Monitoring ekspozycji odpowiada na jedno pytanie: jak Twoja firma wygląda z zewnątrz — z perspektywy osoby, która chce ją sprawdzić, ominąć zabezpieczenia lub podszyć się pod jej markę. Poniżej pokazujemy realny kształt takiego raportu: zakres obserwacji, przykładowe (zanonimizowane) znaleziska i sposób, w jaki ustawiamy priorytety.
Co sprawdzamy
Całość opiera się na publicznie dostępnych sygnałach — bez logowania, bez agentów, bez dostępu do sieci wewnętrznej:
Domeny i DNS
Infrastruktura nazwowa firmy: rekordy, subdomeny, konfiguracja widoczna publicznie.
Certyfikaty TLS
Ważność, siła i zakres certyfikatów na stronach i usługach firmy.
Usługi widoczne z internetu
Otwarte porty i wystawione panele administracyjne, które nie muszą być publiczne.
Konfiguracja poczty
Rekordy SPF, DKIM i DMARC — czy domena da się podszyć w wiadomościach e-mail.
Wycieki credentiali
Publicznie znane dane logowania powiązane z domeną firmy, pochodzące z wcześniejszych wycieków.
Nagłówki bezpieczeństwa
Podstawowa higiena strony www: polityki bezpieczeństwa komunikowane przeglądarce.
Przykładowe znaleziska (zanonimizowane)
Tak wyglądają realne wyniki z raportów — uogólnione, bez danych identyfikujących klienta:
Panel zarządzania urządzeniem wystawiony do internetu
Co widzimy
Interfejs administracyjny urządzenia sieciowego osadzonego u dostawcy usług odpowiada na publiczny adres IP firmy, na standardowym porcie zarządzania.
Dlaczego to ryzyko
Panel tego typu bywa regularnie skanowany automatycznie i jest celem ataków na znane luki w oprogramowaniu urządzenia — zanim pojawi się jakakolwiek łatka.
Co zwykle rekomendujemy
Ograniczenie dostępu do panelu wyłącznie z sieci biurowej lub przez VPN, aktualizacja firmware'u i weryfikacja, czy usługa musi w ogóle być widoczna z zewnątrz.
Brak polityki DMARC — domena pozwala na podszywanie się w e-mailach
Co widzimy
Domena firmy ma skonfigurowany rekord SPF, ale brak rekordu DMARC oznacza, że serwery odbierające pocztę nie mają instrukcji, co robić z wiadomościami, które podszywają się pod tę domenę.
Dlaczego to ryzyko
To jeden z najczęstszych wektorów ataków na firmy: fałszywe faktury, wiadomości „od prezesa” i phishing wykorzystujące zaufanie do właściwej domeny.
Co zwykle rekomendujemy
Wdrożenie DMARC zaczynając od polityki monitorującej (p=none), następnie stopniowe zaostrzanie do quarantine po zweryfikowaniu, które systemy legalnie wysyłają pocztę z domeny.
Certyfikat TLS subdomeny wygasa za 9 dni
Co widzimy
Subdomena używana do poczty webowej ma certyfikat, który wygaśnie w ciągu najbliższych dni, a automatyczne odnowienie najwyraźniej nie działa.
Dlaczego to ryzyko
Po wygaśnięciu użytkownicy stracą dostęp do poczty, a przeglądarki zaczną wyświetlać ostrzeżenia — to także sygnał, że procesy utrzymaniowe w firmie wymagają porządku.
Co zwykle rekomendujemy
Naprawa automatycznego odnawiania certyfikatów i dodanie przypomnienia o terminie ważności do kalendarza utrzymania.
Jak czytamy priorytety
- P1 — pilne: znalezisko, które realnie zwiększa powierzchnię ataku lub pozwala podszywać się pod firmę. Warto działać w ciągu kilku dni.
- P2 — planowane: słabość konfiguracyjna lub higieniczna, która podnosi ryzyko, ale nie otwiera bezpośredniego wektora ataku. Warto uwzględnić w planie utrzymania.
- P3 — informacyjne: obserwacje do świadomości, bez oczekiwanego działania.
Priorytety opisujemy wprost w raporcie, z uzasadnieniem — decyzja o terminie naprawy zawsze należy do firmy.
Czego ten raport nie obejmuje
- To nie jest test penetracyjny — nie eksploatujemy luk i nie wchodzimy do sieci wewnętrznej.
- Raport nie ocenia stacji roboczych, sieci lokalnej ani procesów wewnętrznych firmy.
- Nie gwarantujemy wykrycia wszystkich luk — oceniamy wyłącznie to, co jest widoczne z zewnątrz.
- Raport nie jest opinią prawną ani certyfikatem zgodności z NIS2/KSC ani żadnym standardem. Wskazuje obszary warte głębszej weryfikacji.
Najczęściej zadawane pytania
Czy raport z monitoringu ekspozycji to test penetracyjny?
Nie. Monitoring ekspozycji to ocena tego, jak firma wygląda z zewnątrz — z perspektywy internetu. Nie wchodzimy do sieci wewnętrznej, nie eksploatujemy luk i nie łamiemy zabezpieczeń. To odrębna usługa od audytu bezpieczeństwa z autoryzacją.
Czy do wykonania raportu potrzebny jest dostęp do naszych systemów?
Nie. Raport opiera się wyłącznie na publicznie dostępnych sygnałach: konfiguracji DNS, certyfikatach TLS, usługach widocznych w internecie, konfiguracji poczty i publicznie znanych wyciekach credentiali powiązanych z domeną. Nie potrzebujemy logowań ani instalacji agentów.
Czy znaleziska w raporcie to prawdziwe dane klientów?
Nie. Wszystkie znaleziska na tej stronie są zanonimizowane i uogólnione. Pokazujemy typowy kształt wyników, bez danych identyfikujących żadną konkretną firmę.
Jak szybko można otrzymać raport?
Wstępny screening ekspozycji opiera się na publicznie dostępnych sygnałach i zwykle jest gotowy w kilka dni roboczych od rozpoczęcia współpracy. Termin zależy od zakresu — pojedyncza domena to inny nakład niż grupa spółek z wieloma domenami.
Czego raport z monitoringu ekspozycji nie obejmuje?
Raport nie obejmuje sieci wewnętrznej, stacji roboczych, testów eksploatacji luk ani oceny procesów w firmie. Nie jest też opinią prawną ani certyfikatem zgodności z NIS2/KSC — to wynik obserwacji zewnętrznej, który wskazuje obszary warte głębszej weryfikacji.
Chcesz zobaczyć własną ekspozycję?
Wstępny screening opiera się na publicznie dostępnych sygnałach — wystarczy nam domena, żeby pokazać, jak wygląda raport na danych Twojej firmy.
Skontaktuj się