Premièrement, donner des conclusions qui peuvent être utilisées pour la prise de décisions
Le risque Agent provient d'une combinaison de modèles, données, connaissances, outils et privilèges système. La liste des actifs et le modèle de menace devraient être créés avant que vous alliez en ligne, et les conseils directs et indirects devraient être vérifiés séparément, fuites de connaissances inter-utilisateurs, paramètres d'outil dépassés, certificats à long terme, documents malveillants, pages Web externes, isolement de mémoire, exécution de sortie et confiance multiple Agent.
Quelles conditions faut-il définir avant de porter un jugement?
La même question peut avoir des réponses différentes dans différentes phases d'activité, de données et de projet. Il est suggéré de vérifier les conditions suivantes et d'intégrer les conclusions communes sur le web dans leurs propres projets.
Ordre d ' avancement suggéré
Premièrement, nous serons clairs sur la cible et la frontière.
Modèles d'inventaire, connaissances, outils, identités et flux de données.
Validation Dépendance des clés
b) Établissement de modèles de menace et d ' échantillons d ' essai fondés sur les conséquences opérationnelles.
Élaboration de résultats évaluables
Dépassement de l'autorité, injection, abus, divulgation et reprise des tests.
Assurez-vous de décider de la prochaine étape avec les résultats réels.
b) Réexamen continu après la révision, régression fixe et en ligne.
Comment le comprenez-vous dans le business réel?
L'achat de Agent lui permet de lire le courrier cité et de créer une demande d'achat. Le test de sécurité demande non seulement si elle va fuiter des informations, mais intègre également des instructions dans une annexe, tente de modifier le numéro de compte du fournisseur, augmente le montant, dupliquer la soumission et sauter l'approbation, et confirme que les couches d'outils, l'approbation et les dénonciateurs peuvent être validés.
La fosse la plus facile à monter.
Nous utiliserons la liste de sécurité des robots de discussion réguliers.
Les autorisations de production ont été testées dans des outils de simulation mais non validées
Non mesuré lorsque l'essai est terminé et que le modèle ou l'outil est mis à niveau
Comment devrions-nous finir par recevoir et confirmer?
Le rapport devrait comprendre des actifs, des versions, la voie d'attaque, des preuves de récurrence, le niveau de risque, la responsabilité pour correction et le risque résiduel.
En se préparant à communiquer avec les fournisseurs ou les équipes internes, il est recommandé d'apporter les processus actuels, des échantillons représentatifs, des systèmes existants, des délais de planification et des niveaux budgétaires. Premièrement, les éléments inconnus sont clairement marqués, et la décision est alors prise d'utiliser des diagnostics, PoC, des projets à fourchette fixe ou des recherches et développements en cours, qui sont généralement plus fiables qu'une demande directe de prix et de durée sans frontières.