راهنمای جامع آزمون امنیت وب و API

دارایی مجاز، نسخه، محیط، سطح ارزیابی و ابزارها پیش از شروع مشخص می‌شوند.

• محدوده و معیار ارزیابی
• آماده‌سازی ابزار

ردپای عمومی و سطح حمله فعال، بدون عبور از محدوده مصوب، ثبت و تأیید می‌شود.

• شناسایی غیرفعال
• شناسایی فعال و نقشه عملکرد

معماری، تنظیمات، TLS، هدرها، افشای اطلاعات و مرز اعتماد بررسی می‌شوند.

• معماری و توسعه امن
• زیرساخت و تنظیمات
• TLS و ارتباطات امن
• هدرها و افشای اطلاعات
• CORS و اعتماد به هدرها

تمام مسیرهای ورود، بازیابی، نشست، توکن و کنترل دسترسی با هویت‌های مجزا آزموده می‌شوند.

• ورود و سیاست رمز
• بازیابی و فعال‌سازی
• MFA و OTP
• نشست و Cookie
• Token و ورود یکپارچه
• کنترل دسترسی
• چرخه هویت و عملیات مدیریتی
• CSRF

مرزهای ورودی، مفسرها، مقصدهای بیرونی، فایل و قرارداد API به‌صورت کنترل‌شده آزموده می‌شوند.

• اعتبارسنجی ورودی
• XSS و خروجی
• تزریق در مفسرها
• Deserialization
• SSRF و مسیرها
• آپلود و دانلود
• API و پروتکل‌ها

منطق کسب‌وکار، هم‌زمانی، داده، رمزنگاری، منابع و پردازش HTTP زیر شرایط غیرعادی سنجیده می‌شوند.

• منطق و هم‌زمانی
• داده و Cache
• رمزنگاری و Secrets
• دیتابیس و تمامیت داده
• منابع و Exception
• پردازش HTTP

شواهد رفتاری با کد، لاگ، وابستگی‌ها، حافظه، Build و تنظیمات استقرار تطبیق داده می‌شوند.

• لاگ، حسابرسی و هشدار
• کد، حافظه و زنجیره تأمین
• Build و استقرار

بازیابی، پاک‌سازی، پوشش کنترل‌ها و نتیجه بازآزمایی برای تحویل قابل پیگیری ثبت می‌شوند.

• Backup و پایان ارزیابی