- Căi pe care nu le-a numit nimeni
- Ore obișnuite
- Valuri bruște
- Un da de la altcineva
O linie de apărare independentă adăugător la cele existente.
Parolele furate nu mai sunt suficiente pentru a-ți compromite serviciul.
Pe scurtFlamecloak și Tunnel t0 (Zero-Trust) adaugă un strat pe care cele mai multe organizații nu îl au: o verificare în momentul acțiunii, nu doar la autentificare. O acțiune care contează poate aștepta una sau mai multe persoane anume; un apel în afara orelor lui obișnuite sau într-un val brusc poate aștepta sau poate fi refuzat; căile pe care nu le-a numit nimeni pot fi închise; iar fiecare decizie ajunge într-o înregistrare rezistentă la modificări. Nu înlocuiesc firewallul, autentificarea sau actualizările tale de securitate și protejează ce trece prin ele.
Cele mai multe apărări pun o singură întrebare, o singură dată, la ușă: este parola corectă? După aceea, cine o deține este crezut pentru tot ce poate face contul, la orice oră și în orice ritm.
Tunnel întreabă din nou la acțiune: trebuie să se întâmple asta, acum, la această dimensiune, și cine spune da?
Începe cu ușa pe care o încearcă toată lumea: panoul de administrare.
Pune autentificarea în panoul de administrare în spatele Flamecloak și fiecare autentificare așteaptă până când o a doua persoană o aprobă de pe propriul telefon.
O parolă scursă nu deschide nimic.
Cine a cumpărat-o, a ghicit-o sau a citit-o de pe un bilețel tot are nevoie ca altcineva să spună da. O ghicire corectă nu valorează mai mult decât una greșită.
Cel care aprobă vede de unde vine.
Aproximativ de unde vine autentificarea și de pe ce dispozitiv, dacă alegi să le arăți. O autentificare dintr-o țară în care nu lucrează nimeni primește ușor un nu.
Nu la trei dimineața.
Dă-i panoului orele lui obișnuite, iar o autentificare noaptea este refuzată pe loc sau așteaptă o persoană, cum alegi.
Fiecare încercare este înregistrată.
Aprobată sau refuzată, fiecare autentificare este înregistrată împreună cu cine a răspuns, într-o înregistrare pe care nimeni nu o poate schimba pe ascuns.
Autentificare în panoul de administrare
- Cont
- admin, după cum a spus cererea
- De unde
- Lisabona, Portugalia (aproximativ)
- Dispozitiv
- Windows · Chrome
- Când
- 03:12, în afara orelor obișnuite
Reguli pe care le înțelegi deja, folosite ca apărare.
Fiecare este opțională, se setează acțiune cu acțiune și spune în cuvinte simple ce oprește.
Apelurile de noapte așteaptă.
Spune când este folosită de obicei o acțiune. Un apel în afara acestor ore, momentul preferat de atacatori pentru că nu se uită nimeni, ajunge la o persoană sau este refuzat.
Opreșteexportul de peste noapte, autentificarea din weekend
Un val se oprește la limită.
Spune câte apeluri primește de obicei o acțiune, în total și pentru fiecare apelant. Când un cont furat începe să citească de o sută de ori mai repede decât de obicei, surplusul așteaptă sau este refuzat, iar cei responsabili sunt anunțați o dată, nu de zece mii de ori.
Opreștefurtul de date în masă, extragerea automată, un script sau un agent blocat într-o buclă
Un singur da nu ajunge.
Cere aprobarea mai multor oameni pentru acțiunile care contează cel mai mult. Un telefon furat, un coleg păcălit sau un angajat mituit nu o poate aproba singur, iar nimeni nu își aprobă propria cerere.
Opreșteun singur aprobator compromis, frauda unui singur angajat
Unele lucruri nu le poate face nimeni.
Marchează o acțiune ca interzisă și ea este refuzată pentru toată lumea, fără vreun buton care să o elibereze. Nimeni nu poate fi convins să o facă la patru dimineața.
Opreșteștergerea jurnalelor, oprirea copiilor de rezervă, exportul care n-ar trebui să existe
Căile pe care nu le-a numit nimeni rămân închise.
Atacatorii caută endpointul uitat: o pagină veche de administrare, o rută de depanare, un export pe care nu-l mai folosește nimeni. Activează asta și orice cale pe care regulile tale nu o numesc este refuzată în loc să fie lăsată să treacă.
Opreștecăutarea ușilor din spate uitate
Refuzurile nu trec neobservate.
Când apelurile sunt refuzate pentru că vin la ora greșită sau prea repede, cei responsabili află în aceeași oră, împreună cu numărul lor. O încercare este observată cât timp se întâmplă, nu la auditul din trimestrul următor.
Opreșteun atac care durează zile pentru că nu s-a uitat nimeni
Ce întâlnește un atacator.
Atacurile cu care se confruntă de fapt organizațiile și ce se schimbă odată ce acțiunile care contează trec prin Tunnel.
O parolă furată sau obținută prin phishing
Fără: Deschide tot ce poate face contul.
Cu Tunnel: Acțiunile care contează tot așteaptă o altă persoană, pe propriul ei dispozitiv.
FlamecloakO sesiune sau un laptop deturnat
Fără: Atacatorul este deja autentificat.
Cu Tunnel: O sesiune nu poate aproba nimic. Un da vine doar de pe telefonul celui care aprobă.
FlamecloakFurtul de date în masă
Fără: Fiecare înregistrare, câte o cerere, toată noaptea.
Cu Tunnel: Ținut sau refuzat în afara orelor obișnuite și peste ritmul obișnuit, iar cineva este anunțat în aceeași oră.
FlamecloakTunnel t0Un server compromis
Fără: Cheile lui ajung la fiecare sistem cu care vorbește.
Cu Tunnel: Poarta nu este pe acel server, așa că nu poate fi oprită, slăbită sau pusă să își aprobe propriile apeluri.
FlamecloakUn angajat care acționează singur
Fără: Un om cu acces nu are nevoie de nimeni altcineva.
Cu Tunnel: Mai mulți oameni trebuie să fie de acord, nimeni nu își aprobă propria cerere, iar înregistrarea spune cine ce a făcut.
FlamecloakTunnel t0Un agent AI păcălit
Fără: Îți ține cheile și urmează o instrucțiune strecurată.
Cu Tunnel: Nu ține nicio cheie, poate face doar ce i s-a acordat, iar pașii cu consecințe așteaptă o persoană.
Tunnel t0Căutarea endpointurilor uitate
Fără: O rută veche răspunde ca oricare alta.
Cu Tunnel: Căile pe care regulile tale nu le numesc sunt refuzate.
FlamecloakAcoperirea urmelor
Fără: Jurnalele de pe un server spart pot fi modificate.
Cu Tunnel: Fiecare decizie este păstrată într-o înregistrare rezistentă la modificări, pe care un auditor o poate verifica fără noi.
FlamecloakTunnel t0
Când atacatorul este în prompt.
Un agent AI citește emailuri, pagini web și documente, iar oricare dintre ele poate purta instrucțiuni menite să-l întoarcă. Tunnel t0 (Zero-Trust) pornește de la ideea că într-o zi una va reuși și limitează ce poate face un agent întors.
Descoperă Tunnel t0Nimic de furat.
Agentul nu ține niciodată credențialele tale, așa că un agent păcălit sau compromis nu le poate scurge și nici refolosi în altă parte.
Doar ce i s-a acordat.
Fiecare capabilitate este acordată separat, iar orice altceva este refuzat. O instrucțiune strecurată nu poate adăuga nimic pe listă.
Doar datele de care are nevoie sarcina.
O capabilitate poate transmite doar unele câmpuri dintr-un răspuns, așa că un agent întors citește mai puțin decât cere.
Fără împărțire sub limită.
Limitele rezistă peste mai multe apeluri, așa că o plată mare nu poate fi spartă în multe plăți mici.
O persoană pentru pașii cu consecințe.
Acțiunea așteaptă o persoană anume, care aprobă exact ce se va întâmpla, iar asta se întâmplă o singură dată.
De ce locul cel mai sigur pentru pază nu este serverul tău.
Cele mai multe echipe ne lasă pe noi să rulăm Flamecloak, iar pentru securitate motivul este distanța. O pază e la fel de puternică precum locul în care stă.
În afara razei unei breșe.
Dacă un atacator preia unul dintre serverele tale, poarta din fața sistemelor tale nu este pe el. Nu o poate opri, nu îi poate schimba regulile și nu își poate aproba propriile apeluri.
Aprobări de la oameni, nu de la mașini.
Un da vine de pe dispozitivul celui care aprobă. Un server compromis poate întreba de câte ori vrea; nu poate răspunde.
O înregistrare pe care nu o pot rescrie.
Fiecare decizie este scrisă la noi, unde nimic nu o mai poate schimba după aceea, așa că un intrus nu poate șterge ce a încercat.
Închis, nu deschis, când nu putem fi contactați.
Dacă serviciul nostru nu poate fi contactat, acțiunile care au nevoie de o persoană sau care sunt interzise sunt refuzate, nu lăsate să treacă.
Îmbunătățit fără un proiect de partea ta.
Noi îl rulăm și îl actualizăm, așa că o protecție nouă ajunge la tine fără ca cineva din echipa ta să planifice o actualizare.
În propria ta rețea, când trebuie.
Echipele care nu pot trimite trafic prin altcineva rulează Flamecloak în propria infrastructură, pe mașini separate de serverele pe care le păzește, fără nicio legătură activă cu noi.
Ce primește fiecare parte a organizației.
- Securitate
Mai puține incidente devin breșe.
Un credențial furat se oprește la acțiune, iar tu afli de refuzuri în aceeași oră, nu dintr-un raport.
- Finanțe
Banii nu se mișcă la cuvântul unui singur om.
O plată sau o schimbare a locului în care merg banii poate avea nevoie de doi oameni, care pot vedea ce se schimbă înainte să fie de acord.
- Conformitate și protecția datelor
Dovezi, nu asigurări.
O înregistrare rezistentă la modificări despre cine a cerut, cine a aprobat și ce a fost refuzat, pe care un auditor o poate verifica fără noi atunci când cineva întreabă ce s-a întâmplat.
- Inginerie
Fără rescriere.
O rută în fața API-ului tău sau un apel în codul tău. Mai întâi observă, fără să țină nimic, și ține doar ce alegi tu.
- Conducere
O zi proastă mai mică.
Paguba pe care o poate face un cont furat este plafonată de regulile pe care le stabilești, nu de tot ce putea atinge acel cont.
Ce nu va face.
Nu oprește phishingul și nu găsește breșa prin care a intrat un atacator. Limitează ce poate face acesta după aceea, în sistemele pe care le pui în spatele lui.
Protejează doar ce trece prin el. Site-ul propriu al unui furnizor, cum ar fi portalul băncii tale, sau o bază de date la care cineva ajunge direct, este în afara razei lui.
Cineva destul de răbdător încât să păstreze orele normale și un ritm normal este încetinit, nu oprit. De aceea acțiunile care contează cel mai mult ar trebui să aștepte și o persoană.
O aprobare este doar atât de bună cât omul care o dă. Mai mulți aprobatori fac inofensiv un singur om păcălit; nu îi fac pe toți atenți.
O pagină de autentificare poate aștepta o aprobare doar când autentificarea trece prin Flamecloak, iar unele panouri mai vechi au nevoie mai întâi de o mică schimbare. Ne uităm la al tău împreună cu tine înainte să promitem ceva.
Nu este un firewall, un antivirus sau un sistem de autentificare și nu înlocuiește niciunul dintre ele. Este stratul de după ele.
Niciun produs nu se vinde de pe raft. Ambele sunt disponibile la cerere: le ceri dintr-un cont Tunnel, îți răspunde un om, iar ce primești se stabilește împreună cu tine.
Întrebări pe care ni le pune lumea despre asta
Oprește asta phishingul?
Nu, și nimic de pe această pagină nu spune asta. Phishingul îi aduce unui atacator o parolă sau o sesiune. Ce schimbă Flamecloak este ce poate obține cu ele: în sistemele pe care le pui în spatele lui, acțiunile care contează tot așteaptă un da de la altcineva, de pe propriul lui dispozitiv.
Poate Flamecloak să protejeze autentificarea în panoul nostru de administrare?
Da, acolo unde autentificarea trece prin el. Fiecare autentificare așteaptă atunci o a doua persoană și poate fi refuzată în afara orelor ei obișnuite. Cele mai multe panouri merg așa cum sunt; unele mai vechi au nevoie mai întâi de o mică schimbare, iar noi o verificăm pe a ta împreună cu tine înainte să te bazezi pe ea.
Ce se întâmplă dacă este furat și telefonul celui care aprobă?
Cere mai mult de o persoană pentru acțiunile care contează. Cu mai mulți aprobatori, un telefon furat nu poate aproba nimic singur, iar o aprobare tot are nevoie ca proprietarul telefonului să îl deblocheze.
Înlocuiește firewallul sau sistemul nostru de autentificare?
Nu. Acelea decid cine intră. Flamecloak și Tunnel t0 decid ce se întâmplă după aceea: ce acțiuni au nevoie de o persoană, când se pot întâmpla și câte. Păstrează-le pe amândouă.
De ce este mai sigur când îl rulați voi decât pe serverele noastre?
Pentru că o pază aflată pe serverul pe care îl păzește cade odată cu acel server. Când îl rulăm noi, stă separat de toate mașinile tale, așa că cine preia una dintre ele nu îl poate opri, nu îi poate schimba regulile și nu poate edita înregistrarea. Dacă niciun trafic nu poate trece prin altcineva, rulează-l în propria ta rețea, pe mașini separate de cele pe care le păzește.
Vor observa oamenii noștri ceva?
Doar la acțiunile pe care ai ales să le ții. Restul trece ca înainte. O acțiune ținută așteaptă o persoană, iar un ecran care așteaptă spune asta în loc să dea eroare.
Începe cu o singură ușă.
Alege acțiunea pe care ai vrea cel mai puțin să o facă un străin, cum ar fi autentificarea de administrator, exportul sau plata, și pune-o în spatele Flamecloak. Creează un cont Tunnel și cere-l, iar un om te va contacta ca să îl configurați împreună.