Mniejsza powierzchnia ataku. Pełna widoczność.

Utwardzamy infrastrukturę firm, które nie mogą sobie pozwolić na przestój ani wyciek danych: audyt, hardening, monitoring, reagowanie na incydenty.

Napisz do nasZobacz, jak wygląda atak

Atak ma cztery etapy. Na każdym można go zatrzymać.

Typowy przebieg ataku na infrastrukturę firmy – i to, co robimy, żeby skończył się jak najwcześniej. Przewijaj.

atakujący brzeg sieci 22 80 3306 8080 6379 443 vpn WWWnginx · aplikacja APPusługi · kolejki DBdane klientów SIEMlogi · alerty KOPIEtestowane skan portów tylko 443 + VPN exploit → 80 policy drop · auto-aktualizacje ruch boczny alert w SIEM wyciek danych izolacja · odtworzenie z kopii

  1. 01 · Rekonesans

    Najpierw sprawdzają, co wystaje.

    Atakujący: automatyczny skaner znajduje otwarte porty: SSH z logowaniem hasłem, panel na 8080, baza i cache wystawione do świata. To nie jest atak celowany – boty skanują cały internet, adres po adresie.

    SecVault: audyt ekspozycji i hardening brzegu. Z zewnątrz zostaje tylko port 443 za reverse proxy, a reszta jest dostępna wyłącznie przez VPN i klucze. Zamiast pięciu usług skaner widzi jedną.

  2. 02 · Wejście

    Wchodzą przez to, czego nikt nie aktualizował.

    Atakujący: znana podatność w usłudze sprzed dwóch lat, domyślne hasło albo panel administracyjny bez MFA. Jedno z nich zwykle wystarczy.

    SecVault: zapora z polityką „domyślnie blokuj”, automatyczne aktualizacje bezpieczeństwa z kontrolowanym restartem, panele tylko za VPN albo SSO z MFA. Konfiguracja jest zapisana w skryptach, więc nie rozjeżdża się z czasem.

  3. 03 · Eskalacja

    Z jednego serwera idą na wszystkie.

    Atakujący: z przejętej maszyny szukają dalej: wspólnych haseł, kluczy zostawionych w plikach, płaskiej sieci, w której wszystko widzi wszystko. Mijają tygodnie, zanim ktokolwiek to zauważy.

    SecVault: segmentacja i minimalne uprawnienia, a nad tym monitoring (Zabbix) i SIEM (Wazuh): nietypowe logowanie, nowy proces, zmiana w plikach systemowych – alert trafia do człowieka, zanim atak przejdzie dalej.

  4. 04 · Eksfiltracja

    Na końcu zawsze chodzi o dane.

    Atakujący: wyciek bazy klientów, szyfrowanie dysków i żądanie okupu. Jeśli kopie leżały na tym samym serwerze, też są zaszyfrowane.

    SecVault: reagowanie na incydent – izolacja, analiza i przywrócenie z kopii, które przechowujemy osobno i regularnie testujemy odtwarzaniem. Potem wnioski i zmiany, żeby ten sam scenariusz nie zadziałał drugi raz.

Pracujemy na każdej warstwie.

Bezpieczeństwa nie da się kupić jako jednej usługi. To decyzje od portu na brzegu sieci po to, kto ma dostęp do kopii zapasowych.

  • 01 Sieć i brzeg

    Zapory „domyślnie blokuj”, VPN zamiast otwartych portów, reverse proxy, DNS pod kontrolą. Audyt tego, co naprawdę widać z internetu.

  • 02 Systemy

    Hardening Linuksa i kontenerów, automatyczne aktualizacje z kontrolowanym restartem, konfiguracja odtwarzalna ze skryptu – nie z pamięci administratora.

  • 03 Usługi

    Poczta z SPF, DKIM i DMARC, panele za SSO i MFA, przegląd uprawnień i sekretów. Wszystko, co ma własny login, dostaje własne zasady.

  • 04 Dane i kopie

    Kopie zapasowe poza serwerem, szyfrowane, z retencją i regularnie testowane odtwarzaniem – także pod kątem czasu, w jakim firma wraca do pracy.

  • 05 Ludzie i procesy

    Alerty, które trafiają do konkretnej osoby, przeglądy dostępów i procedura na incydent, która działa też wtedy, gdy nie ma kogo zapytać.

Ten sam serwer, dwie powierzchnie ataku.

Konfiguracja, jaką często spotyka się na serwerach firm, i ta sama maszyna po utwardzeniu. Przesuń suwak.

przed po
  1. ssh 22 – logowanie hasłem, rootssh – tylko przez VPN, klucze, bez roota
  2. http 80 – bez przekierowania na https443 za reverse proxy, HSTS, 80 → 301
  3. mysql 3306 – dostępny z internetumysql – tylko localhost, osobne konto na usługę
  4. redis 6379 – bez hasłaredis – gniazdo lokalne, hasło, bez ekspozycji
  5. panel 8080 – admin / adminpanel – za SSO z MFA, każde logowanie w logu
  6. aktualizacje – „jak będzie czas”aktualizacje – automatyczne, restart w oknie serwisowym
  7. kopie – na tym samym dysku, nietestowanekopie – poza serwerem, szyfrowane, test odtwarzania
  8. logi – lokalnie, 7 dni, nikt nie czytalogi – SIEM, alerty, retencja 90 dni

0 z 8 zmian wdrożonych · 5 usług widocznych z internetu

Zasady, których nie negocjujemy.

/etc/secvault/zasady.conf

  1. # zasady, których nie negocjujemy
  2. policy ;Domyślnie blokuj. Otwarte jest tylko to, co ma powód – reszta nie istnieje dla świata.
  3. updates ;Automatyzuj, co powtarzalne. Aktualizacje, kopie, kontrole. Ludzie są od decyzji, nie od klikania.
  4. change ;Mierz, nie zgaduj. Każda zmiana ma metrykę i alert. Jeśli czegoś nie widać, to nie jest zabezpieczone.
  5. security_theatre ;Bez teatru bezpieczeństwa. Procedura, która nie zmniejsza ryzyka, nie trafia do zaleceń.
  6. restore_test ;Kopia, której nikt nie odtworzył, to tylko nadzieja. Testujemy odtwarzanie, nie tylko wykonanie.

Porozmawiajmy.

[email protected]

Opisz krótko swoją infrastrukturę i to, co Cię niepokoi. Odpowiadamy konkretnie, bez prezentacji sprzedażowej.

Chcesz zgłosić podatność w naszej infrastrukturze? Zasady zgłaszania: security.txt.