Så arbetar vi

Principerna vi inte tummar på.

Hur vi arbetar spelar lika stor roll som vad vi hittar. Det här är reglerna vi jobbar efter, så att arbetet blir säkert, lagligt och möjligt att granska.

Alltid på uppdrag

Varje uppdrag är avtalat. Allt aktivt arbete kräver ett skriftligt uppdrag och rör bara de system som ingår i det. Det som ligger utanför lämnar vi, och sparar det inte.

Passivt i första hand, tydliga med resten

Vi hämtar först det som redan är publicerat: DNS, certifikattransparens, publika register. Ingenting av det skickas mot era system. Sedan gör vi lätt kontakt med de IT-tjänster ni har öppna mot internet: vi ansluter som en vanlig besökare gör, hastighetsbegränsat och identifierbart, för att se vilken tjänst, version och kryptering som svarar. Vi loggar inte in, testar inga lösenord och skickar ingenting som är avsett att utnyttja en svaghet. OT rör vi aldrig aktivt.

Vi identifierar, vi utnyttjar inte

Vi visar att dörren är olåst, men vi går inte in. Vi kontrollerar om en version är känd för att vara sårbar, och stannar där. Att faktiskt utnyttja en sårbarhet gör vi bara om ni särskilt beställt det, och vi påstår aldrig ”bekräftat sårbart” utifrån.

Ärliga om vad vi sett

Varje fynd säger när vi tittade, vad vi kontrollerade och vad vi inte kunde se. Att vi inte hittade något betyder inte att allt är bra, och det skriver vi ut. Är vi osäkra på något säger vi det rakt ut, inte som om det vore säkert.

Beviset är ert

Era fynd är era. Vi sparar metadata, inte innehåll, så att ingens exponering blir större än den behöver vara. Vid avslut får ni en ren export av hela arkivet. Det är ert bevis, inte vår inlåsning.

Vi säger som det är

Att hitta en lucka är inte samma sak som att stänga den, och det blandar vi aldrig ihop. Gör vi en åtgärd så kallar vi det en åtgärd. Vi säger hellre för lite och håller vad vi lovar än tvärtom.

Det som redan är gratis

Börja med CERT-SE:s tjänster. De kostar ingenting.

CERT-SE erbjuder ANTS — automatiska notifieringar om tekniska sårbarheter — kostnadsfritt till alla svenska organisationer. Vill ni ha dagliga notifieringar om exponerade tjänster och möjliga sårbarheter, anmäl er. Vi rekommenderar det utan förbehåll, och hjälper gärna till att arbeta ner listan till noll.

Det ANTS inte gör: tjänsten ser bara de adresser och domäner ni själva har anmält, den listar inte underdomäner, och den prioriterar inte. Den ger er en CSV, inte ett underlag. Det är där vårt arbete börjar: vid de tillgångar ingen har anmält, för att ingen visste om dem.

Ett typiskt uppdrag

Så går ett uppdrag till.

Uppdrag och auktorisation. Vi kommer skriftligt överens om vad som ingår och vad vi får göra. Inget startar innan dess.
Kartläggning från öppna källor. Vi börjar med det som redan är publicerat: DNS, certifikattransparens och publika register. Ingenting skickas mot era system i det här steget.
Lätt kontakt med det som är öppet mot internet. Inom uppdraget ansluter vi till era IT-tjänster som är nåbara från internet för att se vad som faktiskt svarar: tjänst, version och kryptering. Hastighetsbegränsat, identifierbart och utan inloggningsförsök. OT står utanför.
Fynd och bevispaket. Ni får ett tillgångsregister, en tydlig fyndrapport och ett daterat bevispaket kopplat till ramverken.
Åtgärd, om ni vill. Är luckan en nätverksfråga kan vi hjälpa till att stänga den.
Upprepade körningar. Senare körningar visar vad som ändrats, så att ni kan belägga att åtgärderna fungerar över tid.