Đánh giá rủi ro AIKhám phá AI ngầmTư thế bảo mật đám mâyKiểm chứng khai thácCI/CDNền tảng liên tụcBáo cáoDanh tính & truy cậpAgentic Trust & Protection Platform
Tư thế bảo mật đám mây & hạ tầng
CSPM không cần agent — chấm điểm theo CVSS, xếp hạng theo khả năng chạm tới.
Ứng dụng của bạn có thể hoàn hảo mà vẫn bị xâm phạm qua chính hạ tầng nó chạy trên đó.
Redthread kiểm tra đám mây của bạn để tìm những điểm phơi lộ mà kẻ tấn công thực sự săn lùng — bucket công khai, IAM cấp quyền quá rộng, cổng mở ra toàn thế giới, dữ liệu không mã hóa, nhật ký kiểm toán có điểm mù — trên AWS, Azure, GCP và Kubernetes. Không cần agent, và an toàn để chạy liên tục.
Không cần agent
không cần agent — không cần khóa, không cần quyền ghi, an toàn để chạy liên tục
3 đám mây
Tự động kết nối AWS, Azure & GCP, cùng khả năng nạp dữ liệu Kubernetes và Prowler
Chấm điểm CVSS
kiểm tra tất định — một phát hiện chỉ được ghi nhận khi tài nguyên thực sự không đạt
Kiểm tra tư thế bảo mật
không cần agent · chấm điểm CVSS · tất định
Một phát hiện chỉ được ghi nhận khi có lỗi thật
Bucket S3 cho phép truy cập công khaiNGHIÊM TRỌNG · 9.8
Chính sách IAM dùng ký tự đại diện (
Action:* / Resource:*)NGHIÊM TRỌNG · 9.1SSH / RDP mở cho 0.0.0.0/0CAO · 8.1
RDS có thể truy cập công khaiCAO · 7.5
Lambda function URL không xác thựcNGHIÊM TRỌNG · 9.1
RDS / S3 không mã hóa dữ liệu lưu trữTRUNG BÌNH · 5.3
Được xếp hạng theo khả năng chạm tới trong Redthread — 17 phát hiện thu gọn còn 1 rủi ro thực sự trên một tài khoản AWS đang hoạt động.
Bạn nhận được gì
Kiểm tra tư thế bảo mật an toàn để chạy mỗi ngày, không phải mỗi quý một lần.
không cần agent
Kết nối một vai trò không cần agent và chúng tôi sẽ đảm nhận vai trò đó, liệt kê tài nguyên mà không cần agent, và chạy các bài kiểm tra tất định — không cần khóa, không cần quyền ghi, không phải cài đặt gì. Nó không thể thay đổi đám mây của bạn, nên an toàn để chạy liên tục.
Chấm điểm CVSS, không có cảnh báo giả
Mọi bài kiểm tra đều tất định và được chấm điểm CVSS — bucket công khai, IAM dùng ký tự đại diện, security group mở, cơ sở dữ liệu công khai, dữ liệu không mã hóa, nhật ký kiểm toán bị tắt. Một phát hiện chỉ được ghi nhận khi tài nguyên thực sự không đạt.
Cả ba đám mây, tự động kết nối
AWS qua một vai trò không cần agent được tạo bằng Terraform và được bảo vệ bởi external ID của chính bạn; Azure qua một app registration (Reader + Security Reader); GCP qua một service account (Viewer + Security Reviewer). Mọi thông tin xác thực đều được xác minh bằng một lệnh gọi đọc thật trước khi được lưu trữ.
Nạp dữ liệu Kubernetes & Prowler
Mang theo bản kiểm kê Kubernetes hoặc bất kỳ bản xuất định dạng Prowler nào và cùng các bài kiểm tra tất định, chấm điểm CVSS sẽ chạy trên đó — không cần công cụ riêng, một góc nhìn chuẩn hóa duy nhất.
Xếp hạng theo khả năng chạm tới
Dữ liệu tư thế bảo mật được đưa vào Redthread, bộ máy đồ thị. Một bucket công khai là một phát hiện; một bucket công khai được biết là chứa dữ liệu cá nhân mới là một rủi ro. Trên một tài khoản AWS thật, điều này đã biến 17 phát hiện thành 1 rủi ro thực sự quan trọng.
Bí mật chỉ có thể ghi — không bao giờ được trả về bởi bất kỳ màn hình hay API nào — và phạm vi bao phủ chính xác là những gì bạn đã liệt kê, không bao giờ là tuyên bố rằng không còn gì khác sai.
Đọc về phạm vi bao phủ
Cách hoạt động
Kết nối, liệt kê, kiểm tra và xếp hạng theo những gì kẻ tấn công thực sự có thể chạm tới.
01
Kết nối
Cấp một vai trò không cần agent — Terraform cho AWS, app registration cho Azure, service account cho GCP. Được xác minh bằng một lệnh gọi đọc thật trước khi lưu trữ; không có khóa nào rời khỏi tài khoản của bạn.
02
Liệt kê
Chúng tôi đảm nhận vai trò đó và liệt kê tài nguyên mà không cần agent trên các tài khoản và dịch vụ của bạn — bucket, IAM, security group, cơ sở dữ liệu, function, cluster, nhật ký kiểm toán.
03
Kiểm tra
Các bài kiểm tra tất định, chấm điểm CVSS chạy trên bản kiểm kê. Một phát hiện chỉ được ghi nhận khi tài nguyên thực sự không đạt một bài kiểm tra — không chấm điểm dựa trên phỏng đoán.
04
Xếp hạng
Các phát hiện trở thành các nút trong Redthread, nên chúng được xếp hạng theo khả năng chạm tới — liệu internet có thực sự là một đường dẫn tới tài nguyên này, và nó có chạm tới dữ liệu nhạy cảm không? Đường tấn công chính là mức ưu tiên.
Phạm vi bao phủ trung thực
Dữ kiện quan sát được, không bao giờ là một kết luận "an toàn" sai.
Các phát hiện là dữ kiện cấu hình quan sát được. Phạm vi bao phủ chính xác là những dịch vụ bạn đã liệt kê — không bao giờ là tuyên bố rằng không còn gì khác bị cấu hình sai. Ứng dụng của bạn có thể hoàn hảo mà vẫn bị xâm phạm qua chính hạ tầng nó chạy trên đó, và tư thế bảo mật sẽ sai lệch mỗi khi một đội phát hành — đó là lý do việc không cần agent lại quan trọng: nó an toàn để chạy mỗi ngày.
Con số quan trọng
Trên một tài khoản AWS thật, điều này đã tạo ra 17 phát hiện nhưng chỉ 1 rủi ro — vì một bucket công khai là một phát hiện, còn một bucket công khai được biết là chứa dữ liệu cá nhân mới là một rủi ro. Thứ tự xếp hạng theo mức nghiêm trọng, rồi đã chứng minh trước tiềm năng, rồi mức độ trực tiếp của đường đi.
Câu hỏi thường gặp
Nhìn đám mây của bạn theo cách kẻ tấn công nhìn.
Kết nối một vai trò không cần agent và nhận các phát hiện được chấm điểm CVSS, xếp hạng theo khả năng chạm tới thực tế — an toàn để chạy liên tục, ngay từ ngày đầu.