Durcir ce que nous exploitons
L'exposition, les accès et la reprise sur un système que nous avons construit ou que nous opérons, corrigés dans l'ordre que dicte la conséquence et non dans celui que suggère une étiquette de gravité.
Compétences
Cybersécurité
Ce que nous livrons est exposé à Internet. Voici comment nous le tenons fermé.
le problème métier
La plupart des compromissions ne sont pas ingénieuses.
Ce sont des faiblesses connues dans quelque chose d'ordinaire que personne n'avait de raison d'examiner, atteintes par une porte ouverte pour une bonne raison il y a des années et jamais refermée.
Les organisations concernées sont rarement négligentes. Elles sont occupées, et la sécurité est le travail qui n'annonce jamais lui-même son urgence, jusqu'au matin où il le fait.
Ce qui aggrave les choses, c'est que la plupart des rapports de sécurité sont inutilisables. Quarante constats sans classement se lisent une fois puis se rangent, et le rapport suivant est relativisé avant même d'arriver.
ce que nous apportons
- Aucun port ouvert sur le serveur d'origine : le trafic l'atteint par un tunnel que le serveur ouvre vers l'extérieur
- Du TLS partout, avec l'expiration des certificats surveillée plutôt que supposée
- Les accès et les comptes revus, y compris ceux que plus personne ne se rappelle avoir créés
- Les secrets tenus hors du dépôt et hors de l'historique du terminal
- Des sauvegardes depuis lesquelles quelqu'un a réellement restauré
- Les dépendances et les images de base mises à jour sur un rythme, et non après un incident
missions types
Revue des accès
Qui peut atteindre quoi, quels comptes sont encore actifs, et lesquels ne devraient plus l'être.
Revue de l'exposition
Ce qui est joignable de l'extérieur sur ce que nous avons livré, et ce que cela coûterait si quelqu'un s'en servait.
notre façon de procéder
Un constat n'est utile qu'accompagné d'un classement.
Nous rapportons nos constats dans l'ordre qui compte : ce qui est exposé aujourd'hui, ce que cela coûterait à l'entreprise si c'était exploité, et par quoi commencer. Une liste sans cet ordre est un document, pas un plan.
Nous vous dirons quand tout va bien. Fabriquer de l'urgence pour justifier un prix vous apprend à relativiser l'alerte suivante, ce qui est pire que de n'avoir jamais été prévenu.
Nous corrigeons plutôt que nous ne signalons. Un constat remis sous forme de liste vous laisse du travail et aucune preuve qu'il a été fait, et c'est nous qui exploitons le système ensuite.
architecture de référence
Où nous regardons
Un modèle de référence, et non le système d'un client. L'exposition se situe généralement à une frontière, et voici celles qu'il vaut mieux vérifier en premier.
- 01
Périmètre
Ce qui est joignable depuis l'extérieur, volontairement ou non, y compris ce qui a été exposé pour une démonstration il y a deux ans.
- 02
Identité et accès
Qui peut entrer, comment il le prouve, et quels comptes existent encore pour des personnes parties.
- 03
Application
Le logiciel lui-même et ses dépendances, y compris les bibliothèques que personne n'a mises à jour parce que rien ne cassait.
- 04
Données
Où elles reposent, comment elles circulent, si elles sont chiffrées, et combien de temps elles sont gardées après avoir cessé d'être utiles.
- 05
Reprise
Ce qui se passe après un mauvais jour. Des sauvegardes dont personne n'a restauré sont un projet, pas une capacité.
technologies
- Cloudflare Tunnel
- Let's Encrypt
- Docker
- PostgreSQL
questions
- Est-ce un achat à part ?
- Non. Cela traverse le travail au lieu d'être vendu après. Un système livré dont l'exposition n'a pas été regardée n'est pas fini.
- Combien de temps cela prend-il ?
- Cela dépend entièrement de ce qui existe, et nous ne le saurons pas avant d'avoir regardé. Nous préférons le dire que de donner un chiffre sur lequel il faudrait revenir.
- Et si vous trouvez quelque chose de grave ?
- Vous l'apprenez le jour où nous le trouvons, et non dans un rapport à la fin. Ensuite nous décidons ensemble par quoi commencer, selon la conséquence et non selon une étiquette de gravité.
- En avons-nous besoin si nous sommes petits ?
- Être petit change ce qui vaut la peine d'être fait, pas le fait que cela vaille la peine. Un certificat expiré met un site hors ligne quelle que soit sa taille, et l'essentiel ici coûte de l'attention plutôt que de l'argent.
va souvent avec
Apportez-nous le problème.
Nous commençons par une session de travail sur votre activité réelle, pas par un argumentaire générique. Vous en ressortez en sachant ce qui se passe, ce qu'il faut corriger en premier, et à quoi ressemble la suite.