Uhkatoimijan näkökulma
Lyhyt ja jäsennelty katsaus ympäristöön siitä näkökulmasta, josta hyökkääjä sitä lähestyisi. Yksi tai kaksi työpajaa arkkitehtienne kanssa, vain luku -oikeudet ja kohdennettu arvio siitä, minne tunkeutuja menisi ensin. Mitään ei hyökätä eikä häiritä. Tuloksena on priorisoidut hyökkäyspolut perusteluineen sekä selkeä suositus siitä, mitä korjata, mitä testata ja mikä voi odottaa.
€1 600–5 000 · 1–3 päivää · ei testausta
- KartoituspuheluPuoli tuntia ennen toimeksiannon alkua: mitä käytätte, mikä huolestuttaa ja millainen lopputulos olisi hyödyllinen. Tämä määrittää laajuuden ja kiinteän hinnan.
- ArkkitehtuurityöpajaKahdesta neljään tuntia niiden kanssa, jotka ovat rakentaneet ja ylläpitävät ympäristöä. Teknologiat, tietovirrat, luottamusrajat, integraatiot ja ne osat joista kukaan ei ole täysin rauhallinen.
- Vain luku -kartoitusLukuoikeustili tenanttiin ja hakemistoon sekä se, mikä näkyy ulkopuolelta. Kysymys on koko ajan se, mitä hyökkääjä näkisi, ei se, mitä vaatimustenmukaisuuden tarkistuslista kysyisi.
- Hyökkäyspolkujen priorisointiNe reitit joilla on oikeasti merkitystä, ketjutettuna uskottavasta lähtöpisteestä johonkin tavoittelemisen arvoiseen, ja priorisoituna sen mukaan miten pitkälle kukin vie ja kuinka paljon vaivaa se vaatii.
- LoppupalaveriYhteinen läpikäynti tiiminne kanssa sekä kirjallinen muistio, havainnot, perustelut ja suositus siitä, mitä korjata suoraan, mikä ansaitsee tunkeutumistestin ja mikä ei vaadi huomiota vielä.
- Kirjallinen muistio ja priorisoidut hyökkäyspolut
- Perustelut jokaisen polun takana, ei pelkkä lista
- Suositus siitä mitä korjata, testata tai jättää
- Yhteinen läpikäynti tiiminne kanssa
- Kiinteä hinta, sovittu ennen työn alkua
Usein kysyttyä
Voiko kolme päivää oikeasti kertoa mitään?
Toimeksianto on tarkoituksella rajattu vastaamaan yhteen kysymykseen hyvin: minne hyökkääjä menisi ensin, ja onko se hyväksyttävää. Se ei ole täysi auditointi eikä esitä olevansa. Useimmissa ympäristöissä kaksi tai kolme polkua kantaa todellisen riskin, ja ne näkyvät yleensä arkkitehtuurista ja lukuoikeustilistä. Lopputulos on päätös, ei inventaario.
Kuinka paljon oikeuksia tarvitaan?
Lukuoikeustili tenanttiin ja hakemistoon, arkkitehtuuri- ja verkkodokumentaatio sekä lukuoikeus koodivarastoon, jos sovelluskoodi kuuluu laajuuteen. Ei mitään kirjoitusoikeuksia eikä Global Administrator -oikeuksia missään vaiheessa.
Miten tämä eroaa Secure Scoresta?
Secure Score arvioi konfiguraatiotanne Microsoftin oletuksia vasten, yksi asetus kerrallaan. Se ei kerro, että kolme vuotta sitten luotu CI/CD-palveluprincipal voi myöntää itselleen Global Administrator -oikeudet, koska yksikään yksittäinen asetus ei ole väärin, ketju on. Hyökkäyspolkuanalyysi etsii ketjua.
Mitä yleensä tapahtuu seuraavaksi?
Karkeasti: osa havainnoista on riittävän suoraviivaisia korjattavaksi heti, osa alueista ansaitsee tunkeutumistestin sen selvittämiseksi ovatko ne aidosti hyväksikäytettävissä, ja loput dokumentoidaan ja jätetään. Muistio kertoo mikä on mitäkin. Kumpaakaan ei ole pakko ostaa.