Tư thế bảo mật của chúng tôi

Xử lý dữ liệu

Chúng tôi đọc siêu dữ liệu tối thiểu cần thiết để đánh giá tư thế và luồng. Nếu cần kiểm tra nội dung (Flow Guard), nội dung được xử lý tạm thời để phân loại và không được giữ lại ngoài phán quyết và đoạn bằng chứng của nó.

Phát hiện, phán quyết và bằng chứng của chúng được lưu trữ được mã hóa ở trạng thái. Bạn có thể xuất hoặc xóa dữ liệu không gian làm việc của mình bất kỳ lúc nào — xóa là tính năng sản phẩm, không phải vé hỗ trợ.

Phạm vi chỉ OAuth

Bộ nối xác thực bằng OAuth hoặc API của nhà cung cấp sử dụng các phạm vi hẹp nhất hỗ trợ công cụ bạn đã bật. Chúng tôi liệt kê mọi phạm vi chúng tôi yêu cầu và lý do tại sao, cho mỗi bộ nối, trong tài liệu.

Không có tác nhân điểm cuối, không có thiết bị mạng, không có tiện ích mở rộng trình duyệt. Hủy cấp OAuth ngắt quyền truy cập của chúng tôi ngay lập tức — công tắc giết của bạn là nhà cung cấp danh tính mà bạn đã kiểm soát.

Bảo mật nền tảng

Bạn đăng nhập bằng địa chỉ email và mật khẩu, hoặc bằng Google. Mật khẩu phải có ít nhất 12 ký tự và chỉ được lưu trữ dưới dạng hashes scrypt có muối — không bao giờ dưới dạng có thể đọc được — và các nỗ lực đăng nhập bị giới hạn tốc độ theo địa chỉ IP. Bất kỳ ai cũng có thể thêm yếu tố thứ hai (ứng dụng xác thực TOTP cộng với mã sao lưu một lần), và một tổ chức có thể yêu cầu nó cho mọi thành viên. Các tổ chức Enterprise có thể thêm đăng nhập duy nhất (SAML (sắp ra mắt) với Okta, Azure AD, Google hoặc OneLogin), làm cho SSO trở thành cách duy nhất để đăng nhập (sắp ra mắt), và hạn chế quyền truy cập vào các dải IP đáng tin cậy (IPv4 và IPv6).

Mỗi lần đăng nhập tạo một phiên được giữ trong cookie HttpOnly, Secure và được hỗ trợ bởi bản ghi phía máy chủ được kiểm tra ở mọi yêu cầu — vì vậy phiên bạn thu hồi hoặc phiên không tuân theo chính sách IP hoặc phiên của tổ chức bạn, kết thúc ngay lập tức. Bạn có thể xem lại các phiên hoạt động của mình và đăng xuất từ tất cả chúng cùng một lúc. Trong sản phẩm, truy cập là đặc quyền tối thiểu: RBAC tùy chỉnh chi tiết được xây dựng từ các nguyên tử quyền trên mỗi tính năng, chính sách phiên (thời lượng tối đa, hết thời gian rảnh và bắt buộc thoát) và nhật ký kiểm toán chỉ nối thêm cho mỗi tổ chức mà bạn có thể phát trực tuyến hoặc xuất sang SIEM của bạn dưới dạng CSV, JSON hoặc CEF.

Mỗi bản phát hành vận hành đằng sau một bộ hơn 4.000 bài kiểm tra tự động, các cổng kiểm tra tương tự dịch trên 13 ngôn ngữ và cổng xây dựng sản xuất — cùng một sự chặt chẽ kỹ thuật mà chúng tôi mong đợi của các hệ thống chúng tôi bảo vệ.

Ba mức độ hành động — và chỉ một trong số chúng ghi lại

Mỗi tổ chức bắt đầu với Phát hiện & Cảnh báo: 8200.dev đọc thông qua các phạm vi chỉ đọc, tìm quyền rủi ro, luồng dữ liệu và hành động tác nhân, và giải thích mỗi hành động. Khuyến nghị & Hướng dẫn cũng chỉ đọc — nó thêm bản sửa chữa chính xác và hướng dẫn từng bước để một người ở phía bạn áp dụng. Ở bất cứ nơi nào sản phẩm hiển thị những gì sẽ bị chặn mà không có truy cập ghi, nó được gắn nhãn là mô phỏng; chúng tôi không bao giờ tuyên bố thực thi mà chúng tôi không có.

Khắc phục tự động là mức độ duy nhất thay đổi bất cứ điều gì trong các nguồn của bạn, và nó tắt theo mặc định. Nó chỉ hoạt động khi chủ sở hữu hoặc quản trị viên đã bật nó cho tổ chức, chính sách cho quy tắc được kích hoạt và bạn đã riêng cấp bộ nối các phạm vi ghi mà nó cần — một sự đồng ý thứ hai mà bạn có thể hủy bất kỳ lúc nào mà không làm gián đoạn giám sát. Ngay cả khi đó, nó chỉ hủy hoặc giảm quyền truy cập (ví dụ, xóa liên kết công khai hoặc chia sẻ bên ngoài); nó không bao giờ xóa tệp hoặc chạm vào nội dung của chúng và mỗi hành động được ghi vào nhật ký kiểm toán. Khắc phục tự động chưa có sẵn trên Google Workspace: phạm vi ghi mà nó cần chưa được xác minh bởi Google.

Không có khả năng tấn công

8200.dev không chứa khai thác, di chuyển ngang hoặc công cụ tấn công nào. Nền tảng quan sát cấu hình, đánh giá luồng dữ liệu và thực thi chính sách thông qua API của nhà cung cấp mà bạn đã cấp phép — không có gì khác.

Một phân tích không cần kết nối nguồn là Kiểm tra Phơi nhiễm AI miễn phí. Nó hỏi các máy chủ phân giải DNS công cộng về tên miền bạn nhập và chỉ trả về điểm số, số đếm và các cờ trạng thái. Nó không kết nối với máy chủ hoặc trang web của miền đó (máy chủ phân giải công cộng có thể truy vấn máy chủ tên của miền, như phân giải DNS bình thường), không quét cổng, không cố đăng nhập hoặc kiểm tra các lỗ hổng bảo mật. Nó bị giới hạn tốc độ và Chính sách Sử dụng Có thể chấp nhận được (phần 3A) quy định các quy tắc của nó.

Ghi nhật ký kiểm toán

Mỗi hành động mà nền tảng thực hiện — mỗi quét, phát hiện, khóa và thay đổi cấu hình — được ghi vào nhật ký chỉ nối thêm. Các cấp độ Business và Enterprise có thể xuất nó.

Các hành động quản trị của chúng tôi trên không gian làm việc của bạn được ghi trong cùng một vết lộ trình và bạn có thể nhìn thấy. Chúng tôi không có một cửa sau yên tĩnh vào dữ liệu của bạn, và chúng tôi đã đảm bảo rằng bạn có thể xác minh điều đó.

Báo cáo một lỗ hổng

Tìm thấy cái gì? Viết đến [email protected]. Chúng tôi nhằm thừa nhận báo cáo trong 48 giờ và chúng tôi không im lặng các nhà nghiên cứu lương tâm tốt.

Chúng tôi tuân theo công khai điều phối với cửa sổ 90 ngày: chúng tôi làm việc trên bản sửa chữa từ khoảnh khắc bạn báo cáo, giữ bạn được cập nhật và yêu cầu rằng bạn giữ công khai trong tối đa 90 ngày hoặc cho đến khi bản sửa chữa vận hành, tùy theo điều nào đến trước.