Εγκατάσταση

• Μία υπηρεσία Docker σε διακομιστή Linux, με τη βάση δεδομένων μέσα στο κοντέινερ σε τοπικό socket, οπότε το Vardion δεν διατηρεί κωδικό πρόσβασης σε βάση δεδομένων.
• Η κονσόλα δέχεται συνδέσεις μόνο στη διεύθυνση loopback. Όταν δημοσιεύεται, βρίσκεται πίσω από τη συνοδευτική ρύθμιση του Caddy με αυτόματο HTTPS.
• Η φιλοξενούμενη κονσόλα έχει απενεργοποιημένη την ενεργή σάρωση. Οι σαρώσεις τρέχουν στη δική σας εγκατάσταση.

Δεδομένα

• Τα ευρήματα, τα μητρώα και οι αναφορές αποθηκεύονται στον διακομιστή σας ή στον δικό σας χώρο εργασίας στη φιλοξενούμενη κονσόλα.
• Τα κλειδιά API και οι διευθύνσεις webhook δεν εμφανίζονται, δεν καταγράφονται και δεν εξάγονται ποτέ. Δεν μπαίνουν στα αντίγραφα ασφαλείας, εκτός αν το ζητήσετε.
• Ένα διαπιστευτήριο που βρίσκει μια σάρωση δεν αποθηκεύεται ποτέ. Το εύρημα καταγράφει ότι βρέθηκε και πού.
• Οι σελίδες της κονσόλας δεν φορτώνουν scripts, γραμματοσειρές ή εικόνες τρίτων.

Φιλοξενία

• Η φιλοξενούμενη κονσόλα και ο δωρεάν έλεγχος domain λειτουργούν σε διακομιστή της OVHcloud (OVH SAS), σε κέντρο δεδομένων στη Γερμανία.
• Η σύμβαση επεξεργασίας δεδομένων αναφέρει κάθε υπεργολάβο επεξεργασίας με τον σκοπό και την τοποθεσία του.

Κρυπτογράφηση

• Κατά τη μεταφορά: η φιλοξενούμενη κονσόλα και ο έλεγχος σερβίρονται μόνο μέσω HTTPS και τα email της κονσόλας στέλνονται πάντα μέσω TLS ή STARTTLS.
• Σε ηρεμία: το Vardion δεν κρυπτογραφεί τα αποθηκευμένα δεδομένα. Οι κωδικοί φυλάσσονται κατακερματισμένοι με scrypt και τα διακριτικά πρόσβασης και οι σύνδεσμοι προσκλήσεων μόνο ως SHA-256. Τα αρχεία με κλειδιά και διαπιστευτήρια διαβάζονται μόνο από την υπηρεσία.

Τήρηση δεδομένων

• Τα δεδομένα ενός χώρου εργασίας τηρούνται όσο διαρκεί η σύμβαση. Τίποτα δεν εκκαθαρίζεται πριν ο διαχειριστής ορίσει διατήρηση και κάθε εκκαθάριση δείχνει πρώτα τι θα αφαιρέσει.
• Μετά τη λήξη της σύμβασης, τα δεδομένα διαγράφονται εντός 30 ημερών, όπως ορίζει η σύμβαση επεξεργασίας δεδομένων. Τα αντίγραφα ασφαλείας που λήφθηκαν πριν από τη διαγραφή κρατούν τα δεδομένα μέχρι να αντικατασταθούν στον κύκλο τους.
• Η πολιτική απορρήτου ορίζει τι τηρεί ο δωρεάν έλεγχος και για πόσο.

Πρόσβαση από το Vardion

• Πρόσβαση στον διακομιστή της φιλοξενούμενης κονσόλας έχουν μόνο οι διαχειριστές του Vardion, με κλειδί SSH.
• Το προσωπικό του Vardion ανοίγει τον χώρο εργασίας ενός πελάτη μόνο όταν ο πελάτης το ζητήσει για υποστήριξη και κάθε αλλαγή γράφεται στο αρχείο καταγραφής. Οι διαχειριστές του διακομιστή έχουν άμεση πρόσβαση στα αρχεία του.
• Σε εγκατάσταση στον διακομιστή σας, το Vardion δεν έχει πρόσβαση.

Εξαγωγή και συνέχεια

• Εξάγετε τα δεδομένα σας οποτεδήποτε ως CSV, JSON, XLSX, STIX 2.1 ή στα αρχεία της ΕΑΚ, ή ολόκληρη την εγκατάσταση με την εντολή backup.
• Μια εγκατάσταση στον διακομιστή σας δεν χρειάζεται άδεια ή σύνδεση με το Vardion για να λειτουργεί, οπότε συνεχίζει να λειτουργεί ό,τι κι αν συμβεί στο Vardion.
• Αν σταματήσουμε τη φιλοξενούμενη κονσόλα, ειδοποιούμε κάθε πελάτη τουλάχιστον 90 ημέρες πριν και του παραδίδουμε πλήρη εξαγωγή του χώρου εργασίας του, που φορτώνεται σε δική του εγκατάσταση με την εντολή restore.

Σύνδεση και ρόλοι

• Πέντε ρόλοι, από θεατή έως κάτοχο, ο καθένας περιορισμένος στους χώρους εργασίας που του έχουν δοθεί.
• Οι συνεδρίες λήγουν μετά από 12 ώρες αδράνειας ή 7 ημέρες. Υπάρχουν επαλήθευση δύο βημάτων, ενιαία σύνδεση μέσω OpenID Connect και αυτόματη δημιουργία λογαριασμών μέσω SCIM 2.0.

Αρχείο καταγραφής

• Κάθε αλλαγή στο πεδίο σάρωσης, στις ρυθμίσεις, στις εγκρίσεις και στους λογαριασμούς γράφεται στο αρχείο καταγραφής, αλυσιδωτά με κατακερματισμό, οπότε μια εγγραφή που τροποποιήθηκε, διαγράφηκε ή παρεμβλήθηκε εντοπίζεται και επισημαίνεται.

Δικλίδες ασφαλείας στις σαρώσεις

• Μια διεύθυνση σαρώνεται μόνο αφού εγκριθεί ή όταν ανήκει σε εύρος διευθύνσεων ή σε λογαριασμό νέφους που έχετε δηλώσει ως δικά σας.
• Οι ιδιωτικές διευθύνσεις δεν περιλαμβάνονται ποτέ σε σάρωση προς το διαδίκτυο.
• Οι σαρώσεις δεν περιλαμβάνουν δοκιμές άρνησης υπηρεσίας, παρεμβατικούς ελέγχους ή ελέγχους fuzzing και στέλνουν από προεπιλογή έως 50 αιτήματα ελέγχου ευπαθειών το δευτερόλεπτο ανά σύστημα.
• Η διεύρυνση του πεδίου σάρωσης απαιτεί πληκτρολογημένη επιβεβαίωση της ακριβούς αλλαγής και καταχωρίζεται στο αρχείο καταγραφής, ενώ το προηγούμενο αρχείο ρυθμίσεων φυλάσσεται ως αντίγραφο.

Εξερχόμενες συνδέσεις

Αναφορά ευπάθειας

Αναφέρετε μια ευπάθεια στο support@getvardion.com, που δημοσιεύεται και στο security.txt. Η δήλωση για την Πράξη για την Κυβερνοανθεκτικότητα περιγράφει πώς χειριζόμαστε κάθε αναφορά.