Mõõtmispoliitika Basic security.co.uk

Disclaimer: Het origineel van deze pagina geschreven in het Nederlands. Deze pagina is automatisch vertaald naar andere talen met behulp van DeepL. Dit kan leiden tot verschillen in nuance, toon en betekenis. Raadpleeg bij twijfel altijd eerst de Nederlandse versie. Door de hoge kosten van vertalingen kan het zijn dat deze pagina inhoudelijk achter loopt met de Nederlandse versie. Wij beschouwen de Nederlandse versie van deze pagina als leidend.

Põhiturvalisuse meetmed ja avaldab kõik mõõtmised, mis on seotud veebiturvalisusega, mille avaldamise eest vastutavad, täpsemalt avaldamispoliitikas. Kasutame ka meie tegevusjuhendis esitatud kaalutlusi, et määrata kindlaks, millised mõõtmised lisatakse.

Selles artiklis on loetletud, milliseid mõõtmisi tehakse milliste tehnikate ümber. Nende täielik loetelu koos viidetega on pealkirja “Ülevaade kõigist mõõtmistest” all.

See mõõtmispoliitika areneb pidevalt ja reageerib uutele arengutele. Käesolevast mõõtmispoliitikast on mitmeid erandeid, mida on kirjeldatud mõõtmispoliitika erandites.

Palun lugege enne mõõtmisandmete kasutamist meie vastutuse välistamist. Kui teil on küsimusi, võtke palun ühendust aadressil info@internetcleanup.foundation.

Selles artiklis märgitakse:

• Teave mõõtmiste ajakohasuse kohta
• Kuidas mõõtmisi hinnatakse aja jooksul rangemalt (teekaart).
• Ülevaade kõikidest üksikmõõtmistest
  • Sisaldab linke dokumentatsiooni ja testimisvahendite kohta

Mõõtmiste õigeaegsus

Mõõtmisi tehakse iga päev kuni nädalas, see sõltub mõõtmiste keerukusest ja intensiivsusest. Ühekordne inventuurimõõtmine viiakse läbi kord kuue kuu jooksul, sest see on mürarikas, kordusmõõtmine toimub kord nädalas.

Mõõtmiste sageduse tõttu ei ole aruannetes sisalduvad andmed tavaliselt kunagi vanemad kui nädal. Kui see on nii, siis toimub midagi erilist. Töötame veel selle funktsionaalsuse kallal, et aruannetes ei ilmuks kunagi üle kahe kuu vanuseid mõõtmisi, ja vähendame seda kestust maksimaalselt ühe kuuni.

Üksikasjalikus aruandes on alati näha, kui vana on mõõtmine. See on näidatud iga mõõtmise allosas. Seega näete alljärgnevas näites, et mõõtmine on olnud sama juba 22 päeva ja et viimane mõõtmine toimus 1 päev tagasi.

Lisaks on igal kaardil näidatud kaardi andmete kvaliteet. See ülevaade näitab, millised mõõtmised on tehtud ja kui paljud neist on ajakohased / aegunud. Selles ülevaates loetakse üle 7 päeva vanad mõõtmised vananenudeks. Seda on näha ka alljärgnevas näites.

Andmete kvaliteet on kaardil vasakus ülanurgas oleva tulba all. See pall on värviline sõltuvalt kvaliteedist. Kui see on oranž või punane, on midagi valesti. Tavaliselt on see roheline täpp. Kui kõik on ajakohane, on siin vikerkaar.

Karmistamise mõõtmiste teekaart

Aja jooksul toimub rangem järelevalve. Näiteks mõned leiud on praegu rohelised või oranžid, kuid muutuvad tulevikus punaseks.

Uus näit esitatakse sageli oranži või rohelisena, et inimesed saaksid sellega harjuda ja tegutseda, enne kui see muutub punaseks.

Selle tegevuskava on endiselt killustatud ja kehtestamata. Üksikute mõõtmiste tutvustamisel on sageli sellest juttu. Seda teavet alles kogutakse.

Ülevaade kõigist mõõtmistest

Siin on ülevaade kõigist mõõtmistest, hindamistest, dokumentatsioonist ja tööriistadest, millega ennast mõõta. Kui kõiki neid rakendatakse õigesti, pannakse organisatsioon roheliselt kaardile.

Kui organisatsioon jälgib oma võrguteenuseid ja minimeerib neid, ei ole liiga raske jõuda oranži või isegi rohelise tasemeni.

Turvaline domeeninimi (DNSSEC)

• Eesmärk: tagada kindlus domeeninime ja veebilehe sisu kohta.
• Raskeim hinnang: Punane
• Mõõdetud tööriistaga: dnssec.pl
• Dokumentatsioon: internet.co.uk, OpenCRE, Vikipeedia
• Kontrollida saab: Zonemaster, internet.co.uk, verisign labs, DNS Visualizer: Zonemaster, internet.co.uk, verisign labs, DNS Visualizer

# level: url
dnssec

TLS veebisaidil (HTTPS)

• Eesmärk: rakendada krüpteerimist: et veebisaidi külastamine on konfidentsiaalne ja terviklik. Kontrollida, et usaldus on korras ja et krüpteerimisel ei ole haavatavusi.
• Raskeim hinnang:Punane
• Mõõdetud koos: Qualys SSL Labs
• Dokumentatsioon: TLS seaded, Wikipedia, digitaalse valitsuse seadus
• Mõõdetakse: SSL Labs

# level: endpoint
tls_qualys_encryption_quality
tls_qualys_certificate_trusted

Sait ilma krüpteerimiseta (HTTPS)

• Eesmärk: krüpteerimise kohaldamine, sama nagu TLS veebisaidil.
• Raskeim hinnang:Punane
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: TLS seaded, Wikipedia, digitaalse valitsuse seadus
• Mõõdetakse: SSL Labs, internet.co.uk

# level: endpoint
plain_http

Failiülekanne (FTP)

• Eesmärk: krüpteerimise kohaldamine
• Raskeim hinnang:Punane
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: Wikipedia
• Kontrollitav näiteks aadressil: ftptest.net

# level: endpoint
ftp

Teave tarkvara versiooni kohta (bännerid)

• Eesmärk: eemaldada versiooniteave, sest see on kasulik ainult ründajatele.
• Raskeim hinnang:Punane
• Mõõdetud: nmap
• Dokumentatsioon: Vikipeedia, nmap
• Kontrollida: ipvoid

# level: endpoint
bannergrab
bannnergrab_product_name (unpublished)
bannnergrab_product_version (unpublished)
bannnergrab_product_info (unpublished)
bannnergrab_product_cpe (unpublished)

E-posti turvalisus (STARTTLS, DMARC, DKIM, SPF)

• Eesmärk: e-kirjade terviklikkuse ja konfidentsiaalsuse tagamine.
• Raskeim hinnang:Punane
• Mõõdetud: internet.co.uk
• Dokumentatsioon: Vikipeedia (STARTTLS), Vikipeedia (DKIM), Vikipeedia (DMARC), Vikipeedia (SPF).
• Kontrollitav muu hulgas aadressil: internet.co.uk, dmarcian, mxtoolbox, mxtoolbox

# level: endpoint
internet_nl_mail_auth_dmarc_exist
internet_nl_mail_auth_dkim_exist
internet_nl_mail_starttls_tls_available (unpublished)

Sisselogimise portaalid

• Eesmärk: mitte pakkuda globaalset ja avalikku funktsionaalsust, mis on mõeldud väikesele inimrühmale, eriti administraatori funktsionaalsuse kaitsmiseks.
• Raskeim hinnang: Punane
• Mõõdetud koos: Tuumad
• Dokumentatsioon: Wikipedia
• Mõõdetakse o.a.: vaadake lingid leiud. Kas siin on sisselogimisportaal? Siis on leid endiselt kehtiv. Need portaalid on spetsiaalsel lehel nimega Login Plaza.

# level: endpoint
# Only reachable via the login plaza JSON call at the moment. Will be published in the report at a later time.

Ilma nõusolekuta jälgitav küpsis

• Eesmärk: jälgimisküpsiseid ei tohiks kunagi ilma loata määrata. Tehes selle läbipaistvaks, saavad veebisaidi koostajad need küpsised eemaldada.
• Raskeim hinnang: oranž, Punane alates jaanuarist 2024.
• Mõõdetud koos: Näitekirjanik
• Dokumentatsioon: tbd
• Mõõdetakse aadressil: tbd

Ülevaade mõõdetud jälgimisküpsiste kohta

Mõõdame jälgimisküpsiseid allpool. Need on jälgimisküpsised, mida tarnija näitab, et need on paigutatud turunduslikel eesmärkidel. Need jälgimisküpsised on meie 2023. aasta novembri uuringu kohaselt kõige sagedamini paigutatud jälgimisküpsised.

# level: endpoint
web_privacy_cookie_products_no_consent

Interneti-aadressi omanik (WHOIS)

• Eesmärk: domeeni haldamine korda saada. Võõrustaja saab kontrollida, et sait kuulub SIDNi õigele organisatsioonile.
• Raskeim hinnang: Oranž
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: SIDN, Wikipedia, OpenCRE
• Kontrollida saab: SIDN

# level: url
whois_domain_ownership

Turvaline ühendus vastavalt NCSC-NL nõuetele (TLS)

• Eesmärk: krüpteerimise kohaldamine, õiguslike nõuete mõõtmine
• Raskeim hinnang:Oranž
• Mõõdetud: internet.co.uk
• Dokumentatsioon: Tehnilised nõuded.
• Mõõdetakse näiteks aadressil: internet.co.uk

# level: endpoint
internet_nl_web_tls

Turvalisus.txt

• Eesmärk: saada teateid tõsiste veebipõhiste haavatavuste kohta.
• Raskeim hinnang:Oranž
• Mõõdetud: internet.co.uk
• Dokumentatsioon: internet.co.uk, Wikipedia, securitytxt.org
• Mõõdetakse näiteks aadressil: internet.co.uk

# level: endpoint
internet_nl_wsm_web_appsecpriv_securitytxt

Interneti-liikluse usaldusväärne marsruutimine (RPKI)

• Eesmärk: tagada, et internetiliiklus kulgeb õiget teed pidi.
• Raskeim hinnang:Oranž
• Mõõdetud: internet.co.uk
• Dokumentatsioon: Wikipedia
• Kontrollitav aadressil: internet.co.uk, küpsetatud

# level: endpoint
internet_nl_web_rpki_exists

HSTS päis

• Eesmärk: krüpteerimise jõustamine veebisaitidel seni, kuni veebilehitsejad seda ei tee.
• Raskeim hinnang:Oranž
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: MDN, Vikipeedia, digitaalse valitsuse seadus
• Kontrollitav muu hulgas aadressil: securityheaders.com, internet.co.uk
• Pange tähele, et includesubdomains ja preload ignoreeritakse, juhul kui preload ei ole uuendatud ja külastaja satub alamdomeenile ilma HSTS-pealkirjata.

# level: endpoint
http_security_header_strict_transport_security

Veebisaidi külastamine austab privaatsust

• Eesmärk: külastuse konfidentsiaalsus, et pärast külastust ei edastataks teile reklaami.
• Raskeim hinnang:Oranž
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: Disconnect.me, Google Analytics keeld
• Mõõdetakse: Privacycore.org

# level: endpoint
web_privacy_third_party_requests
web_privacy_tracking

Üleliigsed teenused (avatud väravad)

• Eesmärk: minimeerida võrguteenuseid. Avalik internet peab sisaldama ainult neid teenuseid, mis peaksid olema kättesaadavad kõigile maailmas.
• Raskeim hinnang:Oranž
• Mõõdetud koos: Nmap
• Dokumentatsioon: Wikipedia (avatud väravad)
  • Kontrollida: ipvoid

# level: endpoint
ports

STARTTLS kohalolek (e-post)

• Eesmärk: võimalus saata krüpteeritud e-kirju postiserverile saatjana.
• Raskeim hinnang:Oranž
• Mõõdetud: internet.co.uk
• Dokumentatsioon: internet.co.uk
  • Mõõdetakse näiteks aadressil: internet.co.uk

# level: endpoint
internet_nl_mail_starttls_tls_available

E-posti krüpteerimine vastavalt NCSC nõuetele

• Eesmärk: võimalus saata krüpteeritud e-kirju postiserverile saatjana.
• Raskeim hinnang:Oranž
• Mõõdetud: internet.co.uk
• Dokumentatsioon: internet.co.uk
  • Mõõdetakse näiteks aadressil: internet.co.uk

# level: endpoint
internet_nl_mail_dashboard_tls

Serveri asukoht (IP Geolokatsioon)

• Eesmärk: andmete töötlemine NL/EL-is, õiguslikud nõuded. Tagada, et kõik teenused on oma (õiguslikul) territooriumil.
• Raskeim hinnang:Roheline (tutvustusperioodil),oranž pärast oktoobrit 2023
• Mõõdetud koos: Maxmind, Ripe (mõnede paranduste jaoks)
• Dokumentatsioon: Seadus, mis keelab andmete töötlemise väljaspool ELi (Matomo)
• Kontrollida saab: iplocation.io (mitte kõigil neil saitidel ei ole sama geograafilise asukoha andmebaas).

# level: url
location_server
location_mail_server
location_third_party_website_content

Muud veebilehe päised (X-Frame-Options jne)

• Eesmärk: turvalised seaded veebisaidi külastamisel
• Raskeim hinnang:Oranž (ei CSP JA x-frame-optsioonid),Roheline (ülejäänud)
• Mõõdetud koos: Oma skanner
• Dokumentatsioon: X-Content-Type-Options, Clickjacking, Clickjacking: General (OWASP), CSP header, Permissions Policy, Referrer Policy, X-Content-Type-Options,
• Kontrollitav muu hulgas aadressil: securityheaders.com, internet.co.uk

# level: endpoint
http_security_header_x_content_type_options
http_security_header_x_frame_options
http_security_header_referrer_policy (unpublished)
internet_nl_web_appsecpriv_csp (unpublished)
http_security_header_permissions_policy (unpublished)