Cyberförsäkring: vad försäkringsbolaget kan se om er domän

Den som tecknar en cyberförsäkring får oftast svara på frågor från försäkringsbolaget eller mäklaren: om säkerhetskopior, flerfaktorsautentisering, uppdateringar och utbildning. Många tittar också på företaget utifrån. Er domän, er e-postkonfiguration, era webbplatser och de tjänster ni exponerar mot internet är öppna, och vem som helst kan läsa av dem utan att fråga er.

Den här guiden förklarar vad som går att se på det sättet, varför ett försäkringsbolag tittar, hur ni kontrollerar er egen domän innan de gör det och vilka åtgärder som gör störst skillnad. Den beskriver bedömning utifrån i allmänhet. Den beskriver inte hur något enskilt försäkringsbolag arbetar, och ett bättre resultat är inget löfte om bättre villkor eller lägre premie.

Varför försäkringsbolag tittar utifrån

Ett ansökningsformulär visar vad ett företag säger om sig självt. En bedömning utifrån visar en del av hur det faktiskt är konfigurerat, just när någon tittar. De två kompletterar varandra.

För försäkringsbolaget har vyn utifrån praktiska fördelar. Den kräver inget av den som söker försäkring, den går snabbt och den kan göras på samma sätt för varje företag. Den visar också det angripare ser först: exponerade tjänster, förfalskad e-post och program med kända utnyttjade sårbarheter på publika servrar.

För er är följden enkel. Allt på det öppna internet som är felkonfigurerat kan komma upp i ett samtal om er risk, oavsett om ni kände till det eller inte.

Det här syns utifrån

TrustSek delar in det öppna underlaget i sex moduler. De ger en bra bild av vad den som bedömer er domän utifrån kan hitta. Varje modulsida listar de fynd modulen kan ge.

E-postsäkerhet

Om er domän publicerar SPF, DMARC och DKIM, och om de faktiskt stoppar förfalskad e-post. En DMARC-post med p=none finns, men ber mottagarna att inte göra något, så falska fakturor i ert namn når fortfarande inkorgen. Modulen omfattar också MTA-STS, TLS-rapportering, CAA, DNSSEC och redundanta namnservrar. Se e-postsäkerhet.

TLS och webbhygien

Om era webbplatser använder HTTPS med giltiga certifikat som inte är på väg att gå ut, moderna protokollversioner och chiffer, omdirigering från HTTP till HTTPS och säkerhetsheaders som HSTS. Många säger fortfarande SSL-certifikat, men det är TLS som används i dag. TLS 1.0 och 1.1 är formellt utfasade (RFC 8996), så att de fortfarande erbjuds är ett synligt tecken på gammal konfiguration. Se TLS och webbhygien.

Ransomware-exponering

Om er organisation pekas ut på en leak site, där ransomwaregrupper publicerar namnen på organisationer de säger att de har angripit. TrustSek hämtar uppgifterna från två oberoende bevakningstjänster och matchar namn försiktigt. Se ransomware-exponering.

Rykte

Om er domän eller dess IP-adresser förekommer i threat intelligence eller på listor över skadlig kod, phishing eller botnät. En listning kan bero på en kapad webbplats, ett kapat e-postkonto eller en granne på samma delade webbhotell. Se rykte.

Sårbarheter

Vilka programversioner era publika servrar visar utåt, och om de versionerna har kända sårbarheter. Högst prioritet får sårbarheter i CISA:s katalog Known Exploited Vulnerabilities, som har utnyttjats i verkliga angrepp, och sådana med högt EPSS-värde, en uppskattning av hur sannolikt det är att de utnyttjas de närmaste 30 dagarna. Det är en jämförelse av versioner utifrån, inte en sårbarhetsskanning som aktivt testar era system och inte ett penetrationstest. Se sårbarheter.

Attackyta

Hur stor er närvaro på internet är: antalet subdomäner, värdnamn som tyder på administrationsgränssnitt, testmiljöer eller fjärråtkomst, andra tjänster än webben som är öppna mot internet, domänens ålder och registrerade lookalike-domäner som kan användas för phishing i ert namn. Se attackyta.

Alla verktyg läser inte alla källor. Vissa hotlistor och portdata kräver licens, och olika verktyg väger samma underlag olika, så två bedömningar av samma domän kan skilja sig åt. Det som inte ändras är underlaget: posterna ni publicerar och tjänsterna ni exponerar. Det är genom att rätta det underlaget som varje bedömning utifrån blir bättre, oavsett vem som tittar.

Kontrollera er egen domän först

Det är bättre att hitta de här sakerna själva än att få höra om dem på ett förnyelsemöte. En praktisk arbetsordning:

1. Kontrollera er huvuddomän. Använd den gratis domänkontrollen. Den kräver ingen åtkomst och inget att installera.
2. Titta på täckningen före poängen. Varje källa hamnar i ett av lägena Träff, Ingen träff, Misslyckades eller Ej kontrollerad. Bara Ingen träff betyder rent. En källa som inte kontrollerades säger ingenting åt något håll.
3. Läs varje fynd. Varje fynd anger vad som testades, varför det spelar roll, vilken konsekvens det kan få och hur ni åtgärdar det. Skicka dem vidare till den som sköter systemet i fråga: er IT-partner, er webbyrå eller den som administrerar er e-post.
4. Kontrollera era andra domäner. Varumärkesdomäner, gamla företagsnamn och domäner för andra länder glöms ofta bort, och de är lika öppna.
5. Spara underlaget. Anteckna vad ni åtgärdade och när. Tar försäkringsbolaget upp något ni redan har rättat, är det bra att kunna visa när ändringen gjordes.

Poängen är en multiplikator på en baslinje, placerad i ett av fyra riskband. Metoden förklarar hur den räknas fram och vilka begränsningar den har.

Det här gör störst skillnad

Fynden rangordnas efter allvarlighetsgrad: Kritisk, Hög, Medel och Låg. Börja uppifrån. Kritiska fynd och fynd med allvarlighetsgrad Hög beskriver en verklig, aktuell svaghet som angripare använder direkt. Medel och Låg handlar om härdning.

Först: det som är fel just nu.

• En känd utnyttjad sårbarhet på en publik server. Uppdatera eller patcha komponenten, eller ta bort tjänsten från internet.
• En webbplats som levereras helt utan kryptering. Använd HTTPS med ett giltigt certifikat.
• En listning för phishing eller skadlig kod. Ta reda på varför: en kapad webbplats eller ett kapat e-postkonto måste rensas innan listningen försvinner.
• En uppgift om er på en ransomwaregrupps leak site. Gäller den er, är det en incident att hantera tillsammans med försäkringsbolaget, inte en konfigurationsfråga. Gäller den en annan organisation med liknande namn, kan ni förklara det.

Sedan: skydd som angripare regelbundet utnyttjar.

• Ingen DMARC-post, eller en SPF-post som godkänner alla avsändare. Då kan vem som helst skicka e-post i ert namn. Publicera DMARC och gå till en skarp policy; vår guide om DMARC från p=none till p=reject visar hur.
• Utgångna, snart utgående eller självsignerade certifikat, och svaga chiffersviter.
• Tjänster för fjärråtkomst, databaser eller administration som är öppna mot internet. Lägg dem bakom VPN eller begränsa vilka adresser som når dem.

Sist: härdning. Gamla TLS-versioner, HSTS och andra säkerhetsheaders, en DMARC-policy som fortfarande är p=none, CAA-poster, MTA-STS, DNSSEC och bortglömda subdomäner. Var för sig är de små; tillsammans visar de att någon tar hand om domänen.

Det här syns inte utifrån

Några av de viktigaste skydden syns inte från internet. En kontroll kan inte se om ni använder flerfaktorsautentisering, om era säkerhetskopior är frånkopplade och testade, om datorerna har skydd mot skadlig kod, om personalen är utbildad eller om ni har en plan för incidenthantering. Därför frågar försäkringsbolagen fortfarande om dem i ansökan, och därför är en poäng utifrån inte hela bilden av er risk.

Även ett rent resultat har sina gränser. Kontrollen läser det som är öppet vid ett enda tillfälle, och inga fynd betyder inte att ni är säkra. Sårbarheter bedöms utifrån de versioner som visas utåt, så en rättning som gjorts utan att versionsnumret ändrats syns inte. Metoden listar alla begränsningar.

Sitter ni på andra sidan bordet och bedömer domäner som ni inte själva äger? Läs mer under lösningar för försäkringsbolag och mäklare. Begrepp som riskmultiplikator, baslinje och lookalike-domän förklaras i ordlistan.

Se vad er domän visar utifrån

Gör samma slags kontroll av er egen domän och åtgärda det den hittar innan någon annan tittar.

Er domän

Kontrollera er domän

Gratis, inget konto behövs. Tar ungefär 30 sekunder.