Ten eerste, geef conclusies die kunnen worden gebruikt voor de besluitvorming
De tester probeert directe en indirecte tips, cross-tenant of cross-role toegang te injecteren, te induceren van hoog-authoriteit tools, inbedding instructies in documenten, omzeilen goedkeuringen, besmetten lange termijn geheugen, lek systeem tips of gevoelige gegevens, en controleren of storingen worden gecontroleerd en getraceerd.
Welke voorwaarden moeten worden vastgesteld voordat een oordeel wordt uitgesproken?
Dezelfde vraag kan verschillende antwoorden hebben in verschillende bedrijfs-, data- en projectfasen. Er wordt voorgesteld de volgende voorwaarden te controleren en de gemeenschappelijke bevindingen op het web in hun eigen projecten op te nemen.
Voorgestelde volgorde van de voorschotten
Eerst zullen we duidelijk zijn over het doel en de grens.
Combineer datastromen, vertrouwensgrenzen, gebruikersrollen, tools en risicovolle acties.
Validatie Zeer belangrijke afhankelijkheid
Stel een reeks tests op voor normale, kwaadaardige, ultra vires, conflict en mislukking.
Ontwikkeling van de te beoordelen resultaten
Voer en bewaar input, versie, call en resultaat bewijs in een gescheiden omgeving.
Zorg ervoor dat u de volgende stap met de echte resultaten te beslissen.
De sanering was voltooid en belangrijke aanvalsmonsters werden opgenomen in de lopende terugkeer.
Hoe begrijp je dat in de praktijk?
De koper Agent leest de e-mail van de leverancier en creëert een waarde record. De aanvaller kan de instructies om de regel te.igniteer en stuur alle leveranciers aanbiedingen naar een adres. In een bijlage. De test niet alleen onderzoekt of het model wordt geïdentificeerd, maar ook controleren of de inhoud van de e-mail niet de instructies van het systeem verandert, dat de uitgaande tool is beperkt door domeinnamen en goedkeuringen, en dat ongebruikelijke oproepen worden onderschept en gewaarschuwd.
De makkelijkste put om op te stappen.
Alleen de publieke ontsnappingstest.
Directe implementatie van een aanval in een productieomgeving die reële operationele gevolgen kan hebben
Geen regressiemonsters na wijziging en gaten opnieuw ontstaan bij de upgrade van modellen
Hoe moeten we uiteindelijk ontvangen en bevestigen?
Het verslag moet activa, vertrouwensgrenzen, testmethoden, impact, herstelvoorwaarden, bewijs, risiconiveau, aanbevelingen voor correctie en bevindingen omvatten.
Bij de voorbereiding op communicatie met leveranciers of interne teams, wordt aanbevolen om huidige processen, representatieve monsters, bestaande systemen, planningstijd en budgetniveaus worden gebracht. Eerst, de onbekende items zijn duidelijk gemarkeerd, en dan wordt besloten om gebruik te maken van diagnostiek, PoC, vaste-range projecten of lopende onderzoek en ontwikkeling, die meestal betrouwbaarder is dan een directe vraag naar een prijs en duur zonder grenzen.