Che cosa comporta per il suo test
Segui un’identità del carico di lavoro dal rilascio fino alle operazioni che può eseguire. Distingui tra materiale esposto, credenziali utilizzabili e autorizzazioni eccessive. Definisci le risorse consentite e le azioni di verifica prima di convalidare il percorso.
Il confine da sottoporre a test
Anche un’applicazione con un perimetro ristretto può dipendere da un’identità di distribuzione con privilegi estesi. Per gli archivi di build, i token dei workload e i ruoli di supporto dei fornitori servono evidenze dei permessi effettivi e della loro durata.
Un’API per esercenti può autenticare correttamente chi effettua la chiamata senza vincolare un oggetto a quell’esercente. Un webhook può essere autentico e tuttavia venire riprodotto in uno stato di transazione errato. I test devono considerare le decisioni aziendali previste dal prodotto, non limitarsi a un elenco di URL degli endpoint.
Cosa può includere l’ambito
- Accesso agli artefatti CI/CD e credenziali di bootstrap
- Destinatari del token di servizio e principio del privilegio minimo
- Ruoli di gestione cloud e relazioni di fiducia
- Amministrazione del ripristino e revoca delle sessioni attive
La proposta definitiva individua le applicazioni, gli account, gli ambienti e le interfacce specifici inclusi. Indica inoltre i prerequisiti che il vostro team o un fornitore deve mettere a disposizione.
Come si presenta una prova utile
Convalidate il percorso approvato dall’artefatto o dal contesto fornito fino a una specifica operazione API. Registrate i metadati del token e le decisioni sui ruoli oscurando i segreti, quindi verificate se la revoca raggiunge le sessioni esistenti.
Conservate l’ora UTC, l’identificativo dell’asset, il soggetto richiedente, la decisione attesa e la risposta osservata. I test che modificano lo stato richiedono una conferma nell’oggetto risultante o in un record di audit attendibile. Anche le operazioni negate e i controlli efficaci fanno parte dell’esito.
Misure di sicurezza e limiti della valutazione
L’ambito identifica gli account cloud, i progetti e i confini rispetto alle terze parti. Non si presume alcuna autorizzazione a enumerare infrastrutture di clienti estranei all’ambito né a modificare i controlli di ripristino in produzione.
Utilizzi tenant dedicati, dati sintetici dei clienti e circuiti di pagamento di test con il regolamento effettivo disabilitato. Concordi le autorizzazioni per i sistemi dei partner, i limiti delle transazioni, il rollback e le finestre di rilascio. Le attività in produzione devono avere responsabili espliciti e un canale chiaro per interromperle.
Chiudere il ciclo
Collegare ogni debolezza a un responsabile nominativo, a una misura di salvaguardia immediata e a una correzione duratura. Definire casi di ripetizione del test positivi e negativi affinché la modifica ripristini il confine previsto preservando al contempo l’uso legittimo. Gli elementi aperti mantengono le relative dipendenze e scadenze.
Consulti il rapporto di esempio del settore per vedere il formato delle evidenze e del piano di trattamento.
