Em primeiro lugar, dar conclusões que podem ser utilizadas para a tomada de decisões
O risco do Agente vem de uma combinação de modelos, dados, conhecimento, ferramentas e privilégios do sistema. A lista de ativos e modelo de ameaça deve ser criada antes de você ir on-line, e dicas diretas e indiretas devem ser verificadas separadamente, vazamentos de conhecimento entre usuários, parâmetros de ferramenta ultrapassados, certificados de longo prazo, documentos maliciosos, páginas web externas, isolamento de memória, execução de saída e múltiplos Agent confiança.
Que condições precisam ser identificadas antes de se fazer o julgamento?
A mesma questão pode ter respostas diferentes em diferentes fases de negócio, dados e projetos. Sugere-se que as seguintes condições sejam verificadas e que as descobertas comuns na web sejam incorporadas em seus próprios projetos.
Ordem de adiantamento sugerida
Primeiro, vamos ser claros sobre o alvo e a fronteira.
Modelos de inventário, conhecimento, ferramentas, identidades e fluxos de dados.
Dependência da Chave de Validação
b) Estabelecimento de modelos de ameaça e de amostras de ensaio com base nas consequências operacionais.
Desenvolvimento de resultados avaliáveis
Excedente de autoridade, injeção, abuso, divulgação e retomada de testes.
Certifique-se de decidir o próximo passo com os resultados reais.
b) Reexame contínuo após a conclusão da revisão, regressão fixa e em linha.
Como é que entendes isso no negócio?
A aquisição do Agente permite-lhe ler o correio citado e criar uma aplicação de aquisição. O teste de segurança não só pergunta se irá vazar informações, mas também incorpora instruções em um anexo, tenta modificar o número da conta do vendedor, aumentar a quantidade, duplicar a submissão e pular a aprovação, e confirma que as camadas de ferramentas, aprovação e denunciantes podem ser validadas.
O poço mais fácil de pisar.
Vamos usar a lista de segurança dos robôs de conversa.
As permissões de produção foram testadas em ferramentas de simulação, mas não validadas
Não medido quando o teste é concluído e o modelo ou ferramenta é atualizado
Como devemos acabar recebendo e confirmando?
O relatório deverá incluir activos, versões, via de ataque, provas de recorrência, nível de risco, responsabilidade pela correcção e risco residual.
Ao se preparar para comunicar com fornecedores ou equipes internas, recomenda-se que processos atuais, amostras representativas, sistemas existentes, tempo de planejamento e níveis de orçamento sejam trazidos. Primeiro, os itens desconhecidos são claramente marcados, e então a decisão é tomada de usar diagnósticos, PoC, projetos de alcance fixo ou pesquisa e desenvolvimento em curso, que é geralmente mais confiável do que uma demanda direta por um preço e duração sem fronteiras.