Kripto Envanteri

Bilmediğinizi koruyamazsınız.

Uygulamalarınızın hangileri hangi şifrelemeyi kullanıyor ve bunu kim değiştirebilir? Kriptografik bağımlılıkları tespit eder, bunları sistemlerinize ve sorumlulara eşleriz. Envanter, ileriki planlama için doğrulanabilir bir temel oluşturur.

Üstlendiklerimiz Projenizi görüşün

Kaynağı ve kapsamı belirtilmiş kripto envanteri · OTOKO® tarafından planlama ve uygulama

OTOKO®'ya verdiğiniz görev

Sizin için üstlendiklerimiz.

Bir ağ taraması, ulaşılabilir servisleri görür; ancak bir kuruluşun tüm kriptografisini görmez. İzin verilen tespit yöntemlerini bir araya getiririz: uç noktalar, sertifika envanterleri, kütüphaneler, yapılandırma ve sistem sorumlularıyla yapılan görüşmeler. Çevrimdışı imzalar, mobil cihazlar ve gömülü bileşenler de önemli olabilir. Sonuçlar, gözlemlenen kullanımı yalnızca kurulu olan yeteneklerden ayırt eder. Her bulgu, sonraki kararların belirsiz varsayımlara dayanmaması için kaynak ve zaman bilgisiyle kaydedilir.

Olası hizmet kapsamı

İnceleme kapsamını ve izin verilen tespit yöntemlerini belirlemek
Protokolleri, sertifikaları, kütüphaneleri ve anahtar kullanımlarını tespit etmek
Taramalardan, kod analizinden ve sistem dışa aktarımlarından elde edilen sonuçları birleştirmek
Bağımlılıkları ve incelenmeyen alanları işaretlemek
Envanterin güncellenmesini ve makine tarafından okunabilir bir dışa aktarımı hazırlamak

Somut kapsamı, sizin katkınızı ve kabul kriterlerini başlamadan önce belirleriz.

Anlaşılır teknik anlatım

Görevi şöyle hayata geçiriyoruz.

Kriptografiyi veriler ve uygulamalarla ilişkilendirmek

Kısaca CBOM olarak da bilinen Cryptography Bill of Materials, kriptografik bileşenleri ve bunlar arasındaki ilişkileri makine tarafından okunabilir biçimde tanımlar. Belirleyici olan, bileşenlerin kullanım amacıyla eşleştirilmesidir: bir sertifika bir bağlantıyı koruyabilir veya uzun vadede doğrulanabilir bir imzayı güvence altına alabilir. Sahipleri, değiştirilebilirliği ve üreticilere olan bağımlılıkları biz tespit ederiz. Ulaşılamayan veya incelenmeyen sistemler bir boşluk olarak görünür kalır. Bu sınıflandırma yapılmadan büyük bir veri dışa aktarımı, sağlam bir karar temeli oluşturmaz.

Envanteri proje sonrasında güncel tutmak

Kütüphanelerdeki, sertifikalardaki ve yapılandırmadaki değişikliklerin güncellemeye yansıması gerekir. Bunun için sorumlular ve güncelleme tetikleyicileri belirlenir. Kabul testinde gerçek sistemler üzerinde örnekleme kontrolleri yapar ve ulaşılan inceleme kapsamını belgeleriz. Üretim taramaları yalnızca onaylanmış çerçevede ve hassas bileşenler gözetilerek yapılır.

OTOKO®'nun Köln ofisindeki toplantı odası

Doğrulanabilir bir sonuç

Bununla çalışmaya devam edersiniz.

Kaynağı ve kapsamı belirtilmiş kripto envanteri
Uygulama bazında bağımlılık özeti
CBOM'un güncellenmesine yönelik yöntem

Devir, uygulamayı ve dokümantasyonu bir araya getirir. Üzerinde anlaşılan vakaları birlikte kontrol eder ve kalan görevleri kayıt altına alırız.

Projeniz ayrıntılarıyla

Kriptografiyi, geçiş engeline dönüşmeden önce bulmak.

Uygulamalarınızın ve altyapılarınızın nerede kriptografik algoritmalar kullandığını tespit ederiz. Sonuç; teknik bulguları iş anlamıyla, sorumlulukla ve bir değişikliğin hangi yolla mümkün olabileceğiyle ilişkilendirir.

Sertifikalardan ve herkese açık uç noktalardan fazlasını tespit etmek

TLS sertifikalarının yanı sıra kütüphaneleri, imza algoritmalarını, anahtar depolarını ve ürünlere gömülü işlevleri de inceleriz. Kaynak kod analizi, yapılandırma kontrolü ve teknik envanter çalışması birbirini tamamlayabilir. Hiçbir araç tüm bağımlılıkları tek başına göremez; bu nedenle kapsamı ve kalan belirsizlikleri açıkça belgeleriz.

Bir bulgu, bir sisteme ve sorumlu bir ekibe eşlenir. Önemli olan; algoritma, kullanım amacı, destekleyici bileşen ve korunan verilerdir. Kullanım amacı belirtilmemiş bir algoritma listesi, sonraki önceliklendirmede ancak sınırlı ölçüde yardımcı olur.

Değiştirilebilirliği ve bağımlılıkları envanterde kayıt altına almak

Kurum içinde geliştirilen yazılımları, yalnızca üretici güncellemeleriyle değiştirilebilen ürünlerden ayırt ederiz. Aynı şekilde uzun yaşam döngüsüne sahip cihazları ve dış iletişim ortaklarını da tespit ederiz. Soru yalnızca bugün nelerin kullanıldığı değil, bir geçişi kimin başlatıp kabul edebileceğidir.

Envanter için bir bakım süreci oluşturulur. Envanterin birkaç ay içinde güncelliğini yitirmemesi için yeni yazılımlar ve önemli değişiklikler kayıt altına alınmalıdır. Erişilemeyen sistemler için, görünürlük eksikliğini kriptografi eksikliği olarak yorumlamak yerine, açık kanıt taleplerini ve tedarikçilere yöneltilecek somut soruları kayıt altına alırız.

Örnek proje senaryosu

Hizmetin günlük işlere katkısı.

Örnek: Bir kurum web sertifikalarını bilir ancak bir arşiv sisteminin imza kütüphanesini bilmez. Envanter çalışması her ikisini de veri saklama ve üretici sorumluluğuyla ilişkilendirir. Böylece arşiv bağımlılığının, bir sonraki web sunucusu değişiminden daha uzun bir hazırlık süresi gerektirdiği görünür hale gelir.

Bu örnek olası bir süreci açıklar ve bir müşteri referansı değildir.

İlk adımdan önce

Kripto Envanteri hakkında sorularınız.

Bir tarama, başka kriptografi bulunmadığını kanıtlar mı?

Hayır. Yalnızca kendi kapsamı içindeki bulguları verir. Kod, çevrimdışı sistemler ve ulaşılamayan bileşenler başka tespit yöntemleri gerektirir.

SBOM ile CBOM arasındaki fark nedir?

Bir SBOM, yazılım bileşenlerini tanımlar. Bir CBOM ise geçiş planlaması açısından önemli olan kriptografik bileşenlere ve bağımlılıklara odaklanan bir bakış açısı ekler.

Projeniz

Hangi görevi çözmek istiyorsunuz?

Mevcut durumunuzu ve istediğiniz sonucu tanımlayın. Seçilen hizmet, iletişim talebinize aktarılır.

Bu hizmeti talep edin

Menü

Bilmediğinizi koruyamazsınız.