
Часті релізи й нові середовища. Потрібна технічна точка відліку, яку можна повторювати.
Давно не було зовнішньої перевірки
Безпеку дивилися лише всередині команди, незалежної технічної перевірки ззовні не робили.
SaaS із кількома системами в інтернеті
Продукт, адмінка, стейджинг, службові панелі — усе це видно ззовні й усе це поверхня атаки.
Команда хоче незалежний зріз
IT або DevOps закривають проблеми самі, але потрібне підтвердження від зовнішньої сторони.
Ще не час для великого пентесту
Спершу варто закрити очевидне на широкому периметрі, а глибоку ручну перевірку зробити далі.
Що ми скануємо і перевіряємо
Точний перелік фіксуємо в межах перевірки. Не кожен пункт потрібен кожній компанії.
- Зовнішні IP-адреси та доступні сервіси
- Домени й піддомени, які належать компанії
- Відкриті ззовні порти та служби
- Застарілі компоненти й версії ПЗ
- Відомі вразливості (CVE) у виявлених компонентах
- Налаштування TLS/SSL і сертифікати
- Типові помилки конфігурації веб- і серверного ПЗ
- Адміністративні інтерфейси, доступні з інтернету
- Заголовки безпеки
- Інші зовнішньо помітні конфігураційні ризики
Інструменти дають обсяг. Пріоритет визначає людина.
Кожну знахідку сканера перевіряє спеціаліст: що реальне, що хибне і що закривати першим.
Системи в межах перевірки
Фіксуємо, що саме належить компанії та входить у перевірку.
Сканування
Погоджені автоматизовані перевірки в межах дозволу.
Аналіз спеціалістом
Відсікаємо шум і хибні спрацювання, перевіряємо контекст.
Пріоритезація
Що закривати першим, а що може почекати.
Звіт і розбір
Структурований результат і конкретні рекомендації команді.
Сім кроків від меж перевірки до виправлень
Межі перевірки
Визначаємо системи, які належать вашій компанії та входять у перевірку.
Дозвіл
Активне сканування — тільки після письмового дозволу від власника систем.
Пошук активів
Фіксуємо зовнішні активи, які входять у погоджені межі перевірки.
Сканування
Виконуємо погоджені автоматизовані перевірки в межах дозволу.
Аналіз
Спеціаліст переглядає результати, відсікає очевидний шум і визначає пріоритет.
Звіт
Структурований результат, вплив кожної знахідки та рекомендації.
Повторна перевірка
Якщо повторна перевірка входить у погоджені межі перевірки — перевіряємо виправлення ще раз.
Vulnerability Assessment чи пентест
Обидва формати корисні, але відповідають на різні питання. Оберете не той, і бюджет піде не туди.
На що добре відповідає Assessment
- Які відомі технічні проблеми видно на широкому зовнішньому периметрі
- Де залишились застарілі, зайво відкриті або неправильно налаштовані компоненти
- Що варто закрити першим
- Який технічний стан периметру зараз — як точка відліку
Куди йде глибше пентест
- Ручна перевірка конкретного застосунку та API
- Автентифікація, сесії, ролі та права доступу
- Бізнес-логіка й сценарії зловживання
- Зв'язані ланцюжки атаки та реальні дії в погоджених межах
Ще не знаєте, що входить у вашу зовнішню поверхню?
Почніть із зовнішнього review: він показує, що видно ззовні, і не потребує активних дій до дозволу.
External Security Review
Пасивно збираємо публічно доступну картину зовнішньої поверхні й визначаємо, чи є сенс іти глибше.
Veiltrack Security Program
Якщо крім периметру потрібно перевірити застосунок, команду та доступи — це збирається в одну програму з єдиними межами.
Часті запитання
Assessment дає широке покриття периметру за відомими проблемами: застарілі компоненти, небезпечні конфігурації, зайво відкриті сервіси. Пентест іде вглиб окремого застосунку — автентифікація, права доступу, бізнес-логіка та зв'язані сценарії атаки, які автоматичні інструменти не розуміють.
Так. Сканування — це активні запити до ваших систем, тому воно починається лише після погоджених меж перевірки і письмового дозволу від компанії, якій ці системи належать.
Інтенсивність і методи погоджуємо до початку робіт. За потреби працюємо у вузькому вікні або зі зниженою інтенсивністю. Руйнівних дій не виконуємо.
Ні. Автоматичні результати переглядає спеціаліст: відсіює очевидний шум, перевіряє, що знахідка справді стосується вашої системи, і визначає пріоритет. Ви отримуєте розібраний результат, а не вигрузку інструменту.
Залежить від розміру зовнішнього периметру та погоджених меж перевірки. Строк і вартість фіксуємо до початку роботи.
Забронюйте 30-хвилинний розбір
Коротка розмова на 30 хвилин: подивимось на ваш периметр і скажемо, який обсяг перевірки має сенс.