Ekspozycja zewnętrzna

External Attack Surface Review

Poznaj ekspozycję swojego systemu w internecie i priorytety napraw.

Dyrektorzy techniczni, liderzy zespołów inżynierskich i zespoły SaaS przygotowujące jeden publicznie dostępny system do wdrożenia, przeglądu bezpieczeństwa dla klienta lub zmiany infrastruktury.

Jeden autoryzowany system publiczny. Kontrole o niskim wpływie, bez logowania. To nie jest test penetracyjny.

Co otrzymasz

• Mapa publicznych hostów, usług i endpointów w uzgodnionej granicy systemu.
• Ręcznie sprawdzone ustalenia z dowodami i jasnymi priorytetami: co poprawić najpierw.
• Raport dla osób decyzyjnych i załącznik techniczny z zaleceniami napraw oraz jawnymi niewiadomymi.
• Zapis zakresu i warunków zatrzymania, manifest i skróty plików; podpisany zapis i weryfikator offline, jeśli obsługiwane.
• Jedno ukierunkowane sprawdzenie poprawek w ciągu 30 dni kalendarzowych od przekazania pierwszego raportu, obejmujące uzgodnione ustalenia.

Zakres i ograniczenia

• Bez eksploatacji, uwierzytelnionych testów aplikacji, testowania haseł, brute force, zbierania poświadczeń, socjotechniki, odmowy usługi, działań destrukcyjnych, utrzymywania dostępu, malware, zbierania danych klientów i eksfiltracji danych.
• Bez przeglądu kodu źródłowego, aplikacji mobilnych, smart contractów, kont chmurowych, sieci wewnętrznej ani otwartego wykrywania subdomen lub zakresów IP.
• To nie jest test penetracyjny. Nie jest to również certyfikacja zgodności, atest bezpieczeństwa ani gwarancja, że system jest bezpieczny, kompletny, zgodny lub wolny od podatności.
• Cele poza potwierdzonym zakresem first-party pozostają nietknięte. Infrastruktura strony trzeciej lub współdzielona wymaga osobnego pisemnego upoważnienia.

Jak zacząć

1. Zamówienie Wskaż autoryzowany system dostępny z internetu i powód, dla którego jego zewnętrzna powierzchnia ataku ma teraz znaczenie. Podaj podstawę upoważnienia, ale nie wysyłaj sekretów ani materiałów produkcyjnych.
2. Akceptacja zakresu WitnessOps asynchronicznie akceptuje albo odrzuca granicę, potwierdza dostępność i zapisuje płatność. Rozmowa sprzedażowa nie jest wymagana.
3. Przegląd Tam, gdzie ma to zastosowanie, wykorzystujemy pasywne wykrywanie, a następnie wykonujemy wyłącznie jawnie zatwierdzone kontrole niskiego ryzyka zgodnie z podpisanym harmonogramem celów. Ręcznie weryfikujemy, usuwamy duplikaty, ustalamy priorytety i łączymy ustalenia z materiałami.
4. Dostawa i retest Przekazujemy raporty i pakiet do sprawdzenia. Termin realizacji według podpisanego SOW. Następnie jeden raz ponownie testujemy uzgodnione ustalenia w ciągu 30 dni kalendarzowych od przekazania raportu.