أقل امتياز افتراضياً، وأسرار خارج المستودع، وتحقق مضمون أينما تحركت القيمة، وسطر تدقيق عند كل تغير في الحالة. المراجعة العدائية مرور منفصل بمراجع منفصل، ويجري قبل أن يصبح الإيداع ممكناً لا بعد أول حادثة.
الغريب
ثغرات مفتوحة
ثغرات مفتوحة
0
نرسم كل طريق للدخول.
نهاجم كما يفعل الغريب.
نرتّب ما نجده.
يُصلَح ويُختبر ويُغلق.
نرسم كل طريق للدخول.
الموقع وواجهة البرمجة والمحافظ والخوادم. كل ما يصل إليه الغريب يدخل الخريطة.
نهاجم كما يفعل الغريب.
يدويًا أولًا ثم بالأدوات. نجرّب كل باب، ومنها الأبواب التي لم يدرجها أحد.
نرتّب ما نجده.
كل مشكلة تأتي مع مدى خطورتها وطريقة إصلاحها، والأكثر إلحاحًا أولًا.
يُصلَح ويُختبر ويُغلق.
نختبر كل إصلاح قبل إغلاقه. أرسلوا مسبارًا وقارنوا بين قبل وبعد.
ما الذي نختبره
النطاق
ما يدخل وما يخرج ومن يوقّع.
الاختبار
العمل اليدوي أولًا ثم الأدوات.
التقرير
كل ملاحظة مع درجة خطورتها وحلها.
إعادة الاختبار
نتحقق من الإصلاح ثم نغلق الملاحظة.
أسئلة
تدقيق الكود والعقود مراجعة سطراً بسطر للتطبيق ولأي عقود ذكية، مع مراجع ثانٍ لكل ملاحظة وموافقة مكتوبة قبل أن يصبح الإيداع ممكناً. المراجعة العدائية مرور منفصل بمراجع منفصل، وتجري قبل أول إيداع لا بعد أول حادثة. لا ننشر عقداً ذكياً غير مدقق على شبكة إنتاج. ويضم الكتالوج أيضاً مراجعة داخلية سابقة للتدقيق: تحليل ساكن، واختبارات ثوابت، والملاحظات مع إصلاحاتها.
نهاجم النظام الحي كما يفعل طرف خارجي: الموقع وواجهة البرمجة ومسارات المحافظ والخوادم تحتها. يدخل الخريطة أولاً كل ما يصل إليه الغريب، ويُتفق على النطاق كتابةً: ما يدخل وما يخرج ومن يوقّع. العمل اليدوي أولاً ثم الأدوات، فنجرّب كل باب، ومنها الأبواب التي لم يدرجها أحد. تصلكم الملاحظات مرتبة بحسب كلفتها عليكم، وبعد إصلاحها نعيد اختبارها.
تقرير واحد يمكنكم العمل به. كل ملاحظة تأتي مع درجة خطورتها وحلها، والأكثر إلحاحاً أولاً. أي ثغرة نجدها في نظامكم، حتى لو كانت في شيفرة كتبناها نحن، تُبلَّغ إليكم مع درجة الخطورة وخطوات إعادة الإنتاج والحل، وإن كانت في نظام طرف ثالث اتبعنا إجراءات الإفصاح لدى ذلك المورّد. وحين تصلحون ملاحظة نتحقق من الإصلاح ثم نغلقها. وبند اختبار الاختراق في الكتالوج محدد النطاق بالطريقة نفسها: اختبار تطبيق الويب، وتقرير الملاحظات، وإصلاحات متحقق منها.
حين يكون الخطأ قد وقع بالفعل، نعيد بناء التسلسل الزمني من السجلات وبيانات السلسلة والأجهزة المعنية. يشمل العمل إعادة بناء الحادثة، والتتبع على السلسلة وخارجها، وحفظ الأدلة. وما تتسلمونه هو تسلسل الأحداث والسبب والمعالجة كتابةً، في تقرير مكتوب ليصمد أمام الطرف المقابل أو الجهة التنظيمية. ويمكنكم بدء ذلك من ملخص المشروع، حيث تشمل المراجعة الأمنية التدقيق واختبار الاختراق والتحقيق الرقمي.
الوصول بأقل امتياز ومحدد بمدة. نطلب أضيق نطاق يسمح بإنجاز العمل، ونستخدم حساباتكم بدل حساب مشترك حيثما سمحت المنصة بذلك، ونلغي الوصول عند التسليم. مفاتيح النشر ومفاتيح التوقيع ورموز واجهة البرمجة وبيانات اعتماد الخدمات التي أُنشئت أثناء المهمة تُدوَّر عند التسليم، وتبقى القيم الجديدة لديكم، ولا نحتفظ بنسخة. تبقى بياناتكم في بنيتكم التحتية، وحين نحتاج إلى بيانات إنتاج لإعادة إنتاج خلل نسأل أولاً ونفضّل مقتطفاً منقّحاً.
من الكتالوج
كل بند يُحدد نطاقه كتابةً قبل أن يبدأ. افتحوا أي بند لتروا ما يشمله.
افتحوا الكتالوج كاملاًابدأ مشروعًا
