பாதுகாப்பு வழக்குகள்
பாதுகாப்பு சேவைப் பணிகளின் பதிவுகள்
நமது சந்தைகளில் வழங்கப்பட்ட பாதுகாப்பு ஆய்வுகள், கடினப்படுத்தல் மற்றும் ஆலோசனைப் பணிகளின் கட்டமைக்கப்பட்ட சுருக்கங்கள்.
இவை உண்மையில் நிறைவு செய்யப்பட்ட வாடிக்கையாளர் பணிகள். இரகசியத்தன்மைக்காக வாடிக்கையாளர் பெயர்களும் அடையாள விவரங்களும் வெளியிடப்படவில்லை. ஒவ்வொரு பணியின் உறுதிசெய்யப்பட்ட நோக்கத்திற்குள் முடிவுகள் விவரிக்கப்படுகின்றன.
இணையப் பாதுகாப்புக் காப்பீட்டைப் புதுப்பிக்கத் தயாராக இருந்த ஒரு நிதிச் சேவை நிறுவனத்துக்கு, Essential Eight கட்டமைப்புடன் ஒப்பிட்டு அதன் கட்டுப்பாடுகளை முறையாக மதிப்பாய்வு செய்ய வேண்டியிருந்தது. செயல்பாடுகளுக்கு இடையூறு ஏற்படுத்தாமல் இந்த மதிப்பீட்டை மேற்கொள்ள உள் குழுக்களிடம் பிரத்யேகமாக ஒதுக்கப்பட்ட வளம் இல்லை.
வரம்பில் என்ன இருந்தது
ஆஸ்திரேலிய சமிக்ஞை இயக்குநரகம் எஸ்சென்ஷியல் எட்டு கட்டமைப்பில் வரையறுக்கப்பட்ட எட்டு தணிப்பு உத்திகளின் மதிப்பீடு. மதிப்பீடு நிறுவனத்தின் முதன்மை உற்பத்தி சூழல் மற்றும் நிர்வாக அணுகல் கட்டுப்பாடுகளை உள்ளடக்கியது. பணிகள் தொடங்கும் முன் அதன் நோக்கம் வரையறுக்கப்பட்டு எழுத்துப்பூர்வமாக உறுதிப்படுத்தப்பட்டது.
என்ன ஆய்வு செய்யப்பட்டன
- முதன்மை endpoints முழுவதும் பயன்பாட்டுக் கட்டுப்பாட்டு உள்ளமைவு
- இணையத்தை நோக்கிய சேவைகளுக்கான பேட்ச் பயன்பாட்டு உள்ளடக்கம்
- அலுவலக மேக்ரோ கட்டமைப்பு மற்றும் கொள்கை கட்டுப்பாடுகள்
- பயனர் பயன்பாடு கடினப்படுத்தல் அமைப்புகள்
- நிர்வாக உரிமையை வழங்குவதற்கான கட்டுப்பாடு
- வரம்பிற்குட்பட்ட சொத்துக்கள் முழுவதும் இயக்க முறைமை பேட்ச்கள் எவ்வளவு புதுப்பித்த நிலையில் உள்ளன
- நிர்வாகக் கணக்குகளுக்கான பல காரணி அங்கீகார உள்ளடக்கம்
- தினசரி காப்புப்பிரதி அமைத்தல் மற்றும் சோதனை செய்யப்பட்ட மீட்டெடுப்பு நடைமுறைகள்
வழங்கப்பட்டவை
- ஒவ்வொரு உத்திக்கும் முதிர்வு நிலையுடன் கூடிய எழுத்துப்பூர்வ அடிப்படை மதிப்பாய்வு அறிக்கை
- பரிந்துரைக்கப்பட்ட சரிசெய்தல் வரிசையுடன் கூடிய முன்னுரிமைப்படுத்தப்பட்ட கண்டறிதல் பதிவேடு
- நிர்வாகக் குழு அல்லது காப்பீட்டு நிறுவனத்திடம் வழங்க ஏற்ற நிர்வாகச் சுருக்கம்
- நடவடிக்கை எடுக்க வேண்டிய ஒவ்வொரு கண்டுபிடிப்பிற்கும் திருத்த வழிகாட்டுதல் குறிப்புகள்
சேர்க்கப்படவில்லை
- ×ஊடுருவல் சோதனை அல்லது பாதிப்புகளைச் செயலில் சுரண்டுவதற்கான முயற்சிகள்
- ×வரையறுக்கப்பட்ட எல்லைக்கு அப்பால் உள்ள உள்கட்டமைப்பை மறுபரிசீலனை செய்தல்
- ×சான்றிதழ் அல்லது இணக்க சான்றிதழ் வழங்கல்
- ×தொடர்ச்சியான கண்காணிப்பு அல்லது நிர்வகிக்கப்படும் பாதுகாப்பு சேவைகள்
வேலை முடிந்த பிறகு என்ன மாறியது
இந்த அமைப்பு தனது சைபர் காப்பீட்டாளருக்கு ஆய்வு அறிக்கையை அதன் தற்போதைய பாதுகாப்புக் கட்டுப்பாடுகளின் நிலைக்கான ஆதாரமாகச் சமர்ப்பித்தது. அடுத்த காலாண்டிற்கான குறைபாடுகளைச் சரிசெய்யும் பணிகளுக்கு முன்னுரிமை அளிக்க உள் குழுக்கள் கண்டறியப்பட்ட குறைபாடுகளின் பதிவேட்டைப் பயன்படுத்தின. ஆறு மாதங்களுக்குப் பிறகு ஒரு தொடர்முறை மறுமதிப்பீடு கோரப்பட்டது.
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
குறைபாடுகளைச் சரிசெய்த பிறகு Essential Eight மறுமதிப்பீடு, அல்லது தொடர்ச்சியான வழிகாட்டுதலுக்கான பாதுகாப்பு ஆலோசனைச் சேவையான Monthly Security Advisory.
ஏன் இந்த சுருக்கங்களை வெளியிடுகிறோம்
பாதுகாப்பு சேவைகளை வாங்குபவர்கள் உறுதியளிப்பதற்கு முன் தாங்கள் எதை வாங்குகிறார்கள் என்பதைப் புரிந்துகொள்ள வேண்டும். பணிவரம்பில் என்ன இருந்தது, என்ன வழங்கப்பட்டது, என்ன சேர்க்கப்படவில்லை என்பதை இந்த வழக்கு ஆய்வுகள் விவரிக்கின்றன — இதனால் உங்கள் சூழ்நிலைக்கு இந்தச் சேவை பொருந்துமா என்பதை நீங்கள் மதிப்பிடலாம்.
இந்த வழக்குகளை எப்படி படிப்பது
மிகைப்படுத்தல் இல்லாத சான்று
ஒவ்வொரு பாதுகாப்பு வழக்கும் உண்மையில் முடிக்கப்பட்ட வாடிக்கையாளர் பணியாகும். இரகசியத்தன்மைக்காக வாடிக்கையாளர் பெயர்களும் அவர்களை அடையாளம் காட்டும் செயல்பாட்டு விவரங்களும் வெளியிடப்படுவதில்லை. பணியைத் தொடங்கக் காரணமான நிகழ்வு, ஒப்புக்கொள்ளப்பட்ட பணிவரம்பு, மதிப்பாய்வு செய்யப்பட்ட பகுதிகள், வழங்கப்பட்டவை, வரம்புகள் மற்றும் அடுத்த படி ஆகியவற்றை அது காட்டுகிறது. இதன் மூலம், அபாயச் சூழலை BilgeQor எவ்வாறு நடைமுறையில் பயன்படும் பாதுகாப்புக் கோப்பாக மாற்றுகிறது என்பதை வாங்குபவர்கள் புரிந்துகொள்ள முடியும்.
உறுதிப்படுத்தப்பட்ட நோக்கம்
ஒவ்வொரு வழக்கும் எழுத்துப்பூர்வ நோக்கெல்லையிலிருந்து தொடங்குகிறது; வரம்பற்ற வாக்குறுதியிலிருந்து அல்ல.
பாதுகாக்கப்பட்ட சான்றுகள்
வழங்கப்பட்ட பொருட்கள் பதிவுகள், சுருக்கங்கள், கண்டுபிடிப்புகள் மற்றும் திருத்த வழிகாட்டுதல்கள் என விவரிக்கப்படுகின்றன.
எல்லைகள் தெளிவு
இந்த உதாரணங்கள் வாடிக்கையாளர் பெயர்கள், சான்றிதழ் பெற்றதாகக் கூறுதல், தணிக்கை ஒப்புதல் மற்றும் உத்தரவாதம் அளிக்கப்பட்ட முடிவுகளைத் தவிர்க்கின்றன.
பாதுகாப்பு மதிப்புரைகள்
அமைப்புகளின் பாதுகாப்பு நிலைப்பாட்டை மதிப்பிடுவதற்கான கட்டமைக்கப்பட்ட அடிப்படை மற்றும் கட்டமைப்பு மதிப்பீடுகள்.
நிலைமை
பெருநிறுவன வாடிக்கையாளர்களுக்கான இரகசிய ஆவணங்களைக் கையாளும் ஒரு தொழில்முறை சேவை நிறுவனம், சேவை வழங்குநரைப் பற்றிய உரிய ஆய்வை மேற்கொள்ளும் சாத்தியமான வாடிக்கையாளர்களிடம் தனது பாதுகாப்புத் தயார்நிலையை நிரூபிக்க வேண்டியிருந்தது. ஒரு பெரிய வாடிக்கையாளர் பணியைத் தொடங்குவதற்கு முன், அணுகல் கட்டுப்பாடுகள், இறுதிச் சாதன நடைமுறைகள் மற்றும் தரவு கையாளுதல் செயல்முறைகளை உள்ளடக்கிய கட்டமைக்கப்பட்ட ஆதாரத் தொகுப்பு நிறுவனத்தின் கூட்டாளர்களுக்குத் தேவைப்பட்டது.
வரம்பில் என்ன இருந்தது
நிறுவனத்தின் முதன்மை பணிநிலைய சூழல், மின்னஞ்சல் மற்றும் கோப்பு பகிர்வு கட்டமைப்பு, நிர்வாக அணுகல் கட்டுப்பாடுகள் மற்றும் தரவு கையாளுதல் நடைமுறைகள் ஆகியவற்றை ஆய்வு செய்தல். மதிப்பீடு நடைமுறை திருத்த முன்னுரிமைகளுக்கு முடிவுகளை வரைபடமாக்கியது. பணிகள் தொடங்கும் முன் நோக்கம் வரையறுக்கப்பட்டு எழுத்துப்பூர்வமாக உறுதிப்படுத்தப்பட்டது.
காலவரிசை மற்றும் வேலை மாதிரி
நோக்க உறுதிப்படுத்தலிலிருந்து பத்து வேலை நாட்களுக்குள் மதிப்பாய்வு முடிக்கப்பட்டது. நேரடி தள அணுகல் தேவையில்லை. ஒப்புக்கொள்ளப்பட்ட ஆவணங்கள் மற்றும் தளக் கட்டமைப்புச் சான்றுகளுக்கு எதிராக அனைத்து மதிப்பாய்வும் தொலைதூரத்தில் மேற்கொள்ளப்பட்டது.
என்ன ஆய்வு செய்யப்பட்டன
- மின்னஞ்சல் தளத்தின் பாதுகாப்பு கட்டமைப்பு மற்றும் ஃபிஷிங் வெளிப்பாடு கட்டுப்பாடுகள்
- கோப்பு பகிர்வு மற்றும் மேகக்கணி சேமிப்பு அணுகல் கட்டுப்பாடுகள் மற்றும் வெளிப்புற பகிர்வு கொள்கைகள்
- பணிநிலையம் மற்றும் தளக் கணக்குகள் முழுவதும் நிர்வாகச் சிறப்புரிமைகளை ஒதுக்குதல்
- வணிகச் செயல்பாடுகளுக்கு இன்றியமையாத கணக்குகள் பல காரணி அங்கீகாரத்தால் பாதுகாக்கப்படும் அளவு
- எண்ட்பாயிண்ட் பேட்ச் புதுப்பித்த நிலை மற்றும் மென்பொருள் புதுப்பிப்பு நடைமுறைகள்
- பணியாளர்கள் மற்றும் ஒப்பந்தக்காரர்களின் அணுகலுக்கான தரவுக் கையாளுதல் மற்றும் அவர்கள் விலகும்போது அணுகலை நீக்கும் நடைமுறைகள்
வழங்கப்பட்டவை
- முன்னுரிமை பெற்ற கண்டுபிடிப்புகளுடன் எழுத்துப்பூர்வ தயார்நிலை மதிப்பாய்வு அறிக்கை
- வாடிக்கையாளர்களிடம் பகிரப்படும் உரிய விடாமுயற்சி மதிப்பாய்வுக்கு ஏற்ற நிர்வாகச் சுருக்கம்
- பரிந்துரைக்கப்பட்ட நடவடிக்கை வரிசைகளுடன் திருத்த முன்னுரிமை பட்டியல்
- கவனம் தேவைப்படும் ஒவ்வொரு கண்டுபிடிப்பிற்கும் வழிகாட்டுதல் குறிப்புகள்
வேலை முடிந்த பிறகு என்ன மாறியது
நிறுவனம் தனது விற்பனையாளர் கேள்வித்தாள் பதிலில் நிர்வாக சுருக்கத்தை ஆதார ஆவணமாகப் பயன்படுத்தியது. வாடிக்கையாளர் ஈடுபாடு தொடங்குவதற்கு முன்பே உள் கூட்டாளர்கள் முன்னுரிமை அணுகல் கட்டுப்பாட்டு கண்டறிதல்களைச் செயல்படுத்தினர். தொடர்ச்சியான காலாண்டு மதிப்பாய்விற்காக தொடர் ஆலோசனை ஈடுபாடு குறித்து விவாதிக்கப்பட்டது.
சேர்க்கப்படவில்லை
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
முறையாக அமைக்கப்பட்ட தொடர்ச்சியான வழிகாட்டுதலுக்காக Monthly Security Advisory (மாதாந்திர பாதுகாப்பு ஆலோசனை), அல்லது முன்னுரிமை அளிக்கப்பட்ட ஆய்வு முடிவுகளின்படி நடவடிக்கைகளை மேற்கொண்ட பிறகு திட்டமிடப்பட்ட மறுமதிப்பீடு.
நிலைமை
வழங்கப்பட்டவை
- முன்னுரிமை பெற்ற கண்டுபிடிப்புகளுடன் எழுதப்பட்ட அடிப்படை மதிப்பாய்வு அறிக்கை
- மருத்துவமனை கொள்முதல் மதிப்பாய்வுக்கு ஏற்ற நிர்வாகச் சுருக்கம்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
பாதுகாப்பு நிலையைத் தொடர்ந்து அறிந்துகொள்ள Monthly Security Advisory, அல்லது முன்னுரிமை அளிக்கப்பட்ட கண்டறிதல்களுக்கான நடவடிக்கைகளைச் செயல்படுத்திய பின் மறுமதிப்பீடு.
நிலைமை
வழங்கப்பட்டவை
- முன்னுரிமை பெற்ற கண்டுபிடிப்புகளுடன் எழுதப்பட்ட அடிப்படை மதிப்பாய்வு அறிக்கை
- கூட்டாளரின் உரிய விடாமுயற்சி ஆய்வுக்கு ஏற்ற நிர்வாகச் சுருக்கம்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
கட்டமைக்கப்பட்ட தொடர்ச்சியான வழிகாட்டுதலுக்கான Monthly Security Advisory (மாதாந்திர பாதுகாப்பு ஆலோசனை), அல்லது முன்னுரிமைக் கண்டறிதல்களைச் செயல்படுத்திய பின் மறுமதிப்பீடு.
வலைத்தளம் & அமைப்பு கடினப்படுத்துதல்
வலைச் செயலிகள் மற்றும் உள்கட்டமைப்புக்கான நேரடிச் செயல்முறை உள்ளமைவுப் பாதுகாப்பு வலுப்படுத்தல் மற்றும் சரிபார்ப்பு.
நிலைமை
தனிப்பயன் தொழில்நுட்பத் தொகுப்பில் புதிய ஆன்லைன் கடையைத் தொடங்கவிருந்த ஒரு இ-காமர்ஸ் நிறுவனத்திற்கு, தொடக்கத்திற்கு முந்தைய பாதுகாப்பு கடினப்படுத்தல் தேவைப்பட்டது. குழுவிடம் மேம்பாட்டில் நம்பிக்கை இருந்தது, ஆனால் நேரலைக்குச் செல்லும் முன் உள்ளமைவை மதிப்பாய்வு செய்ய அர்ப்பணிக்கப்பட்ட பாதுகாப்பு வளம் இல்லை.
வரம்பில் என்ன இருந்தது
நேரடிப் பயன்பாட்டுக்குக் கொண்டுவரப்படவுள்ள வலைப் பயன்பாட்டின் பாதுகாப்பை வலுப்படுத்துதல்: சேவையக உள்ளமைவு, HTTP பாதுகாப்புத் தலைப்புகளைச் செயல்படுத்துதல், அங்கீகாரச் செயலோட்டத்தை ஆய்வு செய்தல் மற்றும் சார்புகள் புதுப்பித்த நிலையில் உள்ளனவா என்பதைச் சரிபார்த்தல் ஆகியவை இதில் அடங்கும். பணியின் வரம்பு ஒரே ஒரு பயன்பாட்டு நிறுவலுக்கும் அதனுடன் தொடர்புடைய உள்கட்டமைப்பு அடுக்குக்கும் மட்டுமே உட்பட்டது.
காலவரிசை மற்றும் வேலை மாதிரி
எட்டு வணிக நாட்களில் ஆய்வு நிறைவடைந்தது. முன்னுரிமை அளிக்கப்பட்ட கண்டறிதல்களுக்கான நடவடிக்கைகளைச் செயல்படுத்திய பின்னர் செயலி நேரடி பயன்பாட்டிற்குத் தயாராக இருந்தது. மீண்டும் சமர்ப்பித்ததிலிருந்து மூன்று வணிக நாட்களுக்குள் குறைகளைச் சரிசெய்த பிந்தைய உறுதிப்படுத்தல் நிறைவடைந்தது.
என்ன ஆய்வு செய்யப்பட்டன
- HTTP பாதுகாப்பு தலைப்பு அமைப்பு மற்றும் கொள்கை அமைப்புகள்
- TLS/SSL அமைவு மற்றும் சான்றிதழ் சங்கிலி
- அங்கீகார ஓட்டம் மற்றும் அமர்வு மேலாண்மை கட்டுப்பாடுகள்
- மூன்றாம் தரப்பு சார்புகளின் புதுப்பிப்பு நிலை மற்றும் அறியப்பட்ட பாதிப்பு நிலை
- நிர்வாக அணுகல் கட்டுப்பாடுகள் மற்றும் உள்நுழைவுச் சான்றுகள் வெளிப்படுகின்றனவா என்பதற்கான சோதனைகள்
- தவறுகளை கையாளுதல் மற்றும் தகவல் வெளியீடுகளை ஆய்வு செய்தல்
வழங்கப்பட்டவை
- கடுமைக்கு ஏற்ப வகைப்படுத்தப்பட்ட கண்டுபிடிப்புகளுடன் கடினப்படுத்தும் அறிக்கை
- நடைமுறைப்படுத்தல் வழிகாட்டுதல்களுடன் கட்டமைப்பு பரிந்துரைகள்
- மேம்பாட்டு குழுவிற்கு திருத்தச் சோதனை பட்டியல்
- திருத்தத்திற்குப் பிறகு உறுதிப்படுத்தல் ஆய்வு (ஒரு சுற்று உட்பட)
வேலை முடிந்த பிறகு என்ன மாறியது
முன்னுரிமை அளிக்கப்பட்ட கண்டறிவுகள் வெளியீட்டுத் தேதிக்கு முன்னர் தீர்க்கப்பட்டன. குழு பாதுகாப்பை வலுப்படுத்துவதற்கான சரிபார்ப்புப் பட்டியலை அடுத்தடுத்த பயன்பாட்டு நிறுவல்களுக்கு ஒரு மாதிரியாகப் பயன்படுத்தியது. திருத்த நடவடிக்கைகளுக்குப் பிந்தைய உறுதிப்படுத்தல் மதிப்பாய்வுக்குப் பிறகு மிகத் தீவிரமான சிக்கல்கள் எதுவும் கண்டறியப்படவில்லை.
சேர்க்கப்படவில்லை
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
துணை மொபைல் செயலிக்கான App Security Review (செயலி பாதுகாப்பு மதிப்பாய்வு), அல்லது தொடர்ச்சியான செயல்பாட்டு ஆதரவுக்கான Monthly Security Advisory (மாதாந்திர பாதுகாப்பு ஆலோசனை).
நிலைமை
வழங்கப்பட்டவை
- தீவிரத்தன்மை மற்றும் முன்னுரிமை அடிப்படையில் வகைப்படுத்தப்பட்ட கண்டறிதல்களுடன் பாதுகாப்பை வலுப்படுத்தும் அறிக்கை
- கட்டமைப்பு பரிந்துரைகள் மற்றும் படிப்படியான நடைமுறைப்படுத்தல் வழிகாட்டுதல்கள்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
API அடுக்கு மற்றும் எந்தவொரு மொபைல் கிளையன்ட்டுக்கும் பயன்பாட்டுப் பாதுகாப்பு ஆய்வு, அல்லது கட்டமைக்கப்பட்ட தொடர் வழிகாட்டுதலுக்கு Monthly Security Advisory.
நிலைமை
வழங்கப்பட்டவை
- தீவிரத்தன்மை மற்றும் முன்னுரிமை அடிப்படையில் வகைப்படுத்தப்பட்ட கண்டறிதல்களுடன் பாதுகாப்பை வலுப்படுத்தும் அறிக்கை
- நடைமுறைப்படுத்தல் வழிகாட்டுதல்களுடன் கட்டமைப்பு பரிந்துரைகள்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
எந்த மொபைல் வாடிக்கையாளருக்கும் App Security Review, அல்லது தொடர்ச்சியான செயல்பாட்டு வழிகாட்டுதலுக்கான பாதுகாப்பு ஆலோசனைச் சேவையான Monthly Security Advisory.
பயன்பாட்டு பாதுகாப்பு
விநியோகம் அல்லது இணக்கத்திற்கு தயாராக இருக்கும் குழுக்களுக்கான மொபைல் மற்றும் வலை பயன்பாடுகளின் பாதுகாப்பு மதிப்புரைகள்.
நிலைமை
மருத்துவ பயன்பாட்டிற்கான மொபைல் பயன்பாட்டைத் தயாரித்துக் கொண்டிருந்த ஒரு சுகாதாரத் தொழில்நுட்ப வழங்குநருக்கு, மருத்துவப் பணியாளர்களுக்கு விநியோகிப்பதற்கு முன் பாதுகாப்பு மதிப்பாய்வு தேவைப்பட்டது. ஒழுங்குமுறை தயார்நிலையும் நோயாளி தரவு கையாளுதலும் வாடிக்கையாளரின் தலைமைக் குழுவால் முன்னுரிமைகளாக அடையாளம் காணப்பட்டன.
வரம்பில் என்ன இருந்தது
மொபைல் மருத்துவ மேலாண்மைப் பயன்பாட்டின் பாதுகாப்பு மதிப்பாய்வு; இது பயன்பாட்டு பைனரி, அதன் API தகவல் தொடர்பு அடுக்கு, அங்கீகாரம் மற்றும் தரவு சேமிப்புச் செயலாக்கத்தை உள்ளடக்கியது. iOS மற்றும் Android கட்டமைப்புகள் ஒப்புக்கொள்ளப்பட்ட எல்லைக்குள் மதிப்பாய்வு செய்யப்பட்டன. மதிப்பாய்வு OWASP Mobile Top 10 ஐ குறிப்புச் சட்டகமாகக் கொண்டு நடத்தப்பட்டது.
காலவரிசை மற்றும் வேலை மாதிரி
ஒப்புக்கொள்ளப்பட்ட செயலி பில்டுகளும் API ஆவணங்களும் கிடைத்த பதினான்கு வணிக நாட்களுக்குள் மறுஆய்வு வழங்கப்பட்டது. அனைத்து மறுஆய்வும் தொலைதூரத்தில் நடத்தப்பட்டது. உற்பத்திச் சூழலுக்கான அணுகல் தேவைப்படவில்லை.
என்ன ஆய்வு செய்யப்பட்டன
- அறியப்பட்ட பாதிப்பு வடிவங்களுக்கான பயன்பாட்டு பைனரி மற்றும் நிலையான பகுப்பாய்வு
- போக்குவரத்து அடுக்கு மற்றும் அங்கீகாரம் உட்பட API தகவல்தொடர்பு பாதுகாப்பு
- நோயாளி தரவு சேமிப்பு அணுகுமுறை மற்றும் உள்ளூர் சாதன குறியாக்கம்
- அடையாளச் சரிபார்ப்பு மற்றும் அமர்வு டோக்கன் மேலாண்மை
- மூன்றாம் தரப்பு SDK மற்றும் நூலகங்களின் புதுப்பிப்பு நிலை
- பயன்பாட்டு வாழ்க்கைச் சுழற்சி நிலைகளில் உணர்திறன் தரவு கையாளுதல்
வழங்கப்பட்டவை
- கண்டுபிடிப்புகள் மற்றும் கடுமை வகைப்பாடு கொண்ட மொபைல் பாதுகாப்பு ஆய்வு அறிக்கை
- OWASP Mobile Top 10 உள்ளடக்கச் சுருக்கம்
- ஒவ்வொரு கண்டறிதலுக்கும் டெவலப்பர்கள் உடனே பயன்படுத்தக்கூடிய திருத்த வழிகாட்டுதல்
- பரிந்துரைகளுடன் தரவு கையாளுதல் மதிப்பீடு
வேலை முடிந்த பிறகு என்ன மாறியது
மருத்துவப் பயன்பாட்டாளர்களுக்கு விநியோகிப்பதற்கு முன்பு உயர் மற்றும் மிகத் தீவிர நிலை கண்டறிதல்கள் தொடர்பான நடவடிக்கைகளை மேம்பாட்டுக் குழு மேற்கொண்டது. உள் நிர்வாக மதிப்பாய்வின்போது மதிப்பாய்வு அறிக்கை மேற்கோளாகப் பயன்படுத்தப்பட்டது. திட்டமிட்ட மதிப்பாய்விற்கும் அடுத்த நடவடிக்கைகளை எழுத்துப்பூர்வமாகப் பதிவு செய்வதற்கும் Care Plan ஆலோசனைப் பணி தொடங்கப்பட்டது, தொடர்ச்சியான பயன்பாட்டுக் கண்காணிப்பிற்கோ பதிலளிப்பு சேவைகளை வழங்குவதற்கோ அல்ல.
சேர்க்கப்படவில்லை
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
Monthly Security Advisory தொடர்ச்சியான பாதுகாப்பு நிலையைப் பராமரிக்க, அல்லது முக்கிய பயன்பாட்டுப் பதிப்பு மாற்றங்களுக்குப் பிறகு மறுமதிப்பீடு செய்ய.
நிலைமை
வழங்கப்பட்டவை
- கண்டுபிடிப்புகள் மற்றும் கடுமை வகைப்பாடு கொண்ட மொபைல் பாதுகாப்பு ஆய்வு அறிக்கை
- OWASP Mobile Top 10 உள்ளடக்கச் சுருக்கம்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
தொடர்ச்சியான பாதுகாப்பு இணக்க நிலைக்கான ஆதரவுக்கு Monthly Security Advisory, அல்லது பயன்பாட்டின் பதிப்பில் குறிப்பிடத்தக்க மாற்றங்களுக்குப் பிறகு மறுமதிப்பீடு.
நிலைமை
வழங்கப்பட்டவை
- API பாதுகாப்பு ஆய்வு அறிக்கை, கண்டறிதல்கள் மற்றும் கடுமை வகைப்பாடு
- ஒவ்வொரு கண்டறிதலுக்கும் டெவலப்பர்கள் உடனே பயன்படுத்தக்கூடிய திருத்த வழிகாட்டுதல்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
கட்டமைக்கப்பட்ட, தொடர்ச்சியான API மற்றும் தளப் பாதுகாப்பிற்கான Monthly Security Advisory (மாதாந்திர பாதுகாப்பு ஆலோசனை), அல்லது பெரிய API பதிப்பு மாற்றங்களுக்குப் பிறகு மறுமதிப்பீடு.
ஆலோசனை மற்றும் மீட்பு
செயற்பாட்டு பாதுகாப்பு குழுக்களுக்கு தொடர்ச்சியான ஆலோசனை ஆதரவு மற்றும் கட்டமைக்கப்பட்ட சம்பவ மீட்பு.
நிலைமை
பல நகரங்களில் தனது செயல்பாடுகளை விரிவுபடுத்திக் கொண்டிருந்த ஒரு தளவாடத் தொழில்நுட்ப நிறுவனத்திற்கு, முழுநேரப் பாதுகாப்புப் பணியாளரை நியமிக்கும் செலவின்றி கட்டமைக்கப்பட்ட பாதுகாப்பு வழிகாட்டுதல் தேவைப்பட்டது. அந்நிறுவனம் சமீபத்தில் உள்நுழைவு விவரங்கள் வெளிப்பட்ட சம்பவத்தை எதிர்கொண்டிருந்தது; முறையான ஆலோசனை ஆதரவை விரும்பியது.
வரம்பில் என்ன இருந்தது
நிறுவனத்தின் வலைத் தளம், உள் கருவிகள் மற்றும் குழுவின் பாதுகாப்பு நடைமுறைகளை உள்ளடக்கிய தொடர் மாதாந்திர ஆலோசனை. ஆலோசனை வரம்பு தொடக்கத்தில் வரையறுக்கப்பட்டு, ஒப்புக்கொண்ட எல்லைகளுக்குள் காலாண்டு அடிப்படையில் மாற்றியமைக்கப்படலாம். இது நிர்வகிக்கப்படும் பாதுகாப்புச் சேவை அல்ல; ஆலோசனையும் வழிகாட்டுதலும் மட்டுமே.
காலவரிசை மற்றும் வேலை மாதிரி
தொடர்ந்து நடைபெறும் மாதாந்திர சேவைப் பணி. உறுதிப்படுத்தப்பட்டதிலிருந்து ஒரு வாரத்திற்குள் ஆரம்பச் சேர்க்கை நடைமுறைகள் நிறைவடைந்தன. மாதாந்திர ஆலோசனை அமர்வுகள் நிர்ணயிக்கப்பட்ட இடைவெளிகளில் நடைபெறுகின்றன. சேவைப் பணி மாதந்தோறும் தொடரும் அடிப்படையில் நடைபெறுகிறது; பணியின் வரம்பு காலாண்டுதோறும் மதிப்பாய்வு செய்யப்படுகிறது.
என்ன ஆய்வு செய்யப்பட்டன
- ஒப்புதல் பெற்ற கட்டுப்பாட்டு தொகுப்புடன் ஒப்பிடும்போது பாதுகாப்பு நிலைப்பாட்டை மாதாந்திர ஆய்வு செய்தல்
- வரம்பிற்குட்பட்ட அமைப்புகளில் திருத்தங்களும் புதுப்பிப்புகளும் சமீபத்திய நிலையில் உள்ளனவா என்பதற்கான மதிப்பாய்வு
- அணுகல் கட்டுப்பாடு மற்றும் சிறப்புரிமை மதிப்பாய்வு ஒவ்வொரு காலாண்டிலும்
- வாடிக்கையாளர் வழங்கிய பதிவுகளிலிருந்து நிகழ்வுகள் மற்றும் எச்சரிக்கைகள் ஆய்வு
- துறைக்குப் பொருத்தமான புதிதாக உருவாகும் அச்சுறுத்தல்கள் குறித்து குழுவுக்கு வழிகாட்டுதல்
வழங்கப்பட்டவை
- கவனிப்புகள் மற்றும் பரிந்துரைக்கப்பட்ட நடவடிக்கைகளுடன் மாதாந்திர ஆலோசனைச் சுருக்கம்
- காலாண்டுப் பாதுகாப்பு நிலைச் சுருக்க அறிக்கை
- ஒவ்வொரு மறுஆய்வு சுழற்சியின் பின்னர் முன்னுரிமை நடவடிக்கை பட்டியல்
- வரம்பிற்குள் உள்ள அவசர நேரம் சார்ந்த கேள்விகளுக்கான நேரடி ஆலோசனைத் தொடர்பு வழி
வேலை முடிந்த பிறகு என்ன மாறியது
குழு மாதாந்திர ஆலோசனைச் சுருக்கத்தை செயல்பாட்டு வழிகாட்டியாகக் கொண்டு கட்டமைக்கப்பட்ட பேட்ச் மறுஆய்வு செயல்முறையை செயல்படுத்தியது. முதல் காலாண்டில் கண்டறியப்பட்ட அணுகல் கட்டுப்பாட்டுச் சிக்கல்கள் அடுத்த மறுஆய்வு சுழற்சிக்கு முன்பு சரிசெய்யப்பட்டன. தொடக்க மூன்று மாத காலத்திற்குப் பிறகு, புதுப்பித்தலின் அடிப்படையில் பணி ஒப்பந்தம் தொடர்ந்தது.
சேர்க்கப்படவில்லை
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
ஆலோசனை புதுப்பித்தல் அல்லது ஒரு முறையான நிலை மதிப்பீட்டிற்காக திட்டமிடப்பட்ட அடிப்படை மதிப்பாய்வு.
நிலைமை
வழங்கப்பட்டவை
- கவனிப்புகள் மற்றும் பரிந்துரைக்கப்பட்ட நடவடிக்கைகளுடன் மாதாந்திர ஆலோசனைச் சுருக்கம்
- போக்குகள் குறித்த அவதானிப்புகளுடன் காலாண்டு பாதுகாப்பு நிலைச் சுருக்கம்
4 ×
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
ஆலோசனைச் சேவையைப் புதுப்பித்தல் அல்லது வாடிக்கையாளர் விசுவாசத் தளத்தின் பயன்பாட்டு அடுக்கிற்கான கட்டமைக்கப்பட்ட App Security Review பாதுகாப்பு மதிப்பாய்வு.
நிலைமை
வழங்கப்பட்டவை
- உறுதிப்படுத்தப்பட்ட மற்றும் சந்தேகிக்கப்படும் சமரச வரம்பு கொண்ட ஆரம்ப வகைப்படுத்தல் அறிக்கை
- முன்னுரிமை அளிக்கப்பட்ட உடனடி நடவடிக்கைகளுடன் காணக்கூடிய ஆபத்து வரைபடம்
5 ×
தேவைகளை அறிந்துகொள்வதற்கான ஆரம்ப அழைப்பு பரிந்துரைக்கப்படுகிறது
அடுத்த கட்டம் பரிந்துரைக்கப்படுகிறது
கட்டமைக்கப்பட்ட முறையில் பாதுகாப்பு நிலையைத் தொடர்ந்து பேணுவதற்கான Monthly Security Advisory, அல்லது முழுமையான மீட்புக்குப் பிறகு கட்டுப்பாடுகளில் ஏற்பட்ட மேம்பாடுகளை மதிப்பிடுவதற்கான Baseline Review.
பாதுகாப்புப் பணியைத் தொடங்கத் தயாரா?
பெரும்பாலான பணிகள் ஒரு கோரிக்கையுடன் தொடங்குகின்றன. நீங்கள் எண்ணியுள்ள சேவை அல்லது பணிவரம்பைப் பகிருங்கள்; எந்தவொரு கட்டண நடவடிக்கைக்கும் முன்பு பொருத்தமான மதிப்பாய்வு, பாதுகாப்பை வலுப்படுத்துதல் அல்லது ஆலோசனை வழியை நாங்கள் உறுதிப்படுத்துவோம்.