Nul kritiske fund på vores egen platform

Vi rådgiver virksomheder og kommuner om hærdning, overvågning og mailsikkerhed. Så skal vores egen platform kunne tåle præcis det eftersyn, vi laver hos andre, og resultatet skal kunne kontrolleres af enhver, udefra, uden at spørge os. Ellers er rådgivningen ord.

Platformen er et WordPress-site, egen mailinfrastruktur, DNS, et bookingsystem og de administrative adgange bag det. Det er den samme opsætning, mange af vores kunder har, bare med os som kunde.

Vi gik frem som i et kundeforløb: angrebsfladen udefra og ind. Web-platformen, mail- og domæneopsætningen, DNS-laget og de administrative adgange blev kortlagt og prioriteret efter risiko. Det gav en liste, der lignede dem, vi laver til kunder: nogle ting var på plads, nogle var “sat op engang”, og nogle manglede. Til sidst bestilte vi en penetrationstest af platformen hos en ekstern part, så det ikke var os selv, der bedømte arbejdet.

Udadtil: DMARC på p=reject med strict alignment og 100 % dækning, SPF med hard fail, MTA-STS og TLS-rapportering, DNSSEC-signeret zone, CAA-begrænsning på certifikatudstedelse og et komplet sæt security headers med HSTS preload. Indadtil: SIEM, XDR og EDR på egen infrastruktur, mindst mulige rettigheder på alle administrative konti, MFA med hardware-nøgler, og administration af firewall og servere lukket for internettet.

Det meste af det er samme opskrift, vi sælger. Forskellen er, at vi har gjort det hele på én platform og ladet andre teste det.

Penetrationstesten gav nul kritiske og nul høje fund. Mail- og domæneopsætningen ligger på det højeste niveau, håndhævelsen tillader, og overvågningen kører på egen infrastruktur døgnet rundt. Det vigtigste er, at I ikke behøver tage vores ord for det: kør vores DMARC-tjek på auroa.dk, og tjek headers og DNSSEC på securityheaders.com og dnsviz.net. Det er den standard, vi holder kunderne op på, og den, vi holder os selv op på.