Propria noastră postură de securitate

Gestionarea datelor

Citim metadatele minime necesare pentru a evalua postură și fluxuri. Atunci când inspectarea conținutului este necesară (Flow Guard), conținutul este procesat tranzitoriu pentru clasificare și nu este reținut dincolo de verdictul și fragmentul de dovezi.

Constatările, verdictele și dovezile lor sunt stocate criptate în repaus. Poți exporta sau șterge datele spațiului de lucru oricând — ștergerea este o funcție de produs, nu un bilet de suport.

Domenii OAuth-numai

Conectorii se autentifică cu OAuth sau API-uri furnizor folosind domeniile cel mai strâmte care suportă motorul pe care l-ai activat. Listez fiecare domeniu pe care îl solicit și de ce, pe connector, în documente.

Niciun agent de endpoint, nicio aparatură de rețea, niciun fel de extensie de browser. Revocare grantul OAuth taie accesul nostru instant — comutatorul tău de ucidere este furnizorul de identitate pe care deja îl controlezi.

Securitate platformă

Vă conectați cu o adresă de e-mail și o parolă, sau cu Google. Parolele trebuie să aibă cel puțin 12 caractere și sunt stocate doar sub forma de hash-uri scrypt cu sare — niciodată în formă lizibilă — iar încercările de conectare sunt rate-limitate per adresă IP. Oricine poate adăuga un al doilea factor (aplicații authenticator TOTP plus coduri de backup de unică folosință), iar o organizație poate necesita acest lucru pentru fiecare membru. Organizațiile Enterprise pot adăuga autentificarea unică (SAML (în curând) cu Okta, Azure AD, Google sau OneLogin), pot face SSO singura modalitate de acces (în curând) și pot restricționa accesul la intervale de IP de încredere (IPv4 și IPv6).

Fiecare conectare creează o sesiune ținută într-un cookie HttpOnly, Secure și susținută de un record pe server care este verificat la fiecare cerere — deci o sesiune pe care o revocu, sau una care rupe politica de IP sau sesiune a organizației tale, se termină imediat. Poți revizui sesiunile active și te poți deconecta din toate deodată. În interiorul produsului, accesul este cel mai puțin privilegiat: RBAC personalizat granular construit din atomi de permisiune per caracteristică, politici de sesiune (durata maximă, timeout inactiv și forță deconectare) și jurnal de audit doar pentru organizație pe care îl poți transmite în flux sau exporta la SIEM ca CSV, JSON sau CEF.

Fiecare lansare se expediază în spatele unei suite de mai mult de 4.000 teste automate, porți de paritate de traducere pe 13 limbi și o poartă de construire a producției — aceeași rigoare de inginerie pe care o așteptăm de sistemele pe care le asigurăm.

Trei niveluri de acțiune — și doar unul din ele scrie

Fiecare organizație începe cu Detect & Alert: 8200.dev citește prin domenii doar pentru citire, găsește permisiuni riscante, fluxuri de date și acțiuni de agent și explică fiecare. Recommend & Guide este doar pentru citire de asemenea — adaugă remediul exact și instrucțiuni pas cu pas pentru o persoană de partea ta să aplice. Oriunde produsul arată ceea ce ar fi blocat fără acces la scriere, este etichetat ca simulare; niciodată nu pretindem aplicare pe care nu o avem.

Auto-remediate este singurul nivel care schimbă orice în sursele tale și este inactiv în mod implicit. Acționează doar atunci când un proprietar sau admin l-a activat pentru organizație, o politică pentru regulă este armată și ai acordat separat acel conector domeniile de scriere de care are nevoie — al doilea consimțământ pe care îl poți revoca oricând fără a întrerupe monitorizarea. Chiar și atunci acționează doar revocând sau reducând accesul (de exemplu, îndepărtând o legătură publică sau o partajare externă); niciodată nu șterge fișiere sau nu atinge conținuturile lor și fiecare acțiune este scrisă în jurnalul de audit. Auto-remediate nu este disponibil pe Google Workspace încă: domeniul de scriere de care are nevoie nu a fost verificat de Google.

Nicio capacitate ofensivă

8200.dev nu conține exploatare, mișcare laterală sau niciun fel de instrumentar ofensiv. Platforma observă configurații, evaluează fluxuri de date și impune politică prin API-urile furnizorului pe care le-ai autorizat — nimic altceva.

Singura analiză care nu necesită o sursă conectată este Verificarea AI de expunere gratuită. Aceasta pune întrebări rezolvatoarelor DNS publice despre un nume de domeniu pe care îl introduceți și returnează doar un scor, numărări și indicatori de stare. Nu se conectează la serverele sau site-ul web al acelui domeniu (rezolvatorul public poate interoga serverele de nume ale domeniului, ca în cazul unei rezoluții DNS normale) și nu scanează porturi, nu încearcă să se conecteze sau să testeze vulnerabilități. Este limitată ca rată, iar Politica de Utilizare Acceptabilă (secțiunea 3A) îi stabilește regulile.

Jurnal de audit

Fiecare acțiune pe care o întreprinde platforma — fiecare scan, constatare, blocare și schimbare de configurare — este scrisă în jurnal de audit doar pentru adăugare. Nivelurile Business și Enterprise o pot exporta.

Propriile noastre acțiuni admin pe spațiul de lucru sunt înregistrate în același traseu și sunt vizibile pentru tine. Nu avem o ușă din spate liniștit în datele tale și ne-am asigurat că poți verifica asta.

Raportarea unei vulnerabilități

Găsit ceva? Scrie la [email protected]. Ne propunem să recunoaștem rapoartele în 48 de ore și nu muțezim cercetătorii în bună credință.

Urmăm dezvăluirea coordonată cu o fereastră de 90 de zile: lucrăm la o remediere din momentul în care raportezi, te țin la curent și solicităm ca tu să reții dezvăluirea publică timp de până la 90 de zile sau până la expedierea remedierii, orice vine mai întâi.