Postur keamanan kami sendiri

Penanganan data

Kami membaca metadata minimum yang diperlukan untuk mengevaluasi postur dan aliran. Jika inspeksi konten diperlukan (Flow Guard), konten diproses secara sementara untuk klasifikasi dan tidak dipertahankan di luar putusan dan cuplikan bukti.

Temuan, putusan, dan bukti mereka disimpan terenkripsi saat istirahat. Anda dapat mengekspor atau menghapus data ruang kerja Anda kapan saja — penghapusan adalah fitur produk, bukan tiket dukungan.

Cakupan OAuth saja

Konektor mengotentikasi dengan OAuth atau API vendor menggunakan cakupan paling sempit yang mendukung mesin yang Anda aktifkan. Kami mencantumkan setiap cakupan yang kami minta dan mengapa, per konektor, dalam dokumen.

Tidak ada agen titik akhir, tidak ada peralatan jaringan, tidak ada ekstensi browser. Mencabut hibah OAuth memutuskan akses kami secara instan — tombol pembunuh Anda adalah penyedia identitas yang sudah Anda kontrol.

Keamanan platform

Anda masuk dengan alamat email dan kata sandi, atau dengan Google. Kata sandi harus setidaknya 12 karakter dan disimpan hanya sebagai hash scrypt bergaramnya — tidak pernah dalam bentuk yang dapat dibaca — dan upaya masuk dibatasi kecepatan per alamat IP. Siapa pun dapat menambahkan faktor kedua (aplikasi autentikator TOTP ditambah kode cadangan sekali pakai), dan organisasi dapat memerlukannya untuk setiap anggota. Organisasi Perusahaan dapat menambahkan autentikasi sekali masuk (SAML (segera hadir) dengan Okta, Azure AD, Google atau OneLogin), menjadikan SSO satu-satunya cara masuk (segera hadir), dan membatasi akses ke rentang IP terpercaya (IPv4 dan IPv6).

Setiap masuk membuat sesi yang disimpan dalam cookie HttpOnly, Aman dan didukung oleh catatan sisi server yang diperiksa pada setiap permintaan — jadi sesi yang Anda cabut, atau sesi yang melanggar kebijakan IP atau sesi organisasi Anda, berakhir segera. Anda dapat meninjau sesi aktif Anda dan keluar dari semuanya sekaligus. Di dalam produk, akses adalah privilege minimal: RBAC khusus granular yang dibangun dari atom izin per fitur, kebijakan sesi (durasi maksimum, waktu henti dan paksaan logout), dan log audit hanya tambah per organisasi yang dapat Anda streaming atau ekspor ke SIEM Anda sebagai CSV, JSON atau CEF.

Setiap rilis dikirim di belakang rangkaian lebih dari 4.000 tes otomatis, gerbang parity terjemahan di 13 bahasa, dan gerbang build produksi — kemitraan rekayasa yang sama yang kami harapkan dari sistem yang kami amankan.

Tiga tingkat tindakan — dan hanya satu yang menulis

Setiap organisasi dimulai dengan Deteksi & Alert: 8200.dev membaca melalui cakupan baca-saja, menemukan izin berisiko, aliran data dan tindakan agen, dan menjelaskan masing-masing. Recommend & Guide juga baca-saja — ini menambahkan perbaikan yang tepat dan instruksi langkah demi langkah untuk orang di sisi Anda untuk menerapkan. Di mana pun produk menunjukkan apa yang akan diblokir tanpa akses tulis, diberi label sebagai simulasi; kami tidak pernah mengklaim penegakan yang tidak kami miliki.

Auto-remediate adalah satu-satunya tingkat yang mengubah apa pun dalam sumber Anda, dan itu dimatikan secara default. Ini bertindak hanya ketika pemilik atau admin telah mengalihkannya untuk organisasi, kebijakan untuk aturan itu dipersenjatai, dan Anda telah memberikan secara terpisah konektor itu cakupan tulis yang diperlukannya — persetujuan kedua yang dapat Anda cabut kapan saja tanpa mengganggu pemantauan. Bahkan kemudian itu hanya mencabut atau mengurangi akses (misalnya, menghapus tautan publik atau berbagi eksternal); itu tidak pernah menghapus file atau menyentuh konten mereka, dan setiap tindakan ditulis ke log audit. Auto-remediate belum tersedia di Google Workspace: cakupan tulis yang diperlukannya belum diverifikasi oleh Google.

Tidak ada kemampuan ofensif

8200.dev tidak berisi eksploitasi, lateral-movement, atau tooling ofensif apa pun. Platform mengamati konfigurasi, mengevaluasi aliran data, dan menegakkan kebijakan melalui API vendor yang Anda otorisasi — tidak ada yang lain.

Satu-satunya analisis yang tidak memerlukan sumber terkoneksi adalah Pemeriksaan Eksposur AI gratis. Ini menanyakan pengurai DNS publik tentang nama domain yang Anda masukkan dan hanya mengembalikan skor, hitungan, dan bendera status. Ini tidak terhubung ke server atau situs web domain tersebut (pengurai publik dapat menanyakan server nama domain, seperti yang dilakukan resolusi DNS normal), dan tidak memindai port, mencoba masuk, atau menguji kerentanan. Ini memiliki batasan laju, dan Kebijakan Penggunaan yang Dapat Diterima (bagian 3A) menetapkan aturannya.

Pencatatan audit

Setiap tindakan yang diambil platform — setiap pemindaian, temuan, blokir, dan perubahan konfigurasi — ditulis ke log audit hanya tambah. Tingkat Business dan Enterprise dapat mengekspornya.

Tindakan admin kami sendiri di ruang kerja Anda dicatat di jejak yang sama dan terlihat bagi Anda. Kami tidak memiliki pintu belakang yang diam-diam ke data Anda, dan kami memastikan Anda dapat memverifikasinya.

Melaporkan kerentanan

Menemukan sesuatu? Tulis ke [email protected]. Kami bertujuan untuk mengakui laporan dalam 48 jam, dan kami tidak membungkam peneliti yang bertindak dengan itikad baik.

Kami mengikuti pengungkapan terkoordinasi dengan jendela 90 hari: kami bekerja pada perbaikan dari saat Anda melaporkan, membuat Anda tetap diperbarui, dan meminta agar Anda menahan pengungkapan publik selama hingga 90 hari atau sampai perbaikan dikirim, mana pun yang lebih dulu.