Η δική μας θέση ασφάλειας

Χειρισμός δεδομένων

Διαβάζουμε τα ελάχιστα μεταδεδομένα που απαιτούνται για την αξιολόγηση της θέσης και των ροών. Όπου απαιτείται επιθεώρηση περιεχομένου (Flow Guard), το περιεχόμενο επεξεργάζεται εν διακοπή για ταξινόμηση και δεν διατηρείται πέρα από τη απόφαση και το απόσπασμα αποδεικτικών του.

Τα ευρήματα, οι αποφάσεις και τα αποδεικτικά τους αποθηκεύονται κρυπτογραφημένα σε ηρεμία. Μπορείτε να εξαγάγετε ή να διαγράψετε τα δεδομένα του χώρου εργασίας σας ανά πάσα στιγμή — η διαγραφή είναι ένα χαρακτηριστικό προϊόντος, όχι ένα εισιτήριο υποστήριξης.

Εύρη μόνο OAuth

Οι σύνδεσμοι αυθεντικοποιούνται με OAuth ή API πωλητή χρησιμοποιώντας τα στενότερα εύρη που υποστηρίζουν τη μηχανή που ενεργοποιήσατε. Καταχωρούμε κάθε εύρος που ζητούμε και γιατί, ανά σύνδεσμο, στα έγγραφα.

Δεν υπάρχουν πράκτορες τελικού σημείου, δεν υπάρχουν συσκευές δικτύου, δεν υπάρχουν επεκτάσεις προγράμματος περιήγησης. Η ανάκληση της ενέργειας OAuth κόβει την πρόσβαση μας αμέσως — ο διακόπτης σας είναι ο πάροχος ταυτότητας που ήδη ελέγχετε.

Ασφάλεια πλατφόρμας

Συνδέεστε με μια διεύθυνση email και έναν κωδικό πρόσβασης, ή με το Google. Οι κωδικοί πρόσβασης πρέπει να έχουν τουλάχιστον 12 χαρακτήρες και αποθηκεύονται μόνο ως salted scrypt hashes — ποτέ σε αναγνώσιμη μορφή — και οι προσπάθειες σύνδεσης περιορίζονται ανά διεύθυνση IP. Οποιοσδήποτε μπορεί να προσθέσει έναν δεύτερο παράγοντα ταυτοποίησης (εφαρμογές TOTP authenticator συν κωδικοί εφεδρείας), και ένας οργανισμός μπορεί να το απαιτήσει για κάθε μέλος. Οργανισμοί Enterprise μπορούν να προσθέσουν single sign-on (SAML (σύντομα) με Okta, Azure AD, Google ή OneLogin), να κάνουν το SSO τον μόνο τρόπο εισόδου (σύντομα), και να περιορίσουν την πρόσβαση σε αξιόπιστες περιοχές IP (IPv4 και IPv6).

Κάθε σύνδεση δημιουργεί μια συνεδρία που ισχύει σε ένα HttpOnly, Secure cookie και υποβάλλεται σε μια εγγραφή στον διακομιστή που ελέγχεται σε κάθε αίτημα — ώστε μια συνεδρία που ανακαλέσατε ή μία που σπάει την πολιτική IP ή συνεδρίας της οργανισμού σας, τελειώνει αμέσως. Μπορείτε να εξετάσετε τις ενεργές συνεδρίες σας και να αποσυνδεθείτε από όλες τους ταυτόχρονα. Μέσα στο προϊόν, η πρόσβαση είναι ελάχιστο προνόμιο: χαμηλότερη ρύθμιση προσαρμοσμένη RBAC κατασκευασμένη από άτομα άδειας ανά χαρακτηριστικό, πολιτικές συνεδρίας (μέγιστη διάρκεια, αναμονή χρόνου αδράνειας και αναγκαστικό αποσύνδεση) και ένα αρχείο ελέγχου ανεπίστρεπτο ανά οργανισμό που μπορείτε να ροεΐσετε ή να εξαγάγετε σε SIEM σας ως CSV, JSON ή CEF.

Κάθε έκδοση αποστέλλεται πίσω από μια σουίτα περισσότερων από 4.000 αυτοματοποιημένων δοκιμών, πύλες ισοδυναμίας μετάφρασης σε 13 γλώσσες και μια πύλη κατασκευής παραγωγής — η ίδια μηχανική μηχανολογίας που περιμένουμε από τα συστήματα που ασφαλίζουμε.

Τρία επίπεδα ενέργειας — και μόνο ένα από αυτά γράφει

Κάθε οργανισμός ξεκινά με Detect & Alert: το 8200.dev διαβάζει μέσω εύρη μόνο ανάγνωσης, βρίσκει επικίνδυνες άδειες, ροές δεδομένων και ενέργειες πράκτορα και εξηγεί κάθε μία. Recommend & Guide είναι επίσης μόνο ανάγνωση — προσθέτει την ακριβή διόρθωση και οδηγίες βήμα προς βήμα για ένα άτομο στο δικό σας πλευρά να εφαρμόσει. Οπουδήποτε το προϊόν δείχνει τι θα αποκλείστηκε χωρίς πρόσβαση εγγραφής, δηλώνεται ως προσομοίωση· δεν διεκδικούμε ποτέ την επιβολή που δεν έχουμε.

Η αυτόματη επανόρθωση είναι το μόνο επίπεδο που αλλάζει οτιδήποτε στις πηγές σας και είναι απενεργοποιημένο από προεπιλογή. Δρα μόνο όταν ένας κάτοχος ή διαχειριστής το ενεργοποιήσει για τον οργανισμό, μια πολιτική για τον κανόνα είναι ενοποιημένη και έχετε χωριστά ενέργειες εγγραφής που χρειάζεται ο σύνδεσμος — μια δεύτερη συναίνεση που μπορείτε να ανακαλέσετε ανά πάσα στιγμή χωρίς να διακόψετε την παρακολούθηση. Ακόμη και τότε, δρα μόνο ανακαλώντας ή μειώνοντας την πρόσβαση (για παράδειγμα, αφαίρεση δημόσιας σύνδεσης ή εξωτερικής μοίρασης)· δεν διαγράφει ποτέ αρχεία ή αγγίζει το περιεχόμενο τους και κάθε ενέργεια γράφεται στο αρχείο ελέγχου. Η αυτόματη επανόρθωση δεν είναι ακόμη διαθέσιμη στο Google Workspace: το εύρος εγγραφής που χρειάζεται δεν έχει επαληθευθεί από το Google.

Χωρίς επιθετικές δυνατότητες

Το 8200.dev δεν περιέχει καμία εκμετάλλευση, κίνηση πλευρών ή επιθετικό εργαλείο. Η πλατφόρμα παρατηρεί ρυθμίσεις, αξιολογεί ροές δεδομένων και επιβάλλει πολιτική μέσω των API πωλητή που εξουσιοδοτήσατε — τίποτα άλλο.

Η μόνη ανάλυση που δεν απαιτεί συνδεδεμένη πηγή είναι ο δωρεάν Έλεγχος Έκθεσης AI. Ρωτά δημόσιες επιλύτριες DNS σχετικά με ένα όνομα τομέα που εισάγετε και επιστρέφει μόνο ένα σκορ, μετρήσεις και σημαίες κατάστασης. Δεν συνδέεται με τους διακομιστές ή την ιστοσελίδα του τομέα (ο δημόσιος επιλύτης μπορεί να ερωτήσει τους διακομιστές ονομάτων του τομέα, όπως κάνει η κανονική επίλυση DNS), και δεν σαρώνει θύρες, δεν προσπαθεί να συνδεθεί ή να δοκιμάσει για αδυναμίες. Έχει περιορισμό ρυθμού και η Πολιτική Αποδεκτής Χρήσης (ενότητα 3A) ορίζει τους κανόνες της.

Καταγραφή ελέγχου

Κάθε ενέργεια που παίρνει η πλατφόρμα — κάθε σάρωση, εύρημα, φράγμα και αλλαγή ρύθμισης — γράφεται σε ένα αρχείο ελέγχου ανεπίστρεπτο. Τα επίπεδα Business και Enterprise μπορούν να το εξαγάγουν.

Οι δικές μας ενέργειες διαχειριστή στον χώρο εργασίας σας καταγράφονται στην ίδια διαδρομή και είναι ορατές σε εσάς. Δεν έχουμε μια ήσυχη πίσω πόρτα στα δεδομένα σας και σιγουρευτήκαμε ότι μπορείτε να το επαληθεύσετε.

Αναφορά ευπάθειας

Βρήκατε κάτι; Γράψτε στο [email protected]. Στοχεύουμε να αναγνωρίσουμε τις αναφορές εντός 48 ωρών και δεν κόβουμε γλώσσα στους καλή πίστης ερευνητές.

Ακολουθούμε συντονισμένη αποκάλυψη με ένα παράθυρο 90 ημερών: δουλεύουμε σε μια διόρθωση από τη στιγμή που αναφέρετε, σας ενημερώνουμε και ζητούμε ότι θα κρατήσετε δημόσια αποκάλυψη για έως 90 ημέρες ή έως ότου αποστείλει η διόρθωση, όποιο έρθει πρώτο.