Przegląd bezpieczeństwa

Wprowadzenie

CERTYX zarządza certyfikatami, od których zależy zaufanie do Twoich usług. Dlatego bezpieczeństwo danych jest pierwszym wymaganiem, a nie dodatkiem. Ten przegląd opisuje w ogólny sposób, jak CERTYX chroni Twoje dane i Twoją infrastrukturę. Jest przeznaczony dla osób odpowiedzialnych za bezpieczeństwo, architektów i działów zakupów. Szczegóły konfiguracji zawierają instrukcja użytkownika, instrukcja instalacji agenta i przewodnik integracji SIEM; warunki umowne (poziomy usług, podmioty podprzetwarzające, okresy przechowywania, certyfikacje) określają umowa z klientem i umowa powierzenia przetwarzania danych.

Bezpieczeństwo w projekcie

Każdą część produktu kształtują trzy zasady:

To, co najbardziej wrażliwe, nigdy do nas nie trafia. Klucze prywatne zarządzanych certyfikatów, dane dostępowe do urzędów certyfikacji (CA) i dane dostępowe do chmury pozostają w Twojej infrastrukturze. CERTYX pracuje na certyfikatach publicznych, żądaniach podpisania certyfikatu i metadanych.

Każda organizacja jest oddzielona. Każda organizacja klienta ma własną bazę danych i własne role bazodanowe, a każde żądanie, zadanie w tle, agent i integracja są przypisane do dokładnie jednej organizacji.

Każda uprzywilejowana czynność zostawia ślad, który widzisz. Zmiany, zatwierdzenia, logowania i czynności naszych operatorów platformy trafiają do odpornego na manipulacje dziennika, który możesz przeglądać. Twój SIEM otrzymuje wyłącznie zdarzenia Twojej organizacji.

Izolacja Twojej organizacji

Osobna baza danych dla każdej organizacji. Inwentarz, polityki, plany, zadania i dziennik są przechowywane we własnej bazie danych, do której dostęp mają własne role bazodanowe. Wewnątrz wymuszone jest row-level security, więc nawet zapytanie bez filtra nie zwróci wierszy innej organizacji.

Izolacja także we wspólnej warstwie platformy. Nieliczne rekordy przechowywane centralnie (na przykład konta, ustawienia logowania firmowego, urządzenia mobilne, miejsca docelowe SIEM i źródła chmurowe) również chroni wymuszone row-level security dla każdej organizacji. Izolacja każdego magazynu danych jest weryfikowana próbami dostępu między organizacjami.

Organizacja wyłącznie z uwierzytelnionej sesji. Organizacja nigdy nie jest brana z parametru, który użytkownik mógłby zmienić. Procesy w tle, agenci, provisioning SCIM, logowanie firmowe i aplikacja mobilna są przypisane do swojej organizacji.

Twoje klucze i dane dostępowe zostają u Ciebie

Klucze prywatne powstają tam, gdzie są używane. Przy odnowieniu agent CERTYX na hoście docelowym (albo agent działający jako przekaźnik przez SSH dla hosta bez agenta) tworzy klucz i żądanie podpisania certyfikatu lokalnie. Klucz prywatny nigdy nie jest wysyłany do CERTYX; raporty zawierające materiał klucza prywatnego są odrzucane.

Twoje urzędy certyfikacji pozostają pod Twoją kontrolą. Wystawianie przez ACME, DigiCert CertCentral lub Twoje własne Vault PKI odbywa się z danymi dostępowymi, które zostają po Twojej stronie. Certyfikaty SSH podpisuje urząd certyfikacji na Twoim własnym hoście.

Sejfy chmurowe są odczytywane Twoją własną tożsamością. Certyfikaty z Azure Key Vault, AWS Certificate Manager i Google Certificate Manager są importowane tylko do odczytu, w Twojej własnej sesji wiersza poleceń. W CERTYX nie wpisuje się żadnych danych dostępowych do chmury.

Ochrona sekretów, które CERTYX musi przechowywać

Niektóre ustawienia wymagają sekretu na platformie, na przykład hasła do Twojego przekaźnika SMTP, tokenu SIEM, sekretu klienta logowania firmowego lub klucza aplikacji uwierzytelniającej.

Te sekrety są szyfrowane i powiązane z Twoją organizacją: wartości skopiowanej do rekordów innej organizacji nie da się tam odszyfrować.

Są tylko do zapisu: po zapisaniu nigdy nie są ponownie pokazywane, nie są zwracane przez API ani zapisywane w logach czy dzienniku.

W usłudze hostowanej klucze, którymi są szyfrowane, chroni dedykowany klucz w AWS KMS: każde odszyfrowanie jest rejestrowanym wywołaniem KMS, więc kopia bazy danych razem z plikami serwera nie wystarczy, aby je odczytać.

Agenci i łańcuch dostaw oprogramowania

Mutual TLS z zarejestrowaną tożsamością. Każdy agent potwierdza tożsamość własnym certyfikatem klienta. Agenta rejestruje się jednorazowym kodem ważnym dziesięć minut; nowo zarejestrowany agent sieciowy może tylko wyszukiwać, a uprawnienia do wdrożeń są nadawane osobno.

Wyłącznie połączenia wychodzące. Agenci łączą się z CERTYX; na Twoich hostach nie trzeba otwierać żadnego portu przychodzącego.

Lokalne ograniczenie zakresu. Agenci odrzucają zadania spoza skonfigurowanych u nich miejsc docelowych, niezależnie od tego, czego żąda serwer.

Podpisane pakiety i aktualizacje. Pakiety agenta mają podpis wydawcy, który instalator sprawdza z odciskiem uzyskanym niezależnie, i przy niezgodności odmawia instalacji. Automatyczne aktualizacje są podpisane kluczem wydań przechowywanym offline i przed zastosowaniem sprawdzane pod kątem integralności oraz ochrony przed obniżeniem wersji.

Powtarzalne kompilacje. Proces wydawania agenta buduje programy w sposób powtarzalny i dołącza do każdego pakietu wykaz składników oprogramowania (SBOM) oraz zapis kompilacji.

Logowanie i dostęp

Uwierzytelnianie wieloskładnikowe. Czynności administracyjne wymagają MFA. Kodów z aplikacji uwierzytelniającej nie da się użyć ponownie, a jednorazowe kody odzyskiwania są przechowywane wyłącznie jako skróty.

Klucze dostępu (passkeys). Odporne na phishing klucze dostępu (WebAuthn) mogą służyć jako drugi składnik przy logowaniu i do potwierdzeń.

Logowanie firmowe i provisioning. Microsoft Entra ID, Okta, dowolny dostawca OpenID Connect lub SAML 2.0, z nazwami użytkowników sprawdzanymi względem domen e-mail zweryfikowanych dla Twojej organizacji, oraz provisioning SCIM. Zmiany podnoszące rolę przez Twojego dostawcę tożsamości są zapisywane w dzienniku.

Listy dozwolonych sieci. Twoi administratorzy mogą ograniczyć logowanie do organizacji do zatwierdzonych adresów i zakresów IP (IPv4 i IPv6).

Sesje pod Twoją kontrolą. Sesje są krótkie i wygasają po bezczynności. Użytkownicy i administratorzy widzą aktywne sesje przeglądarki i aplikacji mobilnej i mogą natychmiast zakończyć pojedynczą sesję lub wszystkie pozostałe. Zmiana hasła, MFA lub konta kończy istniejące sesje.

Ochrona przed atakami siłowymi. Powtarzające się nieudane logowania blokują konto na coraz dłuższy czas, a powtarzające się błędy wywołują alert.

Role i zasada czterech oczu. Role Audytor, Operator i Administrator oddzielają odczyt, obsługę i administrację. Odnowienia i profile podpisywania SSH mogą wymagać zatwierdzenia przez drugiego administratora.

Urządzenia mobilne. Aplikacja mobilna CERTYX działa tylko na urządzeniach aktywowanych przez Twojego administratora jednorazowym kodem. Każde żądanie jest podpisywane kluczem z bezpiecznego sprzętu urządzenia, którego nie da się wyeksportować, a unieważnione urządzenie jest odrzucane przy następnym żądaniu.

Dostęp operatorów platformy: pod Twoją kontrolą

Pracowników CERTYX, którzy obsługują usługę hostowaną, obowiązują te same zasady co Twoich użytkowników, i dodatkowe:

Minimalne uprawnienia. Operatorzy mają odrębne role (wsparcie, sprzedaż, administracja bezpieczeństwem, administracja); każda rola widzi tylko obszary, których potrzebuje. Podniesienie roli operatora wymaga zatwierdzenia przez drugiego operatora.

Dodatkowe potwierdzenie (step-up). Zmiany w centrum sterowania dotyczące dostępu lub przepływu danych wymagają świeżego potwierdzenia MFA.

Najpierw Twoja zgoda. Utworzenie konta w Twojej organizacji, podniesienie roli, ponowne włączenie konta lub zresetowanie MFA wymaga zatwierdzenia przez jednego z Twoich administratorów. Jedyną alternatywą jest ograniczony w czasie tryb awaryjny (break-glass) z podanym powodem i drugim operatorem, a każde jego użycie jest zgłaszane e-mailem wszystkim Twoim administratorom.

Widoczne dla Ciebie. Każda czynność operatora dotycząca Twojej organizacji trafia do Twojego własnego dziennika bezpieczeństwa i jest widoczna w Twojej konsoli. Logi platformy nigdy nie trafiają do Twojego SIEM, a Twoje logi do innej organizacji: operator platformy ustawia dla logów platformy osobne miejsca docelowe.

Czego operatorzy nigdy nie dostają. Klucze prywatne oraz dane dostępowe do CA i chmury nie znajdują się na platformie, więc operatorzy nie mogą ich zobaczyć; zapisanych sekretów SMTP, SIEM i logowania firmowego nie da się odczytać przez żaden interfejs.

Dowody, audyt i SIEM

Odporny na manipulacje dziennik bezpieczeństwa. Każde zdarzenie istotne dla bezpieczeństwa jest powiązane z poprzednim skrótem kryptograficznym; konsola sprawdza integralność łańcucha i eksportuje dowolny przefiltrowany wybór jako CSV lub JSON. W usłudze hostowanej dziennik jest kotwiczony co godzinę: podpisana kotwica trafia do pamięci jednokrotnego zapisu, dzięki czemu późniejszą zmianę zakotwiczonych zdarzeń można wykryć niezależnie od bazy danych.

Eksport do SIEM w otwartych standardach. CEF, LEEF 1.0 i 2.0, syslog RFC 5424, NDJSON, Generic KV i CSV, z profilami schematu OCSF, Elastic Common Schema i Splunk CIM, do Splunk, Cribl, IBM QRadar, ArcSight, Elastic, Microsoft Sentinel, backendów OpenTelemetry lub Twojego własnego kolektora.

Zawsze szyfrowany transport. Eksport używa TLS ze sprawdzaniem certyfikatu i jego unieważnienia; obsługiwane są certyfikaty klienta (mutual TLS). Nieszyfrowany syslog nie jest oferowany.

Nic nie ginie po cichu. Sam dziennik jest kolejką dostarczania. Gdy odbiorca jest niedostępny, zdarzenia czekają, a przy utrzymujących się błędach pojawiają się alerty; odrzucone zdarzenia są zapisywane w dzienniku i można je wysłać ponownie po naprawie odbiorcy.

Każda zmiana zweryfikowana. Po wdrożeniu wynik jest niezależnie sprawdzany na działającym punkcie końcowym, a nieudane wdrożenie jest wycofywane.

AI Trust Analyst

AI Trust Analyst odpowiada zrozumiałym językiem na pytania o Twoje certyfikaty.

Jest wyłączony, dopóki administrator Twojej organizacji go nie włączy po zapoznaniu się z informacją o danych.

Działa wyłącznie przez narzędzia tylko do odczytu, ograniczone do Twojej organizacji; nie może niczego utworzyć, zmienić, zatwierdzić ani usunąć.

Każda odpowiedź wskazuje rekordy, z których skorzystała.

Klucze prywatne, hasła, tokeny, sekrety i pliki certyfikatów nigdy nie są wysyłane do dostawcy AI. Twój administrator decyduje, jak długo przechowywane są rozmowy, także że wcale.

Infrastruktura i eksploatacja usługi hostowanej

Hosting w UE. Usługa hostowana działa w regionie AWS Frankfurt (eu-central-1).

Szyfrowanie transmisji wszędzie. Ruch przeglądarki, aplikacji mobilnej, agentów i integracji używa TLS, w sieci web ze ścisłym wymuszaniem HTTPS (HSTS). Połączenia z bazami danych wewnątrz platformy też są szyfrowane, z pełną weryfikacją certyfikatu.

Wzmocniona aplikacja webowa. Ścisła polityka bezpieczeństwa treści (CSP), ochrona przed clickjackingiem i fałszowaniem żądań (CSRF), limity żądań i ogólne odpowiedzi o błędach bez szczegółów wewnętrznych.

Szyfrowane kopie zapasowe. Kopie zapasowe są szyfrowane szyfrowaniem uwierzytelnionym, zanim opuszczą serwer, i codziennie przesyłane do wersjonowanej pamięci jednokrotnego zapisu z 30-dniową blokadą retencji. Odtwarzanie sprawdza każdą część, zanim zmieni jakiekolwiek dane.

Dedykowane klucze szyfrujące i ślad audytowy. Baza danych, dyski serwera, magazyn kopii zapasowych i wydań oraz pierścień kluczy chroniący Twoje sekrety są szyfrowane dedykowanymi kluczami w AWS KMS, rotowanymi co roku. Czynności administracyjne na koncie chmurowym, w tym każde użycie tych kluczy, są zapisywane w chmurowym śladzie audytowym z walidacją plików dziennika, przechowywanym w osobnej, szyfrowanej pamięci jednokrotnego zapisu.

Kontrolowana administracja. Serwer usługi hostowanej nie jest dostępny przez SSH; dostęp administracyjny odbywa się przez audytowany kanał zarządzania. Wydania są wdrażane z oznaczonych kompilacji przez zautomatyzowany potok, z obrazami kontenerów przypiętymi skrótem i archiwami wydań weryfikowanymi sumą kontrolną.

Sprawdzona odporność. Awarie bazy danych, awarie instancji, odtwarzanie i przełączenie między dwiema instancjami przećwiczono w udokumentowanych testach na instalacji testowej; w teście przełączenia żadne żądanie klienta nie zakończyło się błędem.

Prywatność i RODO

Wskazany administrator danych. Polityka prywatności wskazuje administratora danych osobowych i sposób kontaktu.

Powierzenie przetwarzania. Warunki przetwarzania w Twoim imieniu (art. 28 RODO) są opublikowane na stronie o przetwarzaniu danych i określone w umowie powierzenia.

Bez śledzenia bez zgody. Publiczna strona domyślnie używa tylko niezbędnej pamięci przeglądarki. Opcjonalna analityka działa tylko po wyrażeniu zgody i nigdy na stronach logowania ani w konsoli. Bez reklam.

Warianty wdrożenia

CERTYX jest dostępny jako usługa hostowana obsługiwana przez CERTYX albo we własnym centrum danych lub koncie chmurowym. Wdrożenie na własnym koncie AWS może korzystać z tych samych zabezpieczeń chmurowych co usługa hostowana, z kluczami szyfrującymi i chmurowym śladem audytowym na Twoim koncie. Dział sprzedaży potwierdza, które warianty pasują do Twojego planu.

Kontakt

Strona: https://certyx.space

Sprzedaż: sales@certyx.space

Wsparcie techniczne i pytania dotyczące bezpieczeństwa: support@certyx.space

Podejrzenie podatności zgłoś na adres support@certyx.space.