Sayfer LitePaper - ett nytt tillvägagångssätt för Web3-projekts säkerhet
Problemet
Web3-hack är på uppgång. Med några dagars mellanrum hackas ett annat stort projekt. I bästa fall är den enda säkerhetsåtgärd som Web3-projekt utför en revision av sina kontrakt. Denna säkerhetsåtgärd gör så småningom många andra aspekter av verksamheten sårbara för attacker. Vi har ofta sett detta i hacks som $120M BadgerDao hack, $650M Ronin Bridge hack, och i stort sett varje CEX som tappade sina privata nycklar.
Det här gamla tillvägagångssättet innehåller många usla säkerhetsrutiner som ökar chansen att bli hackad.
Dessa problem inkluderar:
- Enskild felpunkt;
- Brist på säkerhetslager;
- Engångstestning.
Vi tror att för att projekt ska få massanpassning från "mainstream"-användare måste de vara mycket mer stabila i sin cybersäkerhet. Idag är större delen av kryptomarknaden tidiga användare, men det håller på att förändras, och den nya typen av kunder kommer inte att acceptera en sådan risk.
Enstaka misslyckande
När du skapar komplexa projekt och protokoll vill du se till att även om en komponent i ditt system äventyras så kommer du inte att förlora alla dina pengar. Detta tillvägagångssätt är lättare sagt än gjort.
Ibland är det lätt att veta var felpunkterna finns, men det är svårt att hitta ett sätt att minska risken.
Föreställ dig att du utvecklade ett symboliskt kontrakt. Att analysera riskerna är enkelt med enkla frågor som – "Hur kan du inte förlora alla dina investerares pengar om kontraktet blir hackat?" "Hur vet du om något dåligt händer?" "Vilken komponent i ditt system är den svagaste?
Det är svårt att hitta den inte så uppenbara punkten av misslyckande.
Här är ett annat exempel, du har ett mycket säkert kontrakt, men din nya medarbetares telefon blev stulen. Den här telefonen är ansluten till ett GitHub-konto som kan begå och pusha ny kod. Hur kommer detta att förhindras eller blockeras?
Utan lämpliga övervakningsverktyg kan en bakdörr infogas i ditt kontrakt utan att du vet om det.
Brist på säkerhetslager
Det enda sättet att skapa ett säkert projekt är genom att ha flera säkerhetslager. Det var mycket på plats före datoreran och är relevant i dagens Web3-projekt- och protokollarkitekturer mer än någonsin.
Säkerhet är inte ett binärt resultat; det är lager. Du kan inte låsa dörren och lämna fönstret öppet. Olika projekt har olika behov och olika risknivåer. Om din risk är hög bör du minska den med fler säkerhetslager.
Även om teorin låter bra, vad betyder den när den implementeras?
Projekt bör ha många komponenter, och varje komponent ska kunna möta kompromisser utan att riskera hela projektets integritet. Varje komponent bör övervakas, och när onormalt beteende upptäcks bör de personer som ansvarar för projektet informeras, och baserat på fördefinierade policyer bör transaktioner blockeras.
Engångstestning
När du bygger ett komplext projekt måste du tänka på att projektet är en ständigt växande levande varelse. Revisionernas karaktär är dock att ske en gång varannan månad. Ändå kan projekt under den tiden på året inte riskera att bli mindre säkra. Projekten behöver en pågående säkerhetsprocess.
Exempel från verkligheten:
Lösningen
En 360° cyberansats. Projekt och protokoll är inte bara kontrakt. Det är komplexa system som kräver komplexa lösningar.
Genom att vara ett inhemskt Web3-cybersäkerhetsföretag kan Sayfer förstå arkitekturen för din plattform, strukturen på ditt företag och budgeten och utvecklingstimmar du har råd att allokera till ett projekt. Vi kommer att tillhandahålla en skräddarsydd komplett färdplan för cybersäkerhet åt dig.
När du har implementerat alla våra resultat, som kommer att likna pågående support snarare än ett engångsskott, kommer säkerheten för ditt projekt att växa i samma takt som ditt projekt växer.
På så sätt kommer säkerheten inte att vara en svag punkt som kommer att skada din tillväxt i framtiden. Vi kommer att följa dessa steg för att säkerställa ditt företags 360° cybersäkerhetsskydd:
Aktiv & Passiv bedömning
Historisk hackanalys
Bygg en säkerhetsfärdplan
Implementeringsvägledning
Första steget: Genomför passiv och aktiv bedömning
Under den första fasen av vår process för att göra ditt projekt säkert kommer vi att utföra en fullständig utvärdering av ditt företags cybersäkerhetsställning. Den här delen är viktig eftersom vi behöver känna till din utgångspunkt för att bygga en korrekt säkerhetsfärdplan skräddarsydd för dig.
Först kommer vi att använda den passiva metoden. Vi kommer att prata med dig och förstå ditt projekt. I detta första tillvägagångssätt kommer du att berätta så många detaljer som möjligt om dina applikationer, arkitektur, anställda, potentiella kända säkerhetsbrister och de risker du utgör för ditt system.
När vi har fått detaljerna i det passiva tillvägagångssättet går vi vidare till det aktiva tillvägagångssättet. Vi kommer att "testa" dina påståenden genom att försöka hacka oss in i ditt system. Processen kommer att göras antingen genom säkerhetsgranskning av kontrakten, ett standardpenetrationstest för att testa säkerheten på webben eller mobilapplikationer, eller ett penetrationstest i red-team-stil för att hitta nya intrång i ditt system.
Efter att ha utfört båda typerna av bedömningar kommer vi att ha en hög förståelse för din nuvarande cybersäkerhetsställning och dess potentiella risker.
Andra steget: Genomför historisk hackanalys
Hackare skiljer sig inte från någon annan människa. De ser vad deras kollegor gör, och om det fungerar försöker de göra detsamma.
Så för att förutsäga var nästa attack mot ditt system kommer ifrån måste vi förstå nuvarande standardpraxis i hackergemenskapen.
Vi kommer att göra det genom att utföra analyser för alla projekt med liknande struktur och funktioner som ditt.
Ett praktiskt exempel på sådant beteende är det centraliserade börshacket, som nästan alltid innebär förlust av börsens privata nycklar. Detta säger oss att vi måste implementera tillförlitliga vårdnadshavaretjänster med strikta policyer.
Några petriskålar för social ingenjörskonst och avancerade nätfiskeattacker inkluderar NFT-projekt, Discord-gemenskaper och Twitter-konton. I andra attacker kopieras konsten och publiceras på en annan marknadsplats beroende på NFT-konsttyp och popularitet. Genom att förstå dessa kommer vi att ta det pedagogiska tillvägagångssättet tillsammans med upptäcktsverktyg för de skadliga länkarna i Discord-gemenskaperna och upptäcktsverktyg för att hitta stulen konst och meddela marknadsplatserna.
Det finns många fler exempel på detta, och varje projekt har sina egna nyanser. Det är därför vi måste förstå hackarnas nuvarande beteende per klient.
Tredje steget: Bygg en färdplan för cybersäkerhet
Efter att ha fått all ovanstående information om dina projekt, såsom värdefulla tillgångar och deras riskpotential, marknaden och de potentiella säkerhetsrisker ditt system utgör, är vi redo att bygga en säkerhetsfärdplan för dig.
Vad Cybersäkerhetsfärdplanen innebär
Det är svårt för ett projekt att övergå från ett osäkert till ett helt säkert tillstånd. Du kan inte bara göra det genom att lägga till två uppgifter till din projektledningsplattform och glömma allt om det.
Det blir många uppgifter. Vissa är mer brådskande än andra, vissa blockeras av utvecklingsuppgifter, vissa är komplexa och du har ingen aning om hur du ens ska starta dem. Ingen fara, det är därför vi är här.
Genom att bygga en färdplan för de kommande månaderna kommer du att ha möjlighet att implementera cybersäkerhet utan att fördröja ditt huvudutvecklingsprojekts färdplan.
Steg involverade i färdplanen för cybersäkerhet
Baserat på vårt inledande bedömningsarbete kommer varje färdplan att vara annorlunda och skräddarsydd för det specifika projektet. Även om färdplanen kommer att vara annorlunda, är målet alltid detsamma, vilket är att kartlägga alla värdefulla tillgångar och deras motsvarande attackvektorer och sedan skydda dem från flera vinklar, i flera lager, under körning, och att se till att vi eliminerar den enda punkten för fel i utvecklingsfasen, avsaknaden av säkerhetslager och engångstestproblemen.
De flesta projekt har likheter och typiska steg för att uppnå 360° cyberskydd. Dessa vanliga steg inkluderar
- Åtgärda kända sårbarheter – under vår bedömning kommer vi att hitta betydande säkerhetsbrister; därför kommer det första steget att vara att åtgärda dessa sårbarheter och se till att hackare inte kan utnyttja dem;
- Kartläggning av tillgångar och deras attackvektorer;
- Implementera säkerhetslager för att skydda dessa attackvektorer. Dessa säkerhetslager inkluderar:
- Tredje parts produkter;
- Egenutvecklade moduler;
- Implementera en säker mjukvaruutvecklingsprocess;
- Modifiering av säkerhetsarkitektur;
- Utveckla säkra affärsprocesser;
- Utbilda anställda om potentiella risker.
Fjärde steget: Implementeringsvägledning
Som nämnts ovan är cybersäkerhet inte en engångsshow. Det är en levande process som vilken annan utvecklingsprocess som helst av ett kryptoprojekt.
Vi kommer att ge så mycket vägledning som behövs för att implementera vår färdplan korrekt. Vi kommer att eskortera dig varje steg på vägen. Denna implementeringsvägledning inkluderar:
- Vi hjälper dig att implementera tredjepartsverktyg och skriva deras policyer.
- Konsultera och ge vår kunskap när du designar nya moduler som direkt påverkar säkerheten eller indirekt påverkar ditt projekts säkerhet.
- Utföra ändringar av färdplanen för att anpassa sig till skiftande affärskrav och hjälpa till att hitta och eliminera nya säkerhetsöverträdelser.
- Vi hjälper dig i händelse av en incident, om något hände, vi skulle vara med dig för att hjälpa dig att förstå vad som hände, vad som gick vilse och vad vi kan göra åt det.
Vill du höra mer?
Ett kostnadsfritt konsultmöte ingår.
Sammanfattning
Web3-säkerhet är svårt, och nästan alla projekt är offer för någon form av cybersäkerhetsattack.
Genom att använda vårt unika tillvägagångssätt för 360° cyberskydd, kommer vi att ta ditt projekt till högsta möjliga nivå av cybersäkerhetsstandarder och säkerställa att skurkarna inte hackar dig.
För att göra det kommer vi först aktivt och passivt att hitta säkerhetstillgångarna och intrång i ditt system. Vi analyserar också historiska hack för projekt som liknar ditt för att bättre veta vad de vanligaste hackarna är på marknaden.
Vi kommer sedan att tillsammans med dig bygga en säkerhetsfärdplan som kommer att lägga till ytterligare säkerhetslager, förhindra en enda felpunkt i ditt system och integrera ett pågående säkerhetstestschema för att se till att ditt system förblir säkert även efter att vi är klara.
Efter att säkerhetsplanen har slutförts kommer vi att stanna vid din sida för att hjälpa dig att implementera våra resultat korrekt för att se till att allt är på högsta säkerhetsnivå.
