12 / Obszary
Sprawdzenie ochrony
Szukamy podatności w dostępie i wymianie danych, zamykamy to, co krytyczne, i zostawiamy zasady, a nie jednorazowy raport.
Produktom, do których już wpuszcza się cudze dane albo szykuje się wpuszczenie zewnętrznego zleceniodawcy.
Dostęp
Role
Klient
Pracownik
Admin
Zamówienie
Plik
Wypłata
Wejście
Rola
Cudze
Zamknięte
Ryzyko
Lista
Z czego się składa
Co wchodzi w system
- 01
Wejścia
Patrzymy, jak się wchodzi do środka: strona, panel, API, poczta, wspólne hasło, zapomniane konto testowe.
- Lista wejść
- Co jest otwarte bez logowania
- Gdzie hasło jest jedno dla wszystkich
- 02
Kto co widzi
Rola nie powinna otwierać cudzego zamówienia, cudzego pliku ani cudzej wypłaty bezpośrednim linkiem.
- Sprawdzenie uprawnień do obiektów
- Linki, które żyją zbyt długo
- Działania administracyjne w dzienniku
- 03
Dane w drodze i na dysku
Szyfrowanie tam, gdzie dane jadą i gdzie leżą. Sekrety nie w repozytorium i nie na czacie.
- Kanał do serwera
- Kopie i kto je czyta
- Gdzie są klucze i jak je zmieniają
- 04
Co zamknąć teraz
Ustalenia dzielimy według wagi. To, co krytyczne, zamykamy, zanim pisać długi raport.
- Podatność, przez którą już można wejść
- Co naprawia się konfiguracją
- Co wymaga osobnego złożenia
- 05
Co zostaje ryzykiem
Nie wszystko zamyka się tego samego dnia. Reszta jest zapisana: co to jest, kto przyjął i kiedy wrócić.
- Lista przyjętych ryzyk
- Kto odpowiada
- Ponowne spojrzenie po zamknięciu
Co robimy
- 01Obchód wejść i API
- 02Sprawdzenie typowych podatności
- 03Kto co widzi w środku
- 04Szyfrowanie tam, gdzie dane leżą i jadą
- 05Lista: co zamknąć teraz, co można później
Jak idziemy
- 01Mapa wejść
- 02Sprawdzenie
- 03Raport
- 04Zamknięcie tego, co krytyczne
- 05Ponowne spojrzenie
Na czym
- OWASP
- TLS
- Dzienniki dostępu
- Role
Orientacyjny termin
Pierwsze przejście — jeden–dwa tygodnie. Zamknięcie ustaleń — według ich wagi.
Na wyjściu
Wiadomo, które podatności są zamknięte, które przyjęto jako ryzyko i kto za to odpowiada.
Co zwykle później
Ciągłe monitorowanie ataków i osobny test red team raz na kwartał — to już opieka, nie pierwsze przejście.