12 / Напрями
Перевірка захисту
Шукаємо діри в доступі й обміні даними, закриваємо критичне і лишаємо правила, а не разовий звіт.
Продуктам, куди вже пускають чужі дані або готуються пустити зовнішнього замовника.
Доступ
Ролі
Клієнт
Співробітник
Адмін
Замовлення
Файл
Виплата
Вхід
Роль
Чуже
Закрито
Ризик
Список
З чого складається
Що входить у контур
- 01
Входи
Дивимося, як потрапляють усередину: сайт, кабінет, API, пошта, спільний пароль, забутий тестовий обліковий запис.
- Список входів
- Що відкрито без входу
- Де пароль один на всіх
- 02
Хто що бачить
Роль не має відкривати чуже замовлення, чужий файл або чужу виплату прямим посиланням.
- Перевірка прав на об'єктах
- Посилання, які живуть надто довго
- Адмінські дії в журналі
- 03
Дані в дорозі і на диску
Шифрування там, де дані їдуть і де лежать. Секрети не в репозиторії і не в чаті.
- Канал до сервера
- Копії і хто їх читає
- Де ключі і як їх змінюють
- 04
Що закрити зараз
Знахідки ділимо за важкістю. Критичне закриваємо до того, як писати довгий звіт.
- Діра, через яку вже можна зайти
- Що лагодиться налаштуванням
- Що потребує окремої збірки
- 05
Що лишається ризиком
Не все закривається того ж дня. Решта записана: що це, хто прийняв і коли повернутися.
- Список прийнятих ризиків
- Хто відповідає
- Повторний погляд після закриття
Що робимо
- 01Обхід входів і API
- 02Перевірка типових дір
- 03Хто що бачить усередині
- 04Шифрування там, де дані лежать і їдуть
- 05Список: що закрити зараз, що можна пізніше
Як ідемо
- 01Карта входів
- 02Перевірка
- 03Звіт
- 04Закриття критичного
- 05Повторний погляд
На чому
- OWASP
- TLS
- Журнали доступу
- Ролі
Орієнтир за строком
Перший прохід — один-два тижні. Закриття знахідок — за їхньою важкістю.
На виході
Зрозуміло, які діри закриті, які прийняті як ризик і хто за це відповідає.
Що зазвичай пізніше
Безперервний моніторинг атак і окремий червоний прогін раз на квартал — це вже супровід, не перший прохід.