پوشش‌محور
بررسی نظام‌مند رابط‌ها، نقش‌ها و کنترل‌های توافق‌شده و ثبت موارد آزمون‌شده و نشده.
رویکرد ما
پیش از آزمون، پرسش درست را مشخص می‌کنیم.
سطح حمله، دارایی‌ها، نقش‌ها و جریان‌های حساس را نقشه‌برداری می‌کنیم تا آزمون و پوشش آن به‌شکلی روشن برنامه‌ریزی شوند.
نقشه آزمون امنیت
Security Test Map نقطه ورود یا جریان را به نقش، دارایی، مرز اعتماد، فرضیه امنیتی، اولویت و وضعیت پوشش مرتبط می‌کند. جزئیات آن با محدوده توافق‌شده تعیین می‌شود و به‌معنای کشف همه ضعف‌های ممکن نیست.
ریسک‌محور
اولویت‌بندی جریان‌های مرتبط با داده حساس، دسترسی ویژه، عملیات مالی و تغییر وضعیت مهم.
هدف‌محور
بررسی مسیرهای محتمل برای رسیدن به یک هدف مجاز، از جمله ارتباط ضعف‌ها در چند مرحله.
برای نمونه، یک webhook پرداخت ممکن است فرضیه‌هایی درباره اعتبار منبع، تکرار درخواست و تغییر وضعیت غیرمجاز ایجاد کند.
مراحل همکاری
۰۱
شناخت و مجوز
شناخت هدف کسب‌وکار، محیط‌های مجاز، محدودیت‌های عملیاتی و مجوز ارزیابی.
۰۲
نقشه‌برداری سطح حمله
شناسایی رابط‌ها، دارایی‌ها، نقش‌ها، جریان‌های حساس، وابستگی‌ها و مرزهای اعتماد.
۰۳
محدوده و برنامه آزمون
توافق بر اهداف، موارد داخل و خارج محدوده، عمق، قواعد و خروجی‌ها پیش از آزمون فعال.
۰۴
ارزیابی امنیتی
بررسی فرضیه‌ها با تحلیل دستی و خودکارسازی کنترل‌شده و ثبت شواهد و محدودیت‌ها.
۰۵
گزارش فنی و مدیریتی
تشریح یافته‌ها، اثر کسب‌وکار، مسیر اصلاح و آنچه آزمون شده یا نشده است.
۰۶
اعتبارسنجی اصلاحات
در صورت توافق، بررسی تغییرات در برابر یافته‌های گزارش‌شده و ثبت وضعیت آن‌ها.
استانداردها مرجع کار هستند.
بسته به محدوده، می‌توان از OWASP WSTG، OWASP API Security Top 10، OWASP ASVS و PTES در موارد مرتبط برای ساختاردهی آزمون استفاده کرد. این منابع چارچوب برنامه‌ریزی آزمون هستند، نه گواهینامه.
گفتگو درباره ارزیابی