Plataforma
Vestige
Vestígio é o rastro que se deixa ao passar. A plataforma executa continuamente o reconhecimento que um adversário faria contra a sua organização, e mostra o que ele conseguiria aprender.
Posicionamento
Não é mais uma plataforma
de monitoramento.
Olha para a internet procurando você.
Promessa infinita: encontrar o que existir. Impossível de comprovar, e sempre contestável por quem encontrar um item específico.
Olha para você, do lado de fora.
Promessa de exercício: executar o reconhecimento adversarial sobre o escopo que você declara, e demonstrar o que foi executado.
| Monitoramento | Vestige | |
|---|---|---|
| Objeto observado | A internet, varrida em busca de você | A sua organização, vista de fora |
| Unidade de valor | O alerta | A exposição, com o que o adversário faria com ela |
| Escopo | Indefinido por natureza | Declarado por você, e delimitado por ele |
| Organização | Por fonte de dado | Por tipo de exposição |
| Resultado negativo | Silêncio | Informação entregue |
| Métrica de sucesso | Volume de detecções | Queda da exposição descobrível |
A fundação
Você declara
o que importa.
A plataforma não decide sozinha o que é crítico para a sua organização. Você registra os elementos cuja descoberta por um adversário causaria dano, e o reconhecimento é executado contra essa declaração.
Sem esse registro, uma credencial exposta é apenas uma credencial exposta. Com ele, ela é, ou não é, um caminho até algo que você declarou importar.
O registro é construído em sessão conduzida pela Kryfal, e não delegado ao preenchimento autônomo. Registro genérico produz reconhecimento genérico.
O diferencial
Ausência de achado
também é resposta.
Uma plataforma de detecção não consegue provar que não existe. Uma plataforma de execução consegue provar o que executou.
A conversa que isso transforma
Quando você aponta uma exposição que não foi identificada, ela ou estava no escopo declarado, e há falha de execução a corrigir, ou não estava, e o item é incluído no registro com os procedimentos correspondentes.
A discussão deixa de ser cobrança e passa a ser ajuste conjunto de escopo.
Arquitetura
Organizado pela pergunta,
não pela origem do dado.
O responsável pela decisão não pergunta o que apareceu na dark web. Ele pergunta o que um adversário sabe sobre a diretoria.
Pessoas
Quem são os alvos viáveis e o que se descobre sobre eles, em análise individual e agregada.
Superfície
O que da infraestrutura está visível e o que a resposta de cada serviço revela.
Operacional
O que a organização publica que revela como opera. Não tem equivalente na categoria.
Terceiros
Que caminho até você a exposição de fornecedores abre.
Identidade
Quem consegue se passar pela organização e com que credibilidade.
Disponibilidade
Em construção.
Vestige está sendo construído. Organizações interessadas em participar da fase inicial podem registrar interesse e serão contatadas quando as primeiras vagas abrirem.
Enquanto isso, o OPSEC Audit entrega o mesmo reconhecimento em formato de projeto, com escopo fechado e prazo definido.