परियोजना का विवरण
अनुवादितहम एक वेब एप्लिकेशन लॉन्च करने की तैयारी कर रहे हैं जो संवेदनशील उपयोगकर्ता डेटा को प्रोसेस करेगा, और उत्पादन में जाने से पहले हमें एक बाहरी विशेषज्ञ से स्वतंत्र सुरक्षा आकलन की आवश्यकता है। यह सामान्य सर्वर हार्डनिंग या फ़ायरवॉल सेटअप के बारे में नहीं है - हमें एप्लिकेशन का लक्षित पेंटेस्ट चाहिए जिसमें OWASP टॉप 10 सूची का पूरा कवरेज हो: इंजेक्शन, टूटी हुई प्रमाणीकरण और सत्र प्रबंधन, टूटी हुई पहुंच नियंत्रण, क्रॉस-साइट स्क्रिप्टिंग, असुरक्षित प्रत्यक्ष वस्तु संदर्भ, सुरक्षा गलत कॉन्फ़िगरेशन, संवेदनशील डेटा का प्रदर्शन, और अन्य श्रेणियाँ। हमारे लिए यह महत्वपूर्ण है कि परीक्षक एक वास्तविक हमलावर की तरह सोचें और एप्लिकेशन की जांच करें जैसे कि एक प्रतिकूल करेगा।
काम में मैनुअल परीक्षण और स्कैनर्स का संयोजन होना चाहिए, क्योंकि केवल स्वचालन तार्किक त्रुटियों और प्राधिकरण दोषों को छोड़ देता है। हम एक परीक्षण वातावरण, विभिन्न विशेषाधिकार स्तरों के साथ दो या तीन खाते, और मुख्य परिदृश्यों का संक्षिप्त अवलोकन प्रदान करेंगे। इसके बदले, हम एक स्पष्ट लिखित रिपोर्ट की अपेक्षा करते हैं: प्रत्येक खोज को पुनरुत्पादन चरणों, गंभीरता स्तर (उदाहरण के लिए, CVSS द्वारा), वास्तविक प्रभाव, और व्यावहारिक सुधार सलाह के साथ वर्णित किया गया है जिससे हमारे डेवलपर्स काम कर सकें। हम आपसे अनुरोध करते हैं कि आप पुष्टि की गई कमजोरियों को कम-विश्वास वाले अवलोकनों से अलग करें ताकि हम सही तरीके से प्राथमिकता तय कर सकें।
जब हम निष्कर्षों को संबोधित कर लेंगे, तो हमें एक पुनः परीक्षण की आवश्यकता होगी: यह पुष्टि करने के लिए कि प्रत्येक आइटम वास्तव में ठीक किया गया है और कोई नई समस्याएँ उत्पन्न नहीं हुई हैं। गोपनीयता अनिवार्य है - जो कुछ भी पाया गया है वह केवल हमारे बीच में रहेगा, हमारे सिस्टम से डेटा कहीं भी कॉपी नहीं किया जाएगा। कृपया अपनी कार्यप्रणाली, आप जो मानक अपनाते हैं, और ऑडिट के लिए एक अनुमानित समयरेखा का वर्णन करें जिसमें पुनः परीक्षण शामिल है।
हमारे लिए सबसे महत्वपूर्ण बात:
— पूर्ण OWASP शीर्ष 10 कवरेज, मैनुअल कार्य के साथ स्वचालन
— गंभीरता स्तरों और सुधार सिफारिशों के साथ रिपोर्ट
— सुधारों की पुष्टि के लिए अनिवार्य पुनः परीक्षण
काम में मैनुअल परीक्षण और स्कैनर्स का संयोजन होना चाहिए, क्योंकि केवल स्वचालन तार्किक त्रुटियों और प्राधिकरण दोषों को छोड़ देता है। हम एक परीक्षण वातावरण, विभिन्न विशेषाधिकार स्तरों के साथ दो या तीन खाते, और मुख्य परिदृश्यों का संक्षिप्त अवलोकन प्रदान करेंगे। इसके बदले, हम एक स्पष्ट लिखित रिपोर्ट की अपेक्षा करते हैं: प्रत्येक खोज को पुनरुत्पादन चरणों, गंभीरता स्तर (उदाहरण के लिए, CVSS द्वारा), वास्तविक प्रभाव, और व्यावहारिक सुधार सलाह के साथ वर्णित किया गया है जिससे हमारे डेवलपर्स काम कर सकें। हम आपसे अनुरोध करते हैं कि आप पुष्टि की गई कमजोरियों को कम-विश्वास वाले अवलोकनों से अलग करें ताकि हम सही तरीके से प्राथमिकता तय कर सकें।
जब हम निष्कर्षों को संबोधित कर लेंगे, तो हमें एक पुनः परीक्षण की आवश्यकता होगी: यह पुष्टि करने के लिए कि प्रत्येक आइटम वास्तव में ठीक किया गया है और कोई नई समस्याएँ उत्पन्न नहीं हुई हैं। गोपनीयता अनिवार्य है - जो कुछ भी पाया गया है वह केवल हमारे बीच में रहेगा, हमारे सिस्टम से डेटा कहीं भी कॉपी नहीं किया जाएगा। कृपया अपनी कार्यप्रणाली, आप जो मानक अपनाते हैं, और ऑडिट के लिए एक अनुमानित समयरेखा का वर्णन करें जिसमें पुनः परीक्षण शामिल है।
हमारे लिए सबसे महत्वपूर्ण बात:
— पूर्ण OWASP शीर्ष 10 कवरेज, मैनुअल कार्य के साथ स्वचालन
— गंभीरता स्तरों और सुधार सिफारिशों के साथ रिपोर्ट
— सुधारों की पुष्टि के लिए अनिवार्य पुनः परीक्षण
वेब प्रोग्रामिंग नकद, बैंक ट्रांसफर
