External Risk Monitor: cosa osserva

Che cos'è

Il prodotto combina ricerca passiva e ricognizione attiva circoscritta all'interno del confine di asset approvato. Le attività passive possono utilizzare informazioni pubbliche su DNS, certificati, registrazioni e servizi; i controlli attivi circoscritti hanno limiti di frequenza e sono ristretti ai domini e ai range IP concordati. La revisione può comprendere domini, sottodomini, range IP, porte aperte, servizi raggiungibili pubblicamente, superfici HTTP e HTTPS, certificati, configurazione DNS, pannelli esposti, asset dimenticati, indicatori di storage pubblico e problemi di configurazione visibili. Registra cosa è stato osservato, quando è stato osservato e perché può essere rilevante. Utilizza ricerca passiva e controlli attivi circoscritti; lo sfruttamento e i test più approfonditi rientrano in un penetration test autorizzato separatamente. I rilievi sono raggruppati con contesto di gravità e priorità di rimedio, affinché un team possa decidere cosa verificare, chiudere, monitorare o affidare a un altro responsabile.

Per Chi È

External Risk Monitor è adatto ai team che:

• Hanno bisogno di un inventario più chiaro degli asset esposti pubblicamente dopo una crescita, cambi di fornitore, modifiche al cloud o un lungo periodo di esercizio
• Vogliono individuare domini, servizi, certificati, pannelli o indicatori pubblici dimenticati prima che diventi più difficile assegnarne la responsabilità
• Hanno bisogno di evidenze e note sulle modifiche che i team di prodotto, infrastruttura, sicurezza e direzione possano esaminare insieme
• Vogliono una visibilità esterna ricorrente che integri il penetration testing e la responsabilità interna sulla sicurezza

Cosa Aiuta A Chiarire

Il monitoraggio aiuta a chiarire:

• Quali asset concordati sono osservabili pubblicamente e quali servizi o segnali di configurazione appaiono esposti
• Dove modifiche a domini, DNS, certificati, storage, pannelli o servizi richiedono un responsabile o una fase di verifica
• Quali osservazioni hanno un contesto sufficiente per dare priorità al rimedio e quali richiedono ulteriori indagini
• Quali domande esulano dalla visibilità esterna e richiedono un perimetro separato per applicazioni, cloud, penetration test o operazioni

Cosa è incluso

• Conferma scritta del perimetro con domini, sottodomini, range IP, cadenza, limiti di frequenza ed esclusioni approvati
• Ricognizione passiva e attiva circoscritta entro il confine concordato degli asset pubblici
• Inventario degli asset con domini, servizi, certificati, porte, superfici HTTP/HTTPS e indicatori visibili, ove disponibili
• Note sulle modifiche e raccolta di evidenze per le osservazioni rilevanti sugli asset esposti
• Contesto di gravità e indicazioni di rimedio prioritizzate in base allo stato osservato
• Presentazione facoltativa dei rilievi da parte di un analista, con domande sulle responsabilità e passi successivi

Cosa non è incluso

• Un penetration test completo, sfruttamento di vulnerabilità, uso di credenziali, scansioni senza limiti o accessi oltre il confine approvato
• Rilevamento in tempo reale, operazioni gestite continuative, copertura SOC permanente o risposta agli incidenti in emergenza
• Un impegno a scoprire ogni asset, eliminare ogni esposizione, impedire modifiche future o dimostrare che i sistemi sono sicuri
• Revisione della configurazione interna, revisione del codice applicativo, migrazione al cloud o attività di rimedio, salvo perimetro definito separatamente
• Rassicurazioni legali, di conformità, di certificazione o regolamentari

Quando sceglierlo

Scelga External Risk Monitor quando il team ha bisogno di una visione esterna ripetibile degli asset approvati esposti su internet e vuole evidenze prima di decidere cosa affrontare. È utile dopo una modifica a domini o infrastruttura, prima di un lancio, quando le responsabilità sono incerte o come parte di una cadenza più ampia di revisioni di sicurezza. È meno adatto quando la questione centrale è se una specifica applicazione possa resistere a uno sfruttamento; in tal caso può essere più appropriato una valutazione applicativa dedicata o un perimetro di penetration testing. Il prodotto funziona meglio quando l'organizzazione può confermare il confine degli asset, indicare i responsabili dei rilievi e concordare come verranno esaminate le osservazioni.

Il nostro approccio

Iniziamo confermando cosa può essere osservato e in che modo. Il perimetro concordato stabilisce domini, range IP, limiti di frequenza, cadenza, esclusioni e aspettative sulle evidenze. Raccogliamo segnali pubblici e attivi circoscritti, quindi distinguiamo un indicatore osservato da una causa interna verificata. I rilievi sono documentati con un contesto sufficiente perché un responsabile comprenda l'asset, le evidenze, il possibile problema e il passo successivo pratico. Ogni risultato viene riportato con le relative evidenze e il livello di confidenza, così che il suo significato per il rischio e la sfruttabilità sia chiaro. Al passaggio di consegne, il team riceve un inventario e un registro delle decisioni che possono supportare il rimedio, ulteriori verifiche o una revisione definita separatamente. In questo modo il prodotto resta utile, mirato e chiaramente delimitato.

Domande frequenti

Articoli correlati