Lo que nos impide dañar su entorno.
La validación autónoma solo se gana su lugar si es seguro dirigirla a producción. Esta es la ingeniería que limita a Radius en un entorno en vivo, publicada para que usted la evalúe antes de autorizar nada.
Siempre activo
El interceptor de seguridad operativa no es un módulo.
No se puede desactivar para lograr una ejecución más rápida, un alcance mayor o una demo más impresionante. Cada llamada a una herramienta del agente pasa por las tres capas, todas las veces.
El interceptor de seguridad operativa
Tres capas de validación, en orden, antes de que cualquier acción llegue a su entorno.
01
Lista de bloqueo fija
Dieciocho patrones que no se pueden eludir y que ninguna configuración puede desactivar: operaciones destructivas en el sistema de archivos, bombas fork, shells inversas, mineros de criptomonedas y cualquier acción que apague un equipo.
Nadie puede desactivarla, ni nosotros ni usted
02
Lista de bloqueo personalizada
Sus propios patrones, limitados a su tenant y gestionados por sus administradores. Texto plano o expresiones regulares, y cada regla se activa o desactiva por separado.
Bajo su control
03
Reglas de enfrentamiento
Política por activo: qué direcciones y rangos están dentro del alcance, qué puertos, qué tipos de escaneo, qué exploits se permiten, y las ventanas horarias y fechas de exclusión que la ejecución debe respetar.
Acordadas antes de que empiece el trabajo
Si alguna capa bloquea una llamada, la llamada no se ejecuta y el bloqueo queda registrado junto con la capa que lo produjo.
Cada decisión queda por escrito
No solo las bloqueadas. Cada entrada registra qué se intentó, qué se decidió, por qué, y una instantánea de las reglas de enfrentamiento vigentes en ese momento.
Ese último campo es lo que permite usar el registro como evidencia meses después. No se le pide que confíe en que la política era correcta en su momento: la política queda guardada junto a la decisión que regía.
Se registra en cada decisión
- La acción
- Qué herramienta se invocó y con qué entrada.
- La decisión
- Permitida o bloqueada, y por qué capa.
- El motivo
- La regla o el límite que produjo el resultado.
- La política vigente
- Una instantánea de las reglas de enfrentamiento en ese instante.
Medido frente a una doctrina publicada
En lugar de pedirle que acepte nuestra propia versión de lo que significa probar de forma responsable, sometemos la plataforma a los límites que establece la guía de pruebas de penetración de la GSA de los Estados Unidos, CIO-IT Security-11-51 Rev 7:
- Ninguna acción fuera del límite acordado en las reglas de enfrentamiento.
- Ninguna persistencia que quede después de la ventana de pruebas.
- Ninguna vulnerabilidad nueva introducida en el entorno objetivo.
- Ninguna modificación de los logs del objetivo.
Para ser precisos sobre lo que es esto. CIO-IT Security-11-51 es una plantilla reconocible y verificable públicamente para realizar pruebas de forma segura. No es una certificación, no se nos audita según ella y no tiene autoridad regulatoria en América Latina. La citamos porque le permite exigirnos según la definición de comportamiento responsable de un tercero, en lugar de la nuestra.
¿Tiene preguntas antes de autorizar una prueba?
Envíelas. Preferimos responder una pregunta de seguridad difícil al principio que verla surgir después de firmar las reglas de enfrentamiento.
Hable con nosotros