Så beräknas poängen
Så blir en domän en poäng: baslinjen, de sex modulerna och deras vikter, hur fynd ökar risken och vad poängen inte kan se.
Senast granskad
TrustSek bedömer en organisations cyberrisk utifrån. Ni anger en domän, vi samlar in öppet tillgängliga uppgifter om den och tjänsterna bakom den, och det vi hittar blir fynd och en poäng. Ingenting installeras och ingenting i ert nätverk berörs.
Poängen är varken ett betyg från A till F eller en skala till 100. Den är en multiplikator på en baslinje: den säger hur mycket högre risken är än för en genomsnittlig organisation. Första avsnittet nedan visar hur det fungerar, med ett exempel.
Den här sidan förklarar metoden med vanliga ord. Varje siffra kommer från poängmotorn, och varje poäng sparar vilken policyversion som gav den, så att en ändrad metod aldrig misstas för en förändring hos domänen. Begreppen förklaras i ordlistan.
Vad poängen står för
Vi utgår från en baslinje: en 2 % risk att en genomsnittlig organisation drabbas av en cyberincident under ett år. Poängen är en multiplikator på den baslinjen. Den börjar på 1,0×, alltså baslinjen, där en domän utan fynd hamnar; fynd kan bara höja den. 3,0× betyder ungefär tre gånger så stor sannolikhet.
Varje fynd lägger till risk i sin modul: fyndets allvarlighetsgrad (av 100) gånger hur mycket den typen av fynd bidrar, gånger hur säkra vi är på fyndet. Modulernas risk vägs med modulvikterna nedan, och multiplikatorn är 1,0 plus 10 gånger den viktade risken. Den årliga sannolikheten begränsas till högst 95 %, eftersom ingen modell ska påstå att något är säkert.
Vissa fynd är så allvarliga att de ensamma sätter en lägsta poäng, förutsatt att vi är minst 70 % säkra på dem:
- Ett fynd med allvarlighetsgrad 95 eller högre ger minst 5,0×.
- Ett fynd med allvarlighetsgrad 90 eller högre ger minst 3,5×.
Riskband
- Låg under 2,0×
- På eller nära baslinjens risk.
- Medel från 2,0×
- Förhöjd risk; åtgärder rekommenderas.
- Hög från 5,0×
- Betydande säkerhetsbrister.
- Kritisk från 15,0×
- Allvarliga problem som kräver åtgärd direkt.
De sex modulerna
20 %
SPF, DMARC, DKIM, MTA-STS, TLS-RPT, CAA, DNSSEC och redundanta namnservrar.
20 %
Om HTTPS används, certifikat, protokollversioner och chiffer, omdirigeringar, säkerhetsheaders och cookieflaggor.
20 %
Uppgifter på ransomwaregruppernas leak sites som pekar ut organisationen, från två oberoende bevakningstjänster.
15 %
Domänen och dess IP-adresser i threat intelligence och på listor över skadlig kod, phishing och botnät.
15 %
Programversioner som tjänsterna visar utåt, jämförda med kända utnyttjade och publicerade sårbarheter.
10 %
Subdomäner, riskabla värdnamn, öppna portar utöver webben, domänens ålder och lookalike-domäner.
Vikter enligt poängpolicy v2.1.0. Varje körning sparar vilken policyversion som gav poängen.
Fyndens allvarlighetsgrad
Varje fynd har en allvarlighetsgrad från 0 till 100. Exemplen är verkliga fynd från poängmotorn. Fynden står på engelska, så som TrustSek rapporterar dem i dag.
- Kritisk
90 till 100
- No HTTPS: website served without encryption 95
- TLS certificate on malware blacklist 95
- Active ransomware claim: domain listed on leak site 95
- Hög
70 till 89
- High-Risk threat categories identified 88
- Recent malware indicator match 88
- Domain flagged for malware by Google Safe Browsing 85
- Medel
40 till 69
- Insufficient nameservers 65
- Weak TLS version 65
- Insecure cookie configuration 65
- Låg
0 till 39
- No web service detected 35
- TLS reporting not configured 30
- Software versions disclosed in responses 30
Källor och täckning
Bara öppna, icke-intrusiva källor. Vi gör inga penetrationstester och skickar inga oombedda skanningar. Varje källa avslutar en körning i ett av fyra lägen, och bara ett av dem betyder att allt är rent.
- TräffKällan svarade och gav underlag.
- Ingen träffKällan tillfrågades och hade inget om domänen. Det är det enda läget som betyder rent.
- MisslyckadesKällan returnerade ett fel eller svarade inte i tid. Inget kunde utläsas, och det tolkas inte som rent.
- Ej kontrolleradKällan tillfrågades inte, till exempel för att den kräver en licensnyckel som inte är inlagd.
En källa som misslyckades eller inte kontrollerades påverkar inte poängen. Den syns i stället som täckning, direkt bredvid siffran.
Hämtas direkt
- DNS
- TLS
- HTTP
Threat intelligence
- AlienVault OTXLicensnyckel
- URLhausLicensnyckel
- Google Safe BrowsingLicensnyckel
- AbuseIPDBLicensnyckel
- ThreatFoxLicensnyckel
- Feodo Tracker
- abuse.ch SSLBL
- Phishing.Database
Utsatthet
- ransomware.live
- RansomLook
Sårbarheter
- Retire.js, NVD, CISA KEV, EPSS, OSV
Attackyta
- NetlasLicensnyckel
- Team Cymru
- mnemonic
- WHOIS
- Lookalike-domäner
Konfidens
Varje fynd har en konfidens som anger hur starkt underlaget är. En körnings konfidens är ett genomsnitt av fyndens konfidens, viktat efter hur mycket varje fynd bidrar, och visas som Hög (från 0,75), Medel (från 0,5) eller Låg.
- Sårbarhet matchad på en version som syns utåt0,8
- Samma sak, för programvara som ofta bakåtporterar rättningar (Apache, nginx, PHP)0,6
- Subdomäner från två CT-loggar / en / ingen0,9 / 0,8 / 0,3
- Uppslag av subdomäner som nådde taket på 200 namn0,6
Hur aktualitet räknas
- Uppgift på en leak site för ransomwareInom 12 månader: allvarlighetsgrad 95 (lägsta poäng gäller). Äldre: 75.
- Threat intelligence-rapporter (OTX) och observationer i ThreatFoxAktivitet inom 30 dagar ger ett eget fynd med högre allvarlighetsgrad.
- Listningar i URLhaus och FeodoAktiva listningar väger tyngre än gamla.
- Anmälningar om missbruk av IP-adresserRäknas över de senaste 90 dagarna.
- Certifikatets giltighetstidFlaggas när mindre än 30 dagar återstår.
- Domänens ålderMycket nya och nyligen registrerade domäner flaggas; åldern läses från WHOIS.
Vad poängen inte kan se
- Matchningen mot ransomware är medvetet försiktig: ett organisationsnamn jämförs bara med offrets namn eller inläggets rubrik, aldrig med den löpande texten, eftersom texterna på leak sites ofta nämner andra företag. Ett offer som listas under ett handelsnamn som vi inte känner till kan missas.
- Sårbarheter upptäcks icke-intrusivt och utifrån versionsnummer: vi läser det som webbplatsen visar utåt. En bakåtporterad rättning syns inte, så en distribution som rättar utan att ändra versionsnumret kan rapporteras som sårbar. Träffar som bara bygger på versionen får högst 80 % konfidens, och högst 60 % för programvara som ofta bakåtporterar rättningar.
- Igenkänningen av teknik täcker vanliga plattformar, inte alla ramverk. Att ingen teknik upptäcks är alltså inget bevis för att ingen finns.
- DKIM saknar ett sätt att lista nycklar, så selektorer hittas genom att 58 vanliga namn provas. En domän som använder en ovanlig selektor kan rapporteras som om den saknade DKIM; antalet provade namn sparas med varje körning.
- Antalet subdomäner inkluderar namn som skapas av en wildcard-post i DNS. Kartan grupperar dem efter adress så att den verkliga storleken syns, men fyndet om många subdomäner räknar fortfarande varje namn.
- Rykte i threat intelligence knyts till domännamnet som text. Threat intelligence-rapporter som bara nämner en välkänd domän kan därför blåsa upp dess fynd om rykte.
- Baslinjen på 2 % och modulvikterna är policy, inte mätning. Varje körning sparar vilken policyversion som gav poängen, så att en ändrad policy aldrig misstas för en förändring hos domänen.