12 / Направления
Проверка защиты
Ищем дыры в доступе и обмене данными, закрываем критичное и оставляем правила, а не разовый отчёт.
Продуктам, куда уже пускают чужие данные или готовятся пустить внешнего заказчика.
Доступ
Роли
Клиент
Сотрудник
Админ
Заказ
Файл
Выплата
Вход
Роль
Чужое
Закрыто
Риск
Список
Из чего состоит
Что входит в контур
- 01
Входы
Смотрим, как попадают внутрь: сайт, кабинет, API, почта, общий пароль, забытая тестовая учётка.
- Список входов
- Что открыто без входа
- Где пароль один на всех
- 02
Кто что видит
Роль не должна открывать чужой заказ, чужой файл или чужую выплату прямой ссылкой.
- Проверка прав на объектах
- Ссылки, которые живут слишком долго
- Админские действия в журнале
- 03
Данные в пути и на диске
Шифрование там, где данные едут и где лежат. Секреты не в репозитории и не в чате.
- Канал до сервера
- Копии и кто их читает
- Где ключи и как их меняют
- 04
Что закрыть сейчас
Находки делим по тяжести. Критичное закрываем до того, как писать длинный отчёт.
- Дыра, через которую уже можно зайти
- Что чинится настройкой
- Что требует отдельной сборки
- 05
Что остаётся риском
Не всё закрывается в тот же день. Оставшееся записано: что это, кто принял и когда вернуться.
- Список принятых рисков
- Кто отвечает
- Повторный взгляд после закрытия
Что делаем
- 01Обход входов и API
- 02Проверка типичных дыр
- 03Кто что видит внутри
- 04Шифрование там, где данные лежат и едут
- 05Список: что закрыть сейчас, что можно позже
Как идём
- 01Карта входов
- 02Проверка
- 03Отчёт
- 04Закрытие критичного
- 05Повторный взгляд
На чём
- OWASP
- TLS
- Журналы доступа
- Роли
Ориентир по сроку
Первый проход — одна-две недели. Закрытие находок — по их тяжести.
На выходе
Понятно, какие дыры закрыты, какие приняты как риск и кто за это отвечает.
Что обычно позже
Непрерывный мониторинг атак и отдельный красный прогон раз в квартал — это уже сопровождение, не первый проход.