Biztonság az OUTSIDE-nál

A biztonság az OUTSIDE céljának és működésének alapja. A platform segít a szervezeteknek megérteni a nyilvánosan látható infrastruktúrát, bizonyítékalapú kitettséget azonosítani és változást figyelni. Többrétegű védelmet alkalmazunk a fejlesztésben, infrastruktúrában, hozzáférésben és üzemeltetésben. Ez az oldal a jelenlegi megközelítést írja le, nem tanúsítvány vagy garancia. Kapcsolat: security@outsideguardian.eu.

1. Biztonsági alapelvek

Bizonyíték az állítás előtt. Megkülönböztetjük a megfigyelt tényt, a következtetést és a lehetséges aggályt; bizonyíték nélkül nem állítunk kompromittálást vagy meg nem felelést.

Legkisebb jogosultság és bérlőelkülönítés. A felhasználó, szolgáltatás és folyamat csak szükséges hozzáférést kap, a szervezetek adatait szerveroldali vezérlés választja el.

Alapértelmezetten passzív, emberi kontrollal. Nyilvános forrást és korlátozott megfigyelést használunk. Ellenőrzött, hitelesített vagy aktívabb funkcióhoz további engedély kell. Az automatizálás és AI támogatja, nem helyettesíti a szakértői döntést.

2. Alkalmazásbiztonság

Hitelesített munkamenetet, szervezeti és szerepkörös jogosultságot, szerveroldali ellenőrzést, bemenet-ellenőrzést, biztonságos kimenetet, méret- és sebességkorlátot, időtúllépést, biztonságos hibakezelést, érzékeny műveleti auditot, adminisztráció-védelmet, függőségvizsgálatot és automatizált tesztet használunk.

3. Domain- és célpont-engedélyezés

Az OUTSIDE csak saját vagy engedéllyel vizsgált rendszerhez használható. A figyelés, integráció és érzékeny művelet DNS-, e-mail-, fájl-, szolgáltatói fiók- vagy más ellenőrzést igényelhet.

Kilépés az anonim vizsgálatból

A domain üzemeltetője outside-optout=1 értékű DNS TXT rekordot tehet közzé _outside-optout.yourdomain.com néven. A propagáció után körülbelül tíz percen belül a domainre és aldomainjeire érvényes. Az ellenőrzött tulajdonos továbbra is vizsgálhatja saját felületét. Állapot: `/api/optout?domain=yourdomain.com`.

4. Biztonságos hálózati hozzáférés

A célpontot normalizáljuk és ellenőrizzük; blokkoljuk a privát, loopback, link-local, fenntartott és felhő-metaadat címeket, ellenőrizzük a feloldott IP-t, korlátozzuk az átirányítást, protokollt, időt és válaszméretet, valamint védünk DNS rebinding és SSRF ellen.

5. Titkosítás

A termelési forgalom TLS-t használ. Az érzékeny adatot korlátozott hozzáférés, titokkezelés és elérhető tárolótitkosítás védi. Az ügyfél felel az OUTSIDE-on kívüli integráció, export és hitelesítő adat biztonságáért.

6. Hitelesítés és hozzáférés

Egyedi fiókot, védett munkamenetet, szerepkört, korlátozott adminisztrációt, munkamenet-visszavonást, auditot és hitelesítési korlátot alkalmazunk; csomagtól függően vállalati identitást is. Az ügyfél használjon erős egyedi adatot, MFA-t vagy SSO-t, ellenőrizze a tagságot és azonnal távolítsa el a volt dolgozót.

7. Infrastruktúra-biztonság

Az éles rendszer az Európai Unióban fut: az alkalmazás, az adatbázisa és a mentései a szolgáltató európai régiójában vannak. Az adatvédelmi tájékoztatóban megnevezett egyes adatfeldolgozók az EU-n kívül működnek, és a hozzájuk történő továbbítás az ott leírt garanciákra épül.

Az infrastruktúra elkülöníti az alkalmazást és adatbázist, korlátozza a hálózati kitettséget és adminisztrációt, kezelt titkot, állapotellenőrzést, erőforráskorlátot, naplózást, felügyeletet, vezérelt telepítést, mentést és helyreállítást használ. A részletek régiótól és szolgáltatótól függnek.

8. Biztonságos fejlesztés

Az életciklus kód- és típusellenőrzést, lintelést, egység-, integrációs és böngészőtesztet, migráció-, konténer- és infrastruktúra-ellenőrzést, függőség- és titokszkennelést, védett telepítést és környezetszétválasztást tartalmaz. A biztonsági javítás rendkívüli prioritást kaphat.

9. Sérülékenység és függőség

Figyeljük a függőségeket, képeket, futtatókörnyezetet, infrastruktúrát, szolgáltatót és integrációt. A javítási prioritást kihasználhatóság, kitettség, érzékenység, hatás, enyhítés és aktív kihasználás alapján adjuk meg, nem csak súlyossági címke szerint.

10. Naplózás és felügyelet

Naplózhatjuk a hitelesítést, sikertelen hozzáférést, érzékeny műveletet, vizsgálatot, domain-ellenőrzést, integrációváltozást, számlázást, jelentéshozzáférést, adminisztrációt, hibát és anomáliát. A naplót védjük, arányosan őrizzük, és szándékosan nem rögzítünk felesleges titkot vagy teljes érzékeny tartalmat.

11. Mentés és helyreállítás

Környezettől függően ütemezett adatbázis-mentést, szolgáltatói redundanciát, megőrzési szabályt, korlátozott hozzáférést, helyreállítási tesztet és dokumentált eljárást alkalmazunk. Az ügyfél őrizze meg a saját folytonosságához vagy kötelezettségéhez szükséges exportot.

12. Incidenskezelés

A folyamat észlelést és besorolást, korlátozást, vizsgálatot, javítást, helyreállítást, szükséges értesítést és utólagos áttekintést foglal magában. Az értesítési kötelezettséget jog, szerződés és az incidens jellege alapján értékeljük; ügyfél-együttműködésre lehet szükség.

13. Adatminimalizálás

Csak észszerűen szükséges adatot kezelünk, minimalizáljuk az AI-környezetet, lehetőség szerint kitakarjuk az érzékeny értéket, korlátozzuk a termelési hozzáférést, elkülönítjük az ügyfél- és nyilvános műszaki adatot, nem tárolunk felesleges kártyaadatot, és határidő után törlünk vagy anonimizálunk.

14. AI-biztonság és korlátok

Az AI a már elérhető bizonyítékot magyarázza; nem használ ki önállóan rendszert, nem javít az ügyfél környezetében, nem igazol kompromittálást bizonyíték nélkül, és nem tanúsít megfelelést. A kimenetet felül kell vizsgálni, a környezet pedig vezérelt szerverrétegen halad át.

15. Harmadik fél kockázata

Infrastruktúra, adatbázis, e-mail, fizetés, fenyegetési adat, hitelesítés, AI és felügyelet terén kiválasztott szolgáltatóktól függünk, amelyeket kockázat szerint értékelünk. Kiesésük vagy incidensük hatással lehet az OUTSIDE-ra; független szolgáltatás nem garantálható teljesen.

16. Az ügyfél felelőssége

Az ügyfél csak engedélyezett célpontot használhat, védenie kell fiókját, API-kulcsát és webhookját, kezelnie kell hozzáférést és integrációt, felül kell vizsgálnia a megállapítást, biztonságosan javítania, frissítenie saját rendszerét, exportot őriznie, gyanús tevékenységet jelentenie és jogot betartania. Az OUTSIDE nem helyettesíti saját védelmét vagy incidenskezelését.

17. Felelős sérülékenység-bejelentés

A bejelentést a security@outsideguardian.eu címre küldje leírással, érintett URL-lel vagy komponenssel, reprodukciós lépéssel, biztonságos bizonyítékkal, hatással és elérhetőséggel.

Mit ne tegyen

Ne férjen hozzá más adatához, ne töltsön le a szükségesnél többet, ne módosítson vagy töröljön, ne hozzon létre tartós hozzáférést, ne telepítsen kártevőt, ne végezzen DoS-t, ne zavarja a termelést, ne terheljen túl automatizálással, ne teszteljen idegen rendszert, és ne tegyen közzé megoldatlan hibát észszerű válaszidő nélkül.

Jóhiszemű kutatás

Ha jóhiszeműen jár el, minimalizálja a kárt, tiszteletben tartja a magánéletet és a hatókört, gyorsan jelent és észszerű időt ad, törekszünk engedélyezett kutatásként kezelni. Ez nem teszi jogszerűvé a tiltott tevékenységet vagy harmadik fél rendszerének vizsgálatát.

Nincs automatikus jutalom

Kifejezett írásos bejelentés nélkül nem működtetünk garantált bug bounty programot; a jelentés nem teremt jutalom- vagy költségtérítési jogot.

18. Közzétételi folyamat

A hiteles jelentést visszaigazoljuk, értékeljük a hatókört és súlyosságot, szükség esetén további adatot kérünk, enyhítést vagy javítást készítünk és megfelelően koordináljuk a közlést. Az idő a bonyolultságtól és hatástól függ; kockázatnövelő vagy ügyféladatot felfedő részletet nem közlünk.

19. Biztonsági dokumentáció

Vállalati ügyfélnek megfelelő titoktartás mellett elérhető architektúra, adatfolyam, hozzáférés, mentés, alvállalkozó, fejlesztés, incidenseljárás és tesztösszefoglaló adható. A dokumentum nem tanúsítvány, hacsak kifejezetten nem állítja.

20. Megfelelőségi állítások

Tanúsítványt, auditot vagy szabályozási státuszt csak kifejezetten dokumentált és aktuális esetben állítunk. Az OUTSIDE támogathat biztonsági és megfelelőségi munkát, de használata önmagában nem teremt megfelelést.

21. Az oldal módosítása

Az oldalt a szolgáltatás, architektúra, kontrollok és jog változásával frissíthetjük. Az aktuális verziót felülvizsgálati dátummal tesszük közzé.

22. Kapcsolat

VeDomEll s. r. o. · Alžbetina 55, 040 01 Košice – mestská časť Staré Mesto, Szlovákia

IČO: 52498751 · DIČ: 2121045729 · IČ DPH: SK2121045729 · security@outsideguardian.eu