Kokią užduotį sprendžia
Pagal sutartą leidimą patikrinti realų atakos kelią ir parengti atkartojamą radinį bei pataisos bandymą.
Kada rinktis šį agentą
- Kai reikia patikrinti vartotojų ar organizacijų duomenų atskyrimą API.
- Kai skeneris rodo silpnybę, bet neaiškios jos išnaudojimo sąlygos ir poveikis konkrečiai sistemai.
Kada reikia kito sprendimo
- Testavimas neapima kitų domenų, paskyrų ar infrastruktūros vien todėl, kad jie aptikti.
- Paslaugos trikdymas, duomenų naikinimas ir socialinė inžinerija galimi tik pagal aiškiai sutartą atskirą apimtį.
Kokius duomenis pateikti
- Testavimo leidimas ir ribos — Tiksliniai domenai, IP, paskyros, laiko langas, draudžiami veiksmai, apkrovos ribos bei skubaus stabdymo kontaktas.
- Sistemos ir testinių duomenų kontekstas — Vaidmenys, API sutartys, architektūra, kontrolinės paskyros, duomenų klasės ir numatyti prieigos draudimai.
Kokį rezultatą gauti
- Patikrintų radinių ataskaita — Pradinės sąlygos, veiksmai, tik būtinos apimties įrodymai, poveikis, sunkumo pagrindas ir konkreti pataisos kryptis.
- Pakartotinio testavimo rezultatai — Tas pats scenarijus po pataisos, teisėto naudojimo kontrolinis testas ir nepatikrintos apimties sąrašas.
Kaip vyksta darbas
- Užfiksuoti leidžiamą tikslą — Sutikrina radinius su leidimo apimtimi, parenka testines paskyras ir nustato stabdymo sąlygas. Priėmimas: Kiekvienas tikslas ir bandymo metodas patenka į suteiktą leidimą.
- Patvirtinti silpnybę — Tikrina pasirinktą atakos hipotezę ir rankiniu būdu vertina atsakymą bei serverio įvykius. Priėmimas: Radinys turi atkartojamą rezultatą ir neperteklinį poveikio įrodymą.
- Patikrinti pataisą ir sutvarkyti bandymo pėdsakus — Pakartoja neleistiną bei leistiną scenarijų ir dokumentuoja testinių išteklių pašalinimą. Priėmimas: Uždarymo būsena paremta bandymu; nepašalinti testavimo elementai aiškiai perduoti savininkui.
Įrankiai ir prieigos
- Burp Suite ar lygiavertė HTTP bandymų priemonė — Užklausoms bei atsakymams palyginti ir prieigos kontrolės scenarijams atkartoti. Prieiga: Reikia sutartos taikinių apimties, testinių paskyrų ir saugaus užklausų įrodymų saugojimo.
- Tinklo bei debesijos vertinimo priemonės — Sutartų paslaugų konfigūracijai ir pasiekiamumui tikrinti. Prieiga: Aktyvus skenavimas vykdomas tik leistinais adresais, nustatytu laiku ir apkrova.
Ribos ir žmogaus sprendimai
- Vien atsakymo ilgio ar būsenos skirtumas nepatvirtina SQL injekcijos; signalą reikia tikrinti papildomai.
- Ribotas testavimo laikas ir prieigos lygis neleidžia įrodyti visų galimų atakos kelių nebuvimo.
- Tikros informacijos kopijavimas nėra būtinas kiekvienam poveikio įrodymui; naudojami kontroliniai duomenys, kur įmanoma.
Žmogaus sprendimai
- Sistemos savininkas patvirtina testavimo ribas ir rizikingų metodų naudojimą.
- Radus tikro incidento požymių, testavimo vadovas stabdo bandymus ir perduoda juos incidento komandai.
Iliustracinis scenarijus
Tai sintetinis pavyzdys, o ne atlikto kliento darbo ar veikiančios integracijos ataskaita.
Prielaidos.
- Sintetinė bandomoji API su organizacijomis A ir B, dviem testiniais vartotojais ir kontrolinėmis sąskaitomis.
- Leidimas apima tik šią API ir kontrolinius duomenis.
Įvestis. Vartotojas A turi teisę skaityti A-101 sąskaitą; B-202 priklauso organizacijai B. Tikrinamas objektų prieigos atskyrimas.
Veiksmai.
- Patvirtina, kad A gali nuskaityti A-101.
- Su A sesija pateikia užklausą dėl B-202 ir fiksuoja, ar grąžinami kontroliniai B duomenys.
- Po serverio prieigos tikrinimo pataisos pakartoja abu bandymus.
Laukiamas rezultatas. Prieš pataisą radinyje užfiksuotas B-202 kontrolinių duomenų gavimas su A sesija. Po pataisos svetimas objektas negrąžinamas, o A-101 lieka pasiekiamas; pateiktos nuasmenintos užklausos ir serverio versijos.
Kada sustoti. Užklausa nukreiptų į neleistiną paslaugą, atsirastų tikri kitų klientų duomenys arba būtų pastebėta aktyvaus incidento požymių.
Kaip patikrinti rezultatą
- Atkartojamas radinys — Kita įgaliota komanda gali pakartoti veiksmus su tomis pačiomis testinėmis sąlygomis.
- Pataisa ir veikimo regresija — Neigiamas prieigos testas nebepraleidžia svetimo objekto, o kontrolinis leistinas veiksmas veikia.
Susiję vaidmenys ir sprendimai
- Saugumo incidentų valdymo specialistas — Kai sutartinio testavimo metu aptinkama tikro pažeidimo požymių ir reikia išsaugoti įrodymus bei koordinuoti ribojimą.
- Kokybė ir saugumas — Šios grupės vaidmenų atranka ir kitų užduočių palyginimas.
Profilio kilmė
Aprašas pritaikytas pagal „agency-agents“ vaidmenį „Penetration Tester“. Prisegtas originalus šaltinis. MIT licencija. Copyright (c) 2025 AgentLand Contributors.
MB Pinet · Verslomatika. Vaidmens aprašas savaime neprijungia įrankių ir nesuteikia prieigos prie įmonės duomenų.
Profilio pagrindas: agency-agents / security/security-penetration-tester.md. Viešas aprašas pritaikytas Verslomatikos procesams.
Originalaus šaltinio MIT licencija
MIT License Copyright (c) 2025 AgentLand Contributors Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.