Postur keamanan kami sendiri

Penanganan data

Kami membaca metadata minimum yang diperlukan untuk mengevaluasi postur dan aliran. Jika inspeksi konten diperlukan (Flow Guard), konten diproses secara sementara untuk klasifikasi dan tidak disimpan di luar putusan dan kutipan bukti.

Temuan, putusan, dan bukti mereka disimpan dienkripsi saat istirahat. Anda dapat mengekspor atau menghapus data ruang kerja Anda kapan saja — penghapusan adalah fitur produk, bukan tiket dukungan.

Cakupan OAuth saja

Konektor mengautentikasi dengan OAuth atau API vendor menggunakan cakupan paling sempit yang mendukung mesin yang Anda aktifkan. Kami mencantumkan setiap cakupan yang kami minta dan mengapa, per konektor, di docs.

Tidak ada agen titik akhir, tidak ada peralatan jaringan, tidak ada ekstensi browser. Membatalkan hibah OAuth memutus akses kami secara instan — tombol pembunuh Anda adalah penyedia identitas yang sudah Anda kontrol.

Keamanan platform

Anda mendaftar masuk dengan alamat e-mel dan kata laluan, atau dengan Google. Kata laluan mestilah sekurang-kurangnya 12 aksara dan hanya disimpan sebagai cincangan scrypt yang digaram — tidak pernah dalam bentuk yang boleh dibaca — dan percubaan pendaftaran masuk dibatarkan kadar setiap alamat IP. Sesiapa pun boleh menambah faktor kedua (aplikasi pengesahan TOTP ditambah kod sandaran sekali sahaja), dan sesebuah organisasi boleh memerlukannya untuk setiap ahli. Organisasi Perusahaan boleh menambah pendaftaran masuk tunggal (SAML (akan datang) dengan Okta, Azure AD, Google atau OneLogin), menjadikan SSO satu-satunya cara masuk (akan datang), dan menyekat akses ke julat IP yang dipercayai (IPv4 dan IPv6).

Setiap masuk membuat sesi yang dipegang dalam cookie HttpOnly, Aman dan didukung oleh catatan sisi server yang diperiksa pada setiap permintaan — sehingga sesi yang Anda batalkan, atau sesi yang melanggar kebijakan IP atau sesi organisasi Anda, berakhir segera. Anda dapat meninjau sesi aktif Anda dan keluar dari semuanya sekaligus. Di dalam produk, akses adalah hak istimewa paling rendah: RBAC kustom dengan perincian halus yang dibangun dari atom izin per-fitur, kebijakan sesi (durasi maksimum, waktu henti dan paksa keluar), dan log audit hanya ditambahkan per organisasi yang dapat Anda alirkan atau ekspor ke SIEM Anda sebagai CSV, JSON atau CEF.

Setiap rilis dikirim di balik suite lebih dari 4.000 tes otomatis, gerbang paritas terjemahan di seluruh 13 bahasa, dan gerbang build produksi — ketelitian teknik yang sama yang kami harapkan dari sistem yang kami amankan.

Tiga tingkat tindakan — dan hanya satu yang menulis

Setiap organisasi dimulai dengan Deteksi & Peringatan: 8200.dev membaca melalui cakupan hanya baca, menemukan izin berisiko, aliran data dan tindakan agen, dan menjelaskan masing-masing. Rekomendasikan & Panduan juga hanya baca — ia menambahkan perbaikan yang tepat dan instruksi langkah demi langkah bagi orang di pihak Anda untuk menerapkan. Di mana pun produk menunjukkan apa yang akan diblokir tanpa akses tulis, itu diberi label sebagai simulasi; kami tidak pernah mengklaim penegakan yang kami tidak miliki.

Perbaikan otomatis adalah satu-satunya tingkat yang mengubah apa pun di sumber Anda, dan itu dimatikan secara default. Ini bertindak hanya ketika pemilik atau admin telah menyalakannya untuk organisasi, kebijakan untuk aturan tersebut bersenjata, dan Anda secara terpisah telah memberikan konektor itu cakupan tulis yang diperlukan — persetujuan kedua yang dapat Anda batalkan kapan saja tanpa mengganggu pemantauan. Bahkan kemudian itu hanya mencabut atau mengurangi akses (misalnya, menghapus tautan publik atau berbagi eksternal); itu tidak pernah menghapus file atau menyentuh konten mereka, dan setiap tindakan ditulis ke log audit. Perbaikan otomatis belum tersedia di Google Workspace: cakupan tulis yang dibutuhkannya belum diverifikasi oleh Google.

Tidak ada kemampuan ofensif

8200.dev tidak mengandung eksploitasi, pergerakan lateral, atau alat ofensif apa pun. Platform mengamati konfigurasi, mengevaluasi aliran data, dan memberlakukan kebijakan melalui API vendor yang Anda otorisasi — tidak ada yang lain.

Satu-satunya analisis yang tidak memerlukan sumber yang terhubung ialah Pemeriksaan Pendedahan AI percuma. Ia menanyakan penyelesai DNS awam tentang nama domain yang anda masukkan dan hanya mengembalikan skor, kiraan dan bendera status. Ia tidak menyambung ke pelayan atau laman web domain tersebut (penyelesai awam mungkin membuat pertanyaan ke pelayan nama domain, seperti yang dilakukan resolusi DNS biasa), dan ia tidak mengimbas port, tidak cuba untuk log masuk atau menguji kerentanan. Ia mempunyai had kadar, dan Dasar Penggunaan Boleh Diterima (seksyen 3A) menetapkan peraturannya.

Pencatatan audit

Setiap tindakan yang diambil platform — setiap pemindaian, temuan, blokir, dan perubahan konfigurasi — ditulis ke log audit yang hanya dapat ditambahkan. Tingkat Business dan Enterprise dapat mengekspor.

Tindakan admin kami sendiri di ruang kerja Anda dicatat dalam jejak yang sama dan terlihat oleh Anda. Kami tidak memiliki pintu belakang yang diam di data Anda, dan kami memastikan Anda dapat memverifikasinya.

Melaporkan kerentanan

Menemukan sesuatu? Tulis ke [email protected]. Kami bertujuan untuk mengakui laporan dalam 48 jam, dan kami tidak membisukan peneliti yang beritikad baik.

Kami mengikuti pengungkapan terkoordinasi dengan jendela 90 hari: kami bekerja pada perbaikan sejak saat Anda melaporkan, membuat Anda tetap update, dan meminta agar Anda menahan pengungkapan publik hingga 90 hari atau sampai perbaikan dikirim, mana yang lebih dulu.