example.test

Metoda Ve veřejném DNS kontrolujeme MX, SPF, DMARC, DNSKEY, MTA-STS a osm běžných selektorů DKIM. Při selhání resolveru používáme nezávislý resolver.

Co výsledek znamená Chybějící nebo příliš benevolentní e-mailové politiky mohou oslabit ochranu proti zneužití identity domény. Před zpřísněním politiky je nutné zmapovat oprávněné odesílatele.

Rozsah a omezení Kontroly DNSKEY a MTA-STS ověřují pouze přítomnost záznamů. Hledání DKIM pokrývá běžné selektory, nikoliv všechny možné. Výsledky pocházejí z rekurzivních DNS dotazů, nejde o audit autoritativní zóny.

Ověření po nápravě Po rozšíření DNS změn opakujte kontroly a ověřte doručování od všech oprávněných odesílatelů.

Metoda Porovnáváme veřejné odpovědi Microsoft Realm a OpenID, DNS Autodiscover a vybrané DNS vazby na Azure.

Co výsledek znamená Veřejná metadata tenantu identifikují přítomnost služby. Neprokazují slabinu v řízení přístupu k tenantu.

Rozsah a omezení Nekontrolujeme přihlášení do tenantu, MFA, Conditional Access ani interní konfiguraci Azure. Ověřeně nepřítomný tenant do skóre nezahrnujeme.

Ověření po nápravě Se správcem ověřte vlastnictví tenantu a interní ochrany. Po změnách DNS zopakujte veřejné vyhledání.

Metoda Připojujeme se na port 443 pomocí SNI a s ověřením certifikátu. Zaznamenáváme dohodnutý protokol a platnost certifikátu. Pokud není dostupné spojení na hlavní doménu, zkoušíme www.

Co výsledek znamená Chyby ověření certifikátu nebo blížící se konec platnosti mohou narušit důvěryhodný přístup přes HTTPS. Nálezy obnovy používají hranice pod 14 a pod 30 dní.

Rozsah a omezení Jedno dohodnuté spojení neodhalí všechny podporované protokoly ani slabé šifry. HSTS preload ani kompletní konfiguraci TLS netestujeme.

Ověření po nápravě Po obnově certifikátu nebo změně konfigurace zopakujte ověřované spojení na stejné hostitelské jméno.

Metoda Kontrolujeme šest bezpečnostních hlaviček konečné úspěšné HTTP odpovědi. Podle potřeby zkoušíme HTTPS, www a HTTP. Direktiva CSP frame-ancestors může splnit kontrolu ochrany proti vložení do rámce.

Co výsledek znamená Chybějící hlavičky odstraňují ochrany prohlížeče, samy však neprokazují zneužitelnou zranitelnost aplikace.

Rozsah a omezení Výsledek popisuje měřenou odpověď, nikoliv všechny stránky nebo přihlášené průchody. Odpovědi s omezeným přístupem nepovažujeme za důkaz chybějících hlaviček. Přítomnost hlavičky není úplným auditem její politiky.

Ověření po nápravě CSP nejprve nasaďte v režimu report-only, otestujte formuláře a integrace, poté politiku vynuťte a zopakujte kontrolu stejné URL.

Metoda Zkoušíme TCP spojení na 37 portů až čtyř veřejných DNS adres a pozorování doplňujeme dostupnými záznamy Shodan. Bannery čteme pasivně a v omezeném rozsahu.

Co výsledek znamená Veřejné databázové nebo administrační porty vyžadují kontrolu přístupu. Samotný otevřený port SSH je informativní. CVE od poskytovatele vyžaduje ověření systému a jeho aktualizací.

Rozsah a omezení Nepoužíváme hesla, exploity, plošné UDP testování ani kontrolu všech portů. DNS adresy mohou patřit CDN nebo sdílenému hostingu. Pozorování poskytovatele může pocházet z doby před tímto scanem.

Ověření po nápravě Ověřte vlastnictví systému, omezte nepotřebnou dostupnost, prověřte použitelnost aktualizací výrobce a zopakujte kontroly stejných koncových bodů.

Metoda Kombinujeme zdroje transparentnosti certifikátů, veřejné záznamy hostitelů a omezenou sadu DNS prefixů. Zobrazený inventář je omezen na 100 jmen.

Co výsledek znamená Větší veřejný inventář vyžaduje kontrolu vlastnictví a životního cyklu systémů; neprokazuje kompromitaci subdomény.

Rozsah a omezení Jména z certifikátů mohou být historická. Uvedené jméno nepotvrzuje živou službu ani úplný inventář systémů.

Ověření po nápravě Před vyřazením systému ověřte vlastnictví, aktuální DNS a stav služby.

Metoda U poskytovatele hledáme úniky přihlašovacích údajů související s doménou. Oddělujeme zaměstnance, zákazníky a třetí strany i přesné a přibližné počty.

Co výsledek znamená Hlášený únik údajů účtů vyžaduje prošetření, případné zneplatnění přihlašovacích údajů a kontrolu ochrany přihlašování.

Rozsah a omezení Pokrytí je omezeno databází poskytovatele. Negativní odpověď znamená, že v kontrolovaném zdroji nebyly objeveny záznamy; nezaručuje neexistenci úniku. Hesla nestahujeme.

Ověření po nápravě S vlastníkem ověřte dotčené skupiny účtů, zneplatněte uniklé přihlašovací údaje a prověřte MFA i správu relací.

Metoda Dotazujeme nakonfigurované zdroje VirusTotal a URLhaus a porovnáváme DNS Cloudflare s filtrováním malwaru proti nefiltrovanému DNS.

Co výsledek znamená Klasifikace hrozeb může ovlivnit dostupnost a reputaci. Je podnětem k prošetření, nikoliv důkazem úspěšné kompromitace.

Rozsah a omezení Výsledky platí pro kontrolované zdroje v zaznamenaném čase. Filtrování DNS není kontrolou obsahu. Nedostupný zdroj nepotvrzuje čistý výsledek.

Ověření po nápravě Prověřte dotčený web a DNS, odstraňte potvrzené problémy a při nesprávné klasifikaci požádejte poskytovatele o přezkoumání.