הערכת סיכון להשתלטות על חשבון
הוסיפו הקשר להחלטות כניסה ושחזור.
בחנו אינטראקציית כניסה או שחזור חשבון סינתטית, בלי להתייחס לאות חריג יחיד כהוכחה לפריצה. התהליך משאיר ראיות זמינות, חסרות ולא זמינות גלויות לפני שהיישום מחליט מה יקרה בהמשך.
תהליך עבודה לכניסה ושחזור
העריכו את האינטראקציה, לא תווית קבועה.
ניסיון כניסה או שחזור עשוי להיראות לא מוכר מסיבות רבות. הפרידו בין הפעולה, מצב הראיות ומדיניות היישום, כך שאפשר יהיה לבחון ולהפוך את התוצאה.
אינטראקציה
סמנו את האינטראקציה בעלת ההשלכות.
קלט: אירוע כניסה או שחזור תחום
ראיות
בדקו מה ידוע ומה לא.
פלט: הקשר הערכה עם מצב ראיות
מדיניות
החילו את מדיניות השחזור והגישה שלכם.
החלטה: בבעלות היישום שלכם ומתועדת בו
סמנו את האינטראקציה בעלת ההשלכות.
זהו אם היישום מעריך ניסיון כניסה או שחזור חשבון, ולאחר מכן צרפו רק את ההקשר המותר בצד השרת הנחוץ להחלטה זו.
קלט: אירוע כניסה או שחזור תחום
בדקו מה ידוע ומה לא.
קראו יחד את ההערכה, הנימוקים שלה וזמינות הראיות שתרמו לה. ראיות חסרות או שנכשלו נשארות גלויות במקום להיות מומרות לתוצאה מרגיעה.
פלט: הקשר הערכה עם מצב ראיות
החילו את מדיניות השחזור והגישה שלכם.
היישום שלכם מחליט אם להמשיך, לבקש בדיקה נוספת, לשלוח את האינטראקציה לבדיקה או לעצור אותה. תוצאת Noxtica היא קלט, ולא הרשאה בפני עצמה.
החלטה: בבעלות היישום שלכם ומתועדת בו
מצב הראיות
היעדר אינו זהה לבטיחות.
ההערכה חייבת לשמר את ההבחנה בין קלט שנצפה, קלט שלא סופק ובדיקה שלא הצליחה להסתיים.
ראיות זמינות
קלט נתמך תרם הקשר.
ראיות חסרות
קלט צפוי לא סופק.
ראיות אינן זמינות
בדיקה לא הצליחה להפיק תוצאה.
ראיות זמינות
קלט נתמך תרם הקשר.
בחנו אילו ראיות היו זמינות, מדוע הן תרמו, והאם ליישום יש די הקשר כדי להחיל את המדיניות שנבחרה.
ראיות חסרות
קלט צפוי לא סופק.
התייחסו לפער כאל מידע לא ידוע. אל תהפכו קלט שהושמט, נחסם או לא נאסף לאות של סיכון נמוך.
ראיות אינן זמינות
בדיקה לא הצליחה להפיק תוצאה.
הפרידו בין מסלולים של פסק זמן, אי-תמיכה וכשל בעיבוד, כדי שהיישום יוכל להשתמש בחלופה מפורשת.
אי-ודאות וחיוביים כוזבים
גם הקשר חשוד זקוק להסבר.
השתלטות על חשבון היא השערה שיש לבחון. התנהגות רגילה של לקוחות יכולה ליצור אותם דפוסים חיצוניים כמו שימוש לרעה, וסביבה מוכרת אינה מוכיחה שהחשבון בטוח.
הסברים סבירים שאינם זדוניים
- לקוח נכנס ממכשיר חלופי, מדפדפן שהותקן לאחרונה או לאחר ניקוי נתונים מקומיים.
- נסיעה, ניתוב סלולרי, רשת ארגונית או שירות פרטיות משנים את הקשר הרשת הנראה לעין.
- לקוח לגיטימי מתחיל תהליך שחזור לאחר שאיבד גישה למכשיר או למנהל סיסמאות.
- הגדרות נגישות, פרטיות או דפדפן מונעות איסוף של קלט שבדרך כלל צפוי להיאסף.
מה לא ניתן להסיק
- סיסמה תקפה או מכשיר מוכר אינם מוכיחים שהאדם הוא בעל החשבון.
- מכשיר חדש, שינוי ברשת או דפוס אוטומטי אינם מוכיחים לבדם פריצה.
- ראיות חסרות או לא זמינות אינן מצביעות על סיכון נמוך ואסור להציג אותן כבטוחות.
- הקשר סיכונים אינו מחליף אימות, בדיקות רב-גורמיות, הרשאה או תהליך שחזור מאובטח.
גבול ההטמעה
חברו את נתיב ההחלטה בצד השרת.
הדף אינו מבטיח אופן פריסה, זמן תגובה או אכיפה אוטומטית. תחמו את ההערכה סביב האינטגרציה הנוכחית שנבדקה והנתונים שהיישום שלכם מורשה לעבד.
- אמתו את תוצאת האינטראקציה בשרת לפני שתוכל להשפיע על החלטת גישה או שחזור.
- אספו רק קלטים שנחשפו והותרו; תעדו את המטרה, הגישה, השמירה, המחיקה וההתנהגות במקרה של אי-זמינות.
- הגדירו חלופות לפסק זמן, שגיאה, ראיות חסרות ולקוח שאינו נתמך לפני צפייה בתעבורה מייצגת.
- השאירו שינויי מדיניות הפיכים ודרשו את אישור בעלי היישום לפני הוספת חיכוך ללקוחות.
מדד הערכה
מדדו יחד שימוש לרעה ושחזור לגיטימי.
התחילו במסע כניסה או שחזור תחום ובתוצאות שהצוות שלכם יכול לאמת. המטרה היא תוכנית הערכה, לא הפחתה מובטחת.
- תוצאות מאומתות של גישה לא מורשית מבין אינטראקציות בעלות תוצאה סופית ידועה.
- השלמה של כניסה ושחזור לגיטימיים, לרבות נטישה בבדיקה נוספת והסלמה לתמיכה.
- נפח וזמן הבדיקה של מקרים שנותרים לא ודאיים לאחר בחינת הראיות הזמינות.
- כיסוי של מסלולים חסרים, לא זמינים, של פסק זמן ושל תוצאה לא ידועה, במקום להשמיט אותם בשקט.
הגדירו תוויות, חלון תצפית, אוכלוסייה, שינויי מדיניות מקבילים ותנאי עצירה לפני פירוש ההערכה. ביקורים בדף או שליחת טפסים אינם ראיה להשפעת המוצר.
הערכת סיכון להשתלטות על חשבון
עברו על החלטת כניסה או שחזור אחת.
הביאו את האינטראקציה, הבקרות הנוכחיות, פערי הראיות ובעלי המדיניות. ההדגמה נשארת ממוקדת בתהליך העבודה במקום להבטיח תוצאה לפני ההערכה.