Politika měření Základní security.co.uk

Disclaimer: Het origineel van deze pagina geschreven in het Nederlands. Deze pagina is automatisch vertaald naar andere talen met behulp van DeepL. Dit kan leiden tot verschillen in nuance, toon en betekenis. Raadpleeg bij twijfel altijd eerst de Nederlandse versie. Door de hoge kosten van vertalingen kan het zijn dat deze pagina inhoudelijk achter loopt met de Nederlandse versie. Wij beschouwen de Nederlandse versie van deze pagina als leidend.

Základní zabezpečení měří a zveřejňuje všechna opatření týkající se online bezpečnosti, která je zodpovědné zveřejnit, více o tom v zásadách zveřejňování. Při určování toho, která měření přidáme, vycházíme také z úvah uvedených v našem kodexu chování.

V tomto článku je uvedeno, která měření se provádějí v souvislosti s jednotlivými technikami. Jejich úplný seznam s odkazy je uveden pod nadpisem „přehled všech měření“.

Tato politika měření se neustále vyvíjí a reaguje na nový vývoj. Z této politiky měření existuje řada výjimek, které jsou popsány v části Výjimky z politiky měření.

Před použitím naměřených údajů si prosím přečtěte naše prohlášení o vyloučení odpovědnosti. V případě jakýchkoli dotazů se obraťte na info@internetcleanup.foundation.

Tento článek uvádí:

• Informace o včasnosti měření
• Jak jsou měření v průběhu času přísněji hodnocena (plán)
• Přehled všech jednotlivých měření
  • Obsahuje odkazy na dokumentaci a testovací nástroje

Včasnost měření

Měření se provádí denně až týdně, záleží na složitosti a náročnosti měření. Jednorázové inventarizační měření se provádí jednou za půl roku, protože je hlučné, opakované měření z toho se provádí jednou týdně.

Vzhledem k četnosti měření nejsou údaje ve zprávách obvykle nikdy starší než jeden týden. Pokud tomu tak je, děje se něco zvláštního. Stále pracujeme na funkcionalitě, aby se v sestavách nikdy neobjevovala měření starší než dva měsíce, a zkracujeme tuto dobu na maximálně jeden měsíc.

V podrobné zprávě můžete vždy zjistit, jak staré je měření. Tato informace je uvedena v dolní části každého měření. V níže uvedeném příkladu tedy vidíte, že měření je stejné již 22 dní a že poslední měření proběhlo před 1 dnem.

Kromě toho je u každé mapy uvedena kvalita dat. Tento přehled ukazuje, která měření jsou provedena a kolik z nich je aktuálních / neaktuálních. V tomto přehledu jsou měření starší než 7 dní považována za zastaralá. To je vidět i na příkladu níže.

Kvalita dat se nachází pod odrážkou v levém horním rohu mapy. Tato kulička se zbarvuje v závislosti na kvalitě. Pokud je oranžová nebo červená, je něco špatně. Obvykle je na ní zelená tečka. Pokud je vše aktuální, je zde duha.

Plán zpřísňujících měření

Postupem času se zpřísní kontrola. Například některá zjištění jsou v současné době zelená nebo oranžová, ale v budoucnu se změní na červená.

Nový údaj se často uvádí jako oranžový nebo zelený, aby si na něj lidé mohli zvyknout a jednat dříve, než se změní na červený.

Plán této činnosti je stále roztříštěný a není stanoven. Při zavádění jednotlivých měření je o tom často zmínka. Tyto informace se stále shromažďují.

Přehled všech měření

Zde najdete přehled všech měření, hodnocení, dokumentace a nástrojů, které vám pomohou se změřit. Pokud jsou všechny tyto prvky správně aplikovány, organizace se dostane na zelenou.

Pokud organizace sleduje své online služby a minimalizuje je, není příliš obtížné dostat se na oranžovou nebo dokonce zelenou barvu.

Zabezpečené doménové jméno (DNSSEC)

• Účel: Poskytnutí jistoty ohledně názvu domény a obsahu webu.
• Nejtěžší hodnocení: Červená
• Měřeno pomocí: dnssec.pl tool
• Dokumentace: internet.co.uk, OpenCRE, Wikipedia
• Kontrolovatelné na: Zonemaster, internet.co.uk, verisign labs, DNS Visualizer

# level: url
dnssec

TLS na webových stránkách (HTTPS)

• Cíl: Použít šifrování: aby návštěva webových stránek byla důvěrná a neporušená. Zkontrolovat, zda je důvěra v pořádku a zda v šifrování nejsou žádné zranitelnosti.
• Nejtěžší hodnocení:Červená
• Měřeno pomocí: Qualys SSL Labs
• Dokumentace: Nastavení TLS, Wikipedie, zákon o digitální veřejné správě
• Měří se na: SSL Labs

# level: endpoint
tls_qualys_encryption_quality
tls_qualys_certificate_trusted

Web bez šifrování (HTTPS)

• Účel: Použití šifrování, stejné jako TLS na webových stránkách.
• Nejtěžší hodnocení:Červená
• Měřeno pomocí: Vlastní skener
• Dokumentace: Nastavení TLS, Wikipedie, zákon o digitální veřejné správě
• Měří se na: SSL Labs, internet.co.uk

# level: endpoint
plain_http

Přenos souborů (FTP)

• Účel: použití šifrování
• Nejtěžší hodnocení:Červená
• Měřeno pomocí: Vlastní skener
• Dokumentace: Wikipedia
• Kontrolovatelné např. na: ftptest.net

# level: endpoint
ftp

Informace o verzi softwaru (bannery)

• Cíl: odstranit informace o verzi, protože ty jsou užitečné pouze pro útočníky.
• Nejtěžší hodnocení:Červená
• Měřeno pomocí: nmap
• Dokumentace: Wikipedia, nmap
• Zkontrolujte, zda: ipvoid

# level: endpoint
bannergrab
bannnergrab_product_name (unpublished)
bannnergrab_product_version (unpublished)
bannnergrab_product_info (unpublished)
bannnergrab_product_cpe (unpublished)

Zabezpečení e-mailů (STARTTLS, DMARC, DKIM, SPF)

• Účel: Zajistit integritu a důvěrnost e-mailu.
• Nejtěžší hodnocení:Červená
• Měřeno podle: internet.co.uk
• Dokumentace: Wikipedia (STARTTLS), Wikipedia (DKIM), Wikipedia (DMARC), Wikipedia (SPF)
• Kontrolovatelné na: internet.co.uk, dmarcian, mxtoolbox, mj.

# level: endpoint
internet_nl_mail_auth_dmarc_exist
internet_nl_mail_auth_dkim_exist
internet_nl_mail_starttls_tls_available (unpublished)

Přihlašovací portály

• Účel: Neposkytovat globální a veřejné funkce určené pro malou skupinu lidí, zejména stínit funkce správce.
• Nejtěžší hodnocení: Červená
• Měřeno pomocí: Nuclei
• Dokumentace: Wikipedia
• K měření na o.a.: podívejte se na odkazy v nálezech. Existuje zde portál pro přihlášení? Pak je nález stále platný. Tyto portály se nacházejí na zvláštní stránce s názvem Login Plaza.

# level: endpoint
# Only reachable via the login plaza JSON call at the moment. Will be published in the report at a later time.

Sledovací soubory cookie bez souhlasu

• Účel: Sledovací soubory cookie by nikdy neměly být nastaveny bez povolení. Díky transparentnosti mohou tvůrci webových stránek tyto soubory cookie odstranit.
• Nejtěžší hodnocení: oranžová, Červená od ledna 2024.
• Měřeno pomocí: Vlastní skener obv Dramaturg
• Dokumentace: tbd
• Měří se v: tbd

Přehled měřených sledovacích sušenek

Níže uvádíme měření sledovacích sušenek. Jedná se o sledovací sušenky, které dodavatel uvádí jako umístěné pro marketingové účely. Tyto sledovací sušenky jsou podle našeho průzkumu z listopadu 2023 zdaleka nejčastěji umisťovanými sledovacími sušenkami.

# level: endpoint
web_privacy_cookie_products_no_consent

Vlastník internetové adresy (WHOIS)

• Účel: Uvést správu domény do pořádku. Nezúčastněná osoba může zkontrolovat, zda web patří správné organizaci v SIDN.
• Nejtěžší hodnocení: Oranžová
• Měřeno pomocí: Vlastní skener
• Dokumentace: SIDN, Wikipedia, OpenCRE
• Kontrolovatelné na: SIDN

# level: url
whois_domain_ownership

Zabezpečené připojení podle požadavků NCSC-NL (TLS)

• Účel: Použití šifrování, měření právních požadavků
• Nejtěžší hodnocení:Oranžová
• Měřeno podle: internet.co.uk
• Dokumentace: Zákon, výklad zákona, technické požadavky
• Měří se např. na adrese: internet.co.uk

# level: endpoint
internet_nl_web_tls

Security.txt

• Účel: Možnost přijímat oznámení o závažných zranitelnostech online.
• Nejtěžší hodnocení:Oranžová
• Měřeno podle: internet.co.uk
• Dokumentace: internet.co.uk, Wikipedia, securitytxt.org
• Měří se např. na adrese: internet.co.uk

# level: endpoint
internet_nl_wsm_web_appsecpriv_securitytxt

Důvěryhodné směrování internetového provozu (RPKI)

• Cíl: Ujištění, že internetový provoz prochází správnou cestou.
• Nejtěžší hodnocení:Oranžová
• Měřeno podle: internet.co.uk
• Dokumentace: Wikipedia
• Lze ověřit na: internet.co.uk, ripe

# level: endpoint
internet_nl_web_rpki_exists

Záhlaví HSTS

• Účel: Vynucovat šifrování na webových stránkách, dokud to nedělají prohlížeče.
• Nejtěžší hodnocení:Oranžová
• Měřeno pomocí: Vlastní skener
• Dokumentace: MDN, Wikipedia, Digital Government Act
• Ke kontrole na: securityheaders.com, internet.co.uk, mj.
• Všimněte si, že je ignorována funkce includesubdomains a preload pro případ, že preload není aktualizován a návštěvník přistane na subdoméně bez hlavičky HSTS.

# level: endpoint
http_security_header_strict_transport_security

Návštěva webových stránek respektuje soukromí

• Účel: Důvěrnost návštěvy, aby na vás po návštěvě nebyla směřována žádná reklama.
• Nejtěžší hodnocení:Oranžová
• Měřeno pomocí: Vlastní skener
• Dokumentace: Vytváření stránek s ohledem na ochranu soukromí, Disconnect.me, zákaz Google Analytics
• Měří se na: Webkoll, Privacycore.org

# level: endpoint
web_privacy_third_party_requests
web_privacy_tracking

Nadbytečné služby (otevřené brány)

• Cíl: Minimalizace online služeb. Veřejný internet musí obsahovat pouze služby, které by měly být dostupné všem na celém světě.
• Nejtěžší hodnocení:Oranžová
• Měřeno pomocí: Nmap
• Dokumentace: Wikipedie (otevřené brány)
  • Zkontrolujte, zda: ipvoid

# level: endpoint
ports

STARTTLS Přítomnost (e-mail)

• Účel: možnost odesílat šifrované e-maily na poštovní server jako odesílatel.
• Nejtěžší hodnocení:Oranžová
• Měřeno podle: internet.co.uk
• Dokumentace: internet.co.uk
  • Měří se např. na adrese: internet.co.uk

# level: endpoint
internet_nl_mail_starttls_tls_available

Šifrování e-mailů podle požadavků NCSC

• Účel: možnost odesílat šifrované e-maily na poštovní server jako odesílatel.
• Nejtěžší hodnocení:Oranžová
• Měřeno podle: internet.co.uk
• Dokumentace: internet.co.uk
  • Měří se např. na adrese: internet.co.uk

# level: endpoint
internet_nl_mail_dashboard_tls

Umístění serveru (IP geolokace)

• Účel: Zpracování údajů v NL/EU, měření právních požadavků. Zajistit, aby všechny služby byly na vlastním (právním) území.
• Nejtěžší hodnocení:Zelená (v úvodním období),Oranžová po říjnu 2023
• Měřeno pomocí: Maxmind, Ripe (pro některé korekce)
• Dokumentace: Zákon o zákazu zpracování údajů mimo EU (Matomo)
• Kontrolovatelné na: (ne všechny tyto stránky mají stejnou databázi geolokace ).

# level: url
location_server
location_mail_server
location_third_party_website_content

Další hlavičky webových stránek (X-Frame-Options atd.)

• Účel: Zabezpečení nastavení při návštěvě webových stránek
• Nejtěžší hodnocení:Oranžová (bez CSP A možností x-frame),Zelená (zbytek)
• Měřeno pomocí: Vlastní skener
• Dokumentace: Obecné (OWASP), Hlavička CSP, Zásady oprávnění, Zásady odkazování, X-Content-Type-Options, Clickjacking,
• Ke kontrole na: securityheaders.com, internet.co.uk, mj.

# level: endpoint
http_security_header_x_content_type_options
http_security_header_x_frame_options
http_security_header_referrer_policy (unpublished)
internet_nl_web_appsecpriv_csp (unpublished)
http_security_header_permissions_policy (unpublished)