खाता अधिग्रहण मूल्यांकन
लॉगिन और पुनर्प्राप्ति निर्णयों में संदर्भ जोड़ें।
किसी असामान्य संकेत को समझौते का प्रमाण माने बिना, कृत्रिम लॉगिन या खाता-पुनर्प्राप्ति इंटरैक्शन की समीक्षा करें। आपके एप्लिकेशन के अगले कदम चुनने से पहले वर्कफ़्लो उपलब्ध, अनुपस्थित और अनुपलब्ध साक्ष्य को दृश्य रखता है।
लॉगिन और पुनर्प्राप्ति वर्कफ़्लो
स्थायी लेबल नहीं, इंटरैक्शन का मूल्यांकन करें।
लॉगिन या पुनर्प्राप्ति प्रयास कई कारणों से अपरिचित लग सकता है। कार्रवाई, साक्ष्य स्थिति और एप्लिकेशन नीति अलग रखें, ताकि परिणाम की समीक्षा की जा सके और उसे बदला जा सके।
इंटरैक्शन
परिणामकारी इंटरैक्शन को चिह्नित करें।
इनपुट: सीमित लॉगिन या पुनर्प्राप्ति इवेंट
साक्ष्य
जो ज्ञात है और जो नहीं है, उसकी जांच करें।
आउटपुट: साक्ष्य स्थिति सहित आकलन संदर्भ
नीति
अपनी पुनर्प्राप्ति और एक्सेस नीति लागू करें।
निर्णय: आपके एप्लिकेशन का स्वामित्व और रिकॉर्ड
परिणामकारी इंटरैक्शन को चिह्नित करें।
पहचानें कि एप्लिकेशन लॉगिन या खाता-पुनर्प्राप्ति प्रयास का मूल्यांकन कर रहा है या नहीं, फिर उस निर्णय के लिए आवश्यक केवल अनुमत सर्वर-साइड संदर्भ संलग्न करें।
इनपुट: सीमित लॉगिन या पुनर्प्राप्ति इवेंट
जो ज्ञात है और जो नहीं है, उसकी जांच करें।
आकलन, उसके कारणों और योगदान देने वाले साक्ष्य की उपलब्धता को साथ पढ़ें। अनुपस्थित या विफल साक्ष्य को आश्वस्त करने वाले परिणाम में बदलने के बजाय दृश्य रखें।
आउटपुट: साक्ष्य स्थिति सहित आकलन संदर्भ
अपनी पुनर्प्राप्ति और एक्सेस नीति लागू करें।
आपका एप्लिकेशन तय करता है कि आगे बढ़ना है, अतिरिक्त जांच मांगनी है, इंटरैक्शन को समीक्षा के लिए भेजना है या रोकना है। Noxtica का परिणाम एक इनपुट है, अपने आप में प्राधिकरण नहीं।
निर्णय: आपके एप्लिकेशन का स्वामित्व और रिकॉर्ड
साक्ष्य की स्थिति
अनुपस्थिति सुरक्षा के समान नहीं है।
मूल्यांकन में देखे गए इनपुट, न दिए गए इनपुट और पूरी न हो सकी जांच के बीच का अंतर बनाए रखना आवश्यक है।
साक्ष्य उपलब्ध
समर्थित इनपुट ने संदर्भ में योगदान दिया।
साक्ष्य अनुपस्थित
अपेक्षित इनपुट उपलब्ध नहीं कराया गया।
साक्ष्य अनुपलब्ध
जांच से परिणाम नहीं मिल सका।
साक्ष्य उपलब्ध
समर्थित इनपुट ने संदर्भ में योगदान दिया।
देखें कि कौन-सा साक्ष्य उपलब्ध था, उसने योगदान क्यों दिया और चुनी गई नीति लागू करने के लिए एप्लिकेशन के पास पर्याप्त संदर्भ है या नहीं।
साक्ष्य अनुपस्थित
अपेक्षित इनपुट उपलब्ध नहीं कराया गया।
इस अंतराल को अज्ञात मानें। छोड़े गए, अवरुद्ध या एकत्र न किए गए इनपुट को कम-जोखिम संकेत में न बदलें।
साक्ष्य अनुपलब्ध
जांच से परिणाम नहीं मिल सका।
टाइमआउट, असमर्थित और प्रोसेसिंग-विफलता वाले पथ अलग रखें, ताकि आपका एप्लिकेशन स्पष्ट फ़ॉलबैक का उपयोग कर सके।
अनिश्चितता और गलत सकारात्मक परिणाम
संदिग्ध संदर्भ को भी स्पष्टीकरण चाहिए।
खाता अधिग्रहण एक ऐसी परिकल्पना है जिसका मूल्यांकन किया जाना चाहिए। सामान्य ग्राहक व्यवहार भी दुरुपयोग जैसे बाहरी पैटर्न बना सकता है, और परिचित परिवेश यह सिद्ध नहीं करता कि खाता सुरक्षित है।
संभावित सामान्य स्पष्टीकरण
- कोई ग्राहक बदले गए डिवाइस, नए इंस्टॉल किए गए ब्राउज़र या स्थानीय डेटा हटाने के बाद साइन इन करता है।
- यात्रा, मोबाइल रूटिंग, कॉर्पोरेट नेटवर्क या गोपनीयता सेवा दिखने वाले नेटवर्क संदर्भ को बदल देती है।
- कोई वैध ग्राहक डिवाइस या पासवर्ड मैनेजर तक पहुंच खोने के बाद पुनर्प्राप्ति शुरू करता है।
- अभिगम्यता, गोपनीयता या ब्राउज़र सेटिंग के कारण अपेक्षित इनपुट एकत्र नहीं हो पाता।
क्या निष्कर्ष नहीं निकाला जा सकता
- वैध पासवर्ड या परिचित डिवाइस यह सिद्ध नहीं करता कि व्यक्ति खाते का स्वामी है।
- नया डिवाइस, नेटवर्क परिवर्तन या स्वचालित पैटर्न अपने आप में समझौता सिद्ध नहीं करता।
- अनुपस्थित या अनुपलब्ध साक्ष्य का अर्थ कम जोखिम नहीं है और इसे सुरक्षित के रूप में प्रदर्शित नहीं करना चाहिए।
- जोखिम संदर्भ प्रमाणीकरण, बहु-कारक जांच, प्राधिकरण या सुरक्षित पुनर्प्राप्ति प्रक्रिया का विकल्प नहीं है।
कार्यान्वयन सीमा
सर्वर-साइड निर्णय पथ को जोड़ें।
यह पेज परिनियोजन मोड, प्रतिक्रिया समय या स्वचालित प्रवर्तन का वादा नहीं करता। मौजूदा समीक्षित इंटीग्रेशन और उस डेटा के इर्द-गिर्द मूल्यांकन सीमित रखें जिसे आपका एप्लिकेशन प्रोसेस कर सकता है।
- एक्सेस या पुनर्प्राप्ति निर्णय को प्रभावित करने से पहले सर्वर पर इंटरैक्शन परिणाम सत्यापित करें।
- केवल प्रकट किए गए और अनुमत इनपुट एकत्र करें; उद्देश्य, पहुंच, प्रतिधारण, हटाने और अनुपलब्ध व्यवहार का दस्तावेज़ीकरण करें।
- प्रतिनिधि ट्रैफ़िक देखने से पहले टाइमआउट, त्रुटि, अनुपस्थित-साक्ष्य और असमर्थित-क्लाइंट के फ़ॉलबैक निर्धारित करें।
- नीति परिवर्तन वापस लेने योग्य रखें और ग्राहक के लिए बाधा जोड़ने से पहले एप्लिकेशन-स्वामी की स्वीकृति लें।
मूल्यांकन मापदंड
दुरुपयोग और वैध पुनर्प्राप्ति को साथ मापें।
सीमित लॉगिन या पुनर्प्राप्ति यात्रा और उन परिणामों से शुरू करें जिन्हें आपकी टीम सत्यापित कर सकती है। लक्ष्य मूल्यांकन योजना है, कमी का वादा नहीं।
- ज्ञात अंतिम निर्णय वाले इंटरैक्शन में पुष्टि किए गए अनधिकृत पहुंच के परिणाम।
- वैध लॉगिन और पुनर्प्राप्ति का पूरा होना, जिसमें अतिरिक्त जांच छोड़ना और सहायता को एस्केलेट करना शामिल है।
- उपलब्ध साक्ष्य देखने के बाद भी अनिश्चित रहने वाले मामलों के लिए समीक्षा की मात्रा और समय।
- गुम, अनुपलब्ध, समय-समाप्त और अज्ञात-परिणाम वाले पथों को चुपचाप छोड़ने के बजाय उनका कवरेज।
मूल्यांकन की व्याख्या से पहले लेबल, अवलोकन अवधि, जनसंख्या, साथ-साथ किए गए नीति परिवर्तन और रुकने की शर्तें निर्धारित करें। पेज विज़िट या फ़ॉर्म सबमिशन उत्पाद-प्रभाव के साक्ष्य नहीं हैं।
खाता अधिग्रहण मूल्यांकन
एक लॉगिन या पुनर्प्राप्ति निर्णय का वॉकथ्रू करें।
इंटरैक्शन, मौजूदा नियंत्रण, साक्ष्य में अंतराल और नीति स्वामी साथ लाएं। वॉकथ्रू मूल्यांकन से पहले परिणाम का वादा करने के बजाय वर्कफ़्लो तक सीमित रहता है।