Intel
Les intels sont les problèmes que Red Kite détecte sur votre surface d'attaque, par exemple un serveur de base de données exposé, un service de bureau à distance exposé ou un ancien protocole d'accès à distance. Chaque intel est accompagnée d'une sévérité, d'une description du risque et de recommandations pour le corriger.
Les intels fournies avec Red Kite couvrent l'hygiène de base qui devrait être en place sur toute surface d'attaque. Les traiter est l'une des façons les plus rapides de réduire votre exposition à Internet.
Définitions et enregistrements
Une intel est composée de deux parties :
- Une définition d'intel décrit le problème : son nom, sa description, ses recommandations, sa sévérité, le type de ressource auquel
elle s'applique et une requête de détection. La requête de détection est un filtre ordinaire, par exemple
-is:blocked port.service:ssh. - Un enregistrement d'intel est créé pour chaque ressource qui correspond à la requête de détection. Il assure le suivi du problème sur cette ressource : son statut, sa sévérité, quand il a été vu pour la première et pour la dernière fois, et une chronologie de ce qui s'est passé.
Red Kite évalue toutes les définitions d'intel activées toutes les heures. Chaque fois qu'une ressource correspond toujours, la date vu pour la dernière fois de l'enregistrement est mise à jour.
Puisque les requêtes de détection par défaut excluent les ressources bloquées, bloquer les ressources qui ne vous appartiennent pas les retire aussi des résultats d'intel. Faire le tri dans vos ressources d'abord rend les intels beaucoup plus pertinentes. Consultez Enrichissement des données.
Statuts
Les statuts sont répartis en deux groupes : ouverts (is:open) et fermés (is:closed).
| Statut | Groupe | Signification |
|---|---|---|
| Ouverte | Ouvert | Le problème a été détecté et n'a pas encore été examiné. |
| Validée | Ouvert | Le problème a été examiné et confirmé. Il doit être corrigé. |
| Prête pour un nouveau test | Ouvert | Un correctif a été appliqué et le problème doit être testé de nouveau. |
| Régression | Ouvert | Le problème avait été marqué comme résolu, mais Red Kite l'a détecté de nouveau. Défini automatiquement par Red Kite. |
| Résolue | Fermé | Le problème a été corrigé. |
| Faux positif | Fermé | La détection était erronée. |
| Risque accepté | Fermé | Le problème est réel, mais le risque a été accepté, par exemple parce que l'exposition est requise par l'entreprise. |
Lorsqu'un enregistrement résolu est détecté de nouveau, Red Kite le passe automatiquement au statut Régression et consigne le
changement dans la chronologie. Surveillez status:regression : cela signifie qu'un correctif n'a pas tenu.
Intels par défaut
Red Kite inclut des définitions d'intel pour les services exposés les plus courants, comme SSH, RDP, Telnet, FTP, SMB, les bases de données, LDAP, NetBIOS, RPC/NFS, VNC, les anciens accès à distance UNIX, Cisco Smart Install, Java RMI, MSRPC, WinRM, Kerberos, TACACS, DHCP, les proxys SOCKS, SVN et les API Docker.
Les définitions d'intel par défaut sont gérées par Red Kite et sont en lecture seule. Vous pouvez les consulter, avec les ressources touchées, dans Gestion > Définitions d'intel.
Chaque enregistrement d'intel conserve une chronologie de tout ce qui lui est arrivé.
Pour apprendre à travailler avec les intels, consultez Gérer les intels et Configurer les intels.