权限
角色
客户
员工
管理员
订单
文件
付款
登录
角色
他人
已关闭
风险
清单
01
由什么构成
系统里包含什么
- 01
入口
看人如何进入：网站、工作台、API、邮箱、共用密码、遗忘的测试账号。
- 入口清单
- 不登录就能打开的
- 哪里是人人共用一个密码
- 02
谁能看到什么
角色不应能用直接链接打开他人的订单、文件或付款。
- 在数据对象上检查权限
- 存在太久的链接
- 日志里的管理员操作
- 03
传输中和磁盘上的数据
数据在传输和存放的地方加密。密钥不放在代码仓库里，也不放在聊天里。
- 到服务器的通道
- 备份，以及谁能读取
- 密钥在哪里，以及如何更换
- 04
现在补上什么
发现按严重程度分开。严重的在写长报告之前先补上。
- 已经能由此进入的漏洞
- 靠配置就能修好的
- 哪些需要单独构建
- 05
仍作为风险留下的
不是当天都能处理完。剩下的会记下：是什么、谁接手、何时再回来。
- 已接受风险的清单
- 谁负责回复
- 补上之后再看一次
做什么
- 01走一遍入口和 API
- 02检查常见漏洞
- 03内部谁能看到什么
- 04数据存放和传输的地方加密
- 05清单：现在补上什么，什么可以以后
如何推进
- 01入口图
- 02检查
- 03报告
- 04补上严重项
- 05再看一次
用什么
- OWASP
- TLS
- 访问日志
- 角色
工期参考
第一次检查是一到两周。发现的补上按严重程度来。
完成后
清楚哪些漏洞已补上、哪些作为风险接受，以及谁负责。
通常以后再做的
持续的攻击监测，以及每季度单独的红队检查，属于持续支持，不属于第一次检查。