Αρχική / Ασφάλεια
Ασφάλεια και εγκατάσταση
Ενημέρωση: 1 Νοεμβρίου 2026
Το Vardion λειτουργεί στον δικό σας διακομιστή ή στη φιλοξενούμενη κονσόλα μας, σε διακομιστές στην ΕΕ.
Εγκατάσταση
- Μία υπηρεσία Docker σε διακομιστή Linux, με τη βάση δεδομένων μέσα στο κοντέινερ σε τοπικό socket, οπότε το Vardion δεν διατηρεί κωδικό πρόσβασης σε βάση δεδομένων.
- Η κονσόλα δέχεται συνδέσεις μόνο στη διεύθυνση loopback. Όταν δημοσιεύεται, βρίσκεται πίσω από τη συνοδευτική ρύθμιση του Caddy με αυτόματο HTTPS.
- Η φιλοξενούμενη κονσόλα έχει απενεργοποιημένη την ενεργή σάρωση. Οι σαρώσεις τρέχουν στη δική σας εγκατάσταση.
Δεδομένα
- Τα ευρήματα, τα μητρώα και οι αναφορές αποθηκεύονται στον διακομιστή σας ή στον δικό σας χώρο εργασίας στη φιλοξενούμενη κονσόλα.
- Τα κλειδιά API και οι διευθύνσεις webhook δεν εμφανίζονται, δεν καταγράφονται και δεν εξάγονται ποτέ. Δεν μπαίνουν στα αντίγραφα ασφαλείας, εκτός αν το ζητήσετε.
- Ένα διαπιστευτήριο που βρίσκει μια σάρωση δεν αποθηκεύεται ποτέ. Το εύρημα καταγράφει ότι βρέθηκε και πού. Τα STIX και MISP περιέχουν τεκμήρια μόνο όταν το ζητά μια εξαγωγή.
- Οι σελίδες της κονσόλας δεν φορτώνουν scripts, γραμματοσειρές ή εικόνες τρίτων.
Εξαγωγή και συνέχεια
- Εξάγετε τα δεδομένα σας ως CSV, JSON, XLSX, STIX 2.1 ή στα αρχεία της ΕΑΚ.
- Μια εγκατάσταση στον διακομιστή σας δεν χρειάζεται άδεια ή σύνδεση με το Vardion, οπότε λειτουργεί ό,τι κι αν συμβεί στο Vardion.
- Αν σταματήσουμε τη φιλοξενούμενη κονσόλα, σας ειδοποιούμε τουλάχιστον 90 ημέρες πριν και σας παραδίδουμε πλήρη εξαγωγή που φορτώνεται στη δική σας εγκατάσταση.
Δικλίδες ασφαλείας στις σαρώσεις
- Μια διεύθυνση σαρώνεται μόνο αφού εγκριθεί ή όταν ανήκει σε εύρος διευθύνσεων ή σε λογαριασμό νέφους που έχετε δηλώσει ως δικά σας.
- Οι ιδιωτικές διευθύνσεις δεν περιλαμβάνονται ποτέ σε σάρωση προς το διαδίκτυο.
- Οι σαρώσεις δεν περιλαμβάνουν δοκιμές άρνησης υπηρεσίας, παρεμβατικούς ελέγχους ή ελέγχους fuzzing και στέλνουν από προεπιλογή έως 50 αιτήματα ελέγχου ευπαθειών το δευτερόλεπτο ανά σύστημα.
- Η διεύρυνση του πεδίου σάρωσης απαιτεί πληκτρολογημένη επιβεβαίωση της ακριβούς αλλαγής και καταχωρίζεται στο αρχείο καταγραφής, ενώ το προηγούμενο αρχείο ρυθμίσεων φυλάσσεται ως αντίγραφο.
Εξερχόμενες συνδέσεις
| Προορισμός | Σκοπός | Πότε |
|---|---|---|
| Εγκεκριμένες διευθύνσεις | Σαρώσεις θυρών, υπηρεσιών, πιστοποιητικών, ιστού και ευπαθειών | Σε κάθε σάρωση |
| Οι πηγές ανακάλυψης του subfinder και το crt.sh | Ονόματα κάτω από τα δηλωμένα domains σας, domains-απομιμήσεις και νέα πιστοποιητικά | Σε κάθε εκτέλεση ανακάλυψης, παθητικό έλεγχο και παρακολούθηση προμηθευτών |
| XposedOrNot και Hudson Rock | Διαπιστευτήρια που έχουν διαρρεύσει για τα δηλωμένα domains σας (στέλνεται το domain, ποτέ μια διεύθυνση ή ένας κωδικός) | Σε κάθε παθητικό έλεγχο |
| IANA | Το αρχείο εκκίνησης (bootstrap) του RDAP που υποδεικνύει το μητρώο κάθε domain | Στον παθητικό έλεγχο DNS |
| Διακομιστές επίλυσης DNS και η υπηρεσία DNS της Team Cymru | Επίλυση ονομάτων και ο κάτοχος του δικτύου κάθε διεύθυνσης | Στην ανακάλυψη και στους παθητικούς ελέγχους |
| Μητρώα domains μέσω RDAP | Λήξη καταχώρισης, καταχωρητής και κλείδωμα μεταφοράς | Στον παθητικό έλεγχο DNS |
| CISA, ENISA, OSV, NVD και MITRE D3FEND | Ευπάθειες υπό ενεργή εκμετάλλευση, αναγνωριστικά EUVD, ευπάθειες πακέτων και η έκδοση του καταλόγου αντιμέτρων | Καθημερινά, αν το ενεργοποιήσετε, ή κατ' απαίτηση |
| Wordfence Intelligence | Ολόκληρη η ροή ευπαθειών των προσθέτων και θεμάτων του WordPress, που συγκρίνεται μέσα στο Vardion (τίποτα για εσάς δεν αποστέλλεται) | Καθημερινά, όταν οριστεί κλειδί |
| GitHub, PyPI και το έργο ZAP | Έλεγχος για νέες εκδόσεις των εργαλείων σάρωσης | Καθημερινά, αν το ενεργοποιήσετε, ή κατ' απαίτηση |
| Shodan, Have I Been Pwned, WhoisXML και RIPEstat | Συναφή συστήματα και διαπιστευτήρια που έχουν διαρρεύσει | Μόνο με ρυθμισμένο κλειδί ή κατ' απαίτηση |
| GitHub και GitLab | Τα lockfiles των αποθετηρίων που συνδέετε, με διακριτικό μόνο για ανάγνωση | Σε κάθε έλεγχο αποθετηρίων |
| Αναζήτηση κώδικα του GitHub | Δημόσιος κώδικας που αναφέρει τα domains σας ή όρους της επωνυμίας σας (στέλνονται οι όροι αναζήτησης) | Σε κάθε παθητικό έλεγχο, με ρυθμισμένο διακριτικό του GitHub |
| Amazon S3, Google Cloud Storage και Azure Blob Storage | Αν είναι δημόσιος κάποιος χώρος αποθήκευσης με το όνομα της επωνυμίας σας | Σε κάθε παθητικό έλεγχο, όταν είναι ενεργοποιημένο |
| CertStream | Νέα πιστοποιητικά για ονόματα που μοιάζουν με τα δικά σας, μόλις καταγράφονται | Όσο είναι ενεργή η ζωντανή παρακολούθηση πιστοποιητικών |
| Αρχεία certificate transparency | Νέα πιστοποιητικά για τα domains και τα ονόματα της επωνυμίας σας, απευθείας από τα αρχεία | Όσο είναι ενεργή η δική παρακολούθηση πιστοποιητικών |
| Το Γενικό Εμπορικό Μητρώο (ανοικτά δεδομένα ΓΕΜΗ) | Κατάσταση και επωνυμία κάθε προμηθευτή με ΑΦΜ (αποστέλλεται ο ΑΦΜ) | Μηνιαία ανά προμηθευτή, μόνο με ορισμένο κλειδί ΓΕΜΗ |
| Η Αναζήτηση Βασικών Στοιχείων Μητρώου της ΑΑΔΕ, με τους δικούς σας κωδικούς | Φορολογική υπόσταση προμηθευτή με ΑΦΜ (αποστέλλεται ο ΑΦΜ) | Μόνο όταν το ζητήσει ένα πρόσωπο, αφού το ενεργοποιήσει ο κάτοχος της πλατφόρμας και ορίσετε τους κωδικούς σας |
| Το γραμματοκιβώτιο αναφορών DMARC σας | Συγκεντρωτικές αναφορές DMARC, χωρίς αλλαγή στο γραμματοκιβώτιο | Κάθε έξι ώρες, μόνο όταν το ορίσετε |
| Οι εκτεθειμένες αποθήκες δεδομένων σας | Δείγματα από αρχεία, δημόσια buckets και εγκεκριμένες βάσεις που ένα εύρημα δείχνει ότι είναι δικά σας, μετρημένα για προσωπικά δεδομένα και ποτέ δεν τηρούνται | Καθημερινά, μόνο όταν ενεργοποιήσετε τους ελέγχους περιεχομένου |
| Οι διευθύνσεις των webhooks σας | Υπογεγραμμένα γεγονότα για ευρήματα, προθεσμίες, τεκμήρια, περιστατικά και σαρώσεις, χωρίς τα ίδια τα τεκμήρια, μέσω https σε δημόσια διεύθυνση | Μόνο όταν προσθέσετε webhook |
| Οι διασυνδέσεις που ενεργοποιείτε | Ειδοποιήσεις, αιτήματα, συμβάντα SIEM, έλεγχοι νέφους και ταυτότητας, λίστες προσωπικού, εισαγωγή ευπαθειών και email | Μόνο όταν είναι συνδεδεμένες |
Η δική μας βαθμολογία
Ελέγχεται κάθε μήνα με τον δωρεάν έλεγχο domain.
| Domain | Βαθμός | Έλεγχος |
|---|---|---|
| getvardion.com | B | 4 Νοεμβρίου 2026 |
| check.getvardion.com | A | 4 Νοεμβρίου 2026 |
Αναφορά ευπάθειας
Γράψτε στο support@getvardion.com, που δημοσιεύεται και στο security.txt. Η δήλωση για την Πράξη για την Κυβερνοανθεκτικότητα περιγράφει πώς χειριζόμαστε κάθε αναφορά.
Ερωτήσεις από την αξιολόγηση ασφάλειάς σας
Κρυπτογραφούνται τα δεδομένα μας;
Κατά τη μεταφορά, πάντα: μόνο HTTPS, και τα μηνύματα μέσω TLS ή STARTTLS. Κάθε χώρος εργασίας κρυπτογραφείται με δικό του κλειδί AES-256-GCM, που δεν μπαίνει σε κανένα αντίγραφο ασφαλείας: στη φιλοξενούμενη κονσόλα πάντα, και στον δικό σας διακομιστή με μία ρύθμιση. Οι κωδικοί φυλάσσονται ως κατακερματισμοί scrypt και τα διακριτικά πρόσβασης μόνο ως SHA-256.
Πώς κρατούνται αντίγραφα ασφαλείας;
Κάθε μέρα με δοκιμή επαναφοράς κάθε μήνα στη φιλοξενούμενη κονσόλα και στον δικό σας διακομιστή, όπου κάθε αρχείο κρυπτογραφείται για το εξωτερικό σας αντίγραφο. Μία εντολή το επαναφέρει.
Πού φιλοξενούνται και ποιος τα επεξεργάζεται;
Η φιλοξενούμενη κονσόλα τρέχει σε διακομιστές της OVHcloud στην ΕΕ. Η σύμβαση επεξεργασίας δεδομένων αναφέρει κάθε υπεργολάβο με τον σκοπό και την τοποθεσία του, και σας ενημερώνουμε με email 30 ημέρες πριν προσθέσουμε νέο.
Ποιος βλέπει τα δεδομένα μας στο Vardion;
Κανείς, μέχρι ο διαχειριστής σας να παραχωρήσει πρόσβαση υποστήριξης για ορισμένες ώρες, μόνο για ανάγνωση αν θέλει. Για περιστατικό ασφάλειας ή νομική εντολή το Vardion μπορεί να ανοίξει έναν χώρο χωρίς παραχώρηση, και οι διαχειριστές σας ειδοποιούνται αμέσως. Κάθε σελίδα που ανοίγει καταγράφεται σε αρχείο που εξάγετε.
Για πόσο τα κρατάτε και πώς διαγράφονται;
Όσο ισχύει η σύμβαση. Τίποτα δεν διαγράφεται πριν ο διαχειριστής σας ορίσει διάρκεια τήρησης. Στη λήξη παίρνετε πλήρη εξαγωγή και τα δεδομένα διαγράφονται εντός 30 ημερών, με γραπτή επιβεβαίωση.
Ποιος έχει την ευθύνη για τι;
Στη φιλοξενούμενη κονσόλα, το Vardion λειτουργεί τον διακομιστή, τις ενημερώσεις του και το HTTPS. Εσείς διαχειρίζεστε λογαριασμούς, ρόλους, πεδίο ελέγχου και αρχεία. Στον δικό σας διακομιστή λειτουργείτε εσείς τον διακομιστή, την πρόσβαση και τα αντίγραφά του. Το Vardion παρέχει διορθώσεις ασφάλειας και υπογεγραμμένες εκδόσεις, η καθεμία με το SBOM της.
Τι καταγράφεται και ποιος κάνει τι;
Πέντε ρόλοι, από αναγνώστη έως κάτοχο, ο καθένας στους χώρους εργασίας του. Οι αλλαγές σε πεδίο ελέγχου, ρυθμίσεις, εγκρίσεις και λογαριασμούς γράφονται σε αρχείο ελέγχου αλυσιδωμένο με κατακερματισμό. Οι συνεδρίες λήγουν μετά από 12 ώρες αδράνειας ή 7 ημέρες. Περιλαμβάνονται επαλήθευση σε δύο βήματα, ενιαία σύνδεση και SCIM.
Στείλτε μας το ερωτηματολόγιό σας
Απαντάμε στο ερωτηματολόγιό σας για προμηθευτές ή σας δείχνουμε την εγκατάσταση σε μια επίδειξη.