APEA

خیر. هدف، اپلیکیشن مرجعِ عمداً آسیب‌پذیری است که پشت پروفایل تحت آزمون قرار می‌گیرد. همین است که نتیجه را معنادار می‌کند؛ اگر حمله‌ای به هدف آسیب‌پذیر برسد، یعنی پروفایل آن را متوقف نکرده است. و همین باعث می‌شود تکرار اندازه‌گیری هر وقت بخواهید بی‌خطر باشد.

طبق طراحی، هر حفاظتی که روی HTTP جلوی یک اپلیکیشن قرار می‌گیرد: دستگاه‌ها، سرویس‌های ابری و پراکسی‌های معکوس با مجموعه قواعد. آزمون قرار است از طریق پروفایل انجام شود، نه از راه اتصال اختصاصی به یک برند، و همین است که مقایسه دو برند را ممکن خواهد کرد.

با فرستادن الگوهای ترافیک مشروع از همان پروفایل: بارگذاری فایل، ورودی‌های طولانی، پارامترها و مجموعه‌نویسه‌های غیرمعمولی که اپلیکیشن شما واقعاً می‌پذیرد. شما توصیف می‌کنید که «عادی» برای این اپلیکیشن چیست و اجرا خواهد سنجید که پروفایل چه مقدار از آن را مسدود می‌کرده است.

یک ایده در مرحله طراحی است، نه محصولی که امروز بتوانید بخرید یا اجرا کنید. رویکردی که اینجا توصیف شده، رویکردی است که به آن باور داریم، اما در حال حاضر در دست ساخت نیست و پشت کارهای دیگر در نقشه راه ما قرار دارد. صداقت ما درباره این موضوع را دریافت می‌کنید؛ آنچه دریافت نمی‌کنید، محصولی خودسرویس است که همه موارد آزمونش از پیش نوشته شده باشد. اگر این اندازه‌گیری به کار شما می‌آید به ما بگویید، چون همین علاقه‌ زودهنگام است که یک ایده را در فهرست بالاتر می‌برد.

انتظار داریم خودِ اندازه‌گیری در حد ساعت باشد، نه هفته. کار پیرامون آن، توافق درباره اینکه ترافیک مشروع برای این اپلیکیشن چه شکلی است و سپس اعمال فهرست تنظیم است؛ معمولاً زمان تقویمی همان‌جا صرف می‌شود.

تست نفوذ می‌پرسد آیا می‌توان به اپلیکیشن شما نفوذ کرد. این یکی می‌پرسد آیا حفاظتِ جلوی آن کارش را انجام می‌دهد، با ثابت نگه‌داشتن اپلیکیشن و تغییردادن پروفایل. این دو به پرسش‌های متفاوتی پاسخ می‌دهند و سازمان‌هایی که امنیت را جدی می‌گیرند هر دو را انجام می‌دهند.

ترافیک به اپلیکیشن مرجع می‌رود، نه به سامانه‌های شما، و پروفایل همان‌طور به کار گرفته می‌شود که هر بازدیدکننده‌ای آن را به کار می‌گیرد. اگر پروفایل محدودیت نرخ دارد، اجرا آن را رعایت می‌کند؛ هدف سنجش پیکربندی است، نه فشارآوردن به آن.

این همان هدف طراحی است: برای تیمی با چند پروفایل، قرار است زمان‌بندی شود، پس از هر تغییر مجموعه قواعد اجرا شود و نتایج داخل نگه داشته شوند. چون هنوز یک ایده در مرحله طراحی است و نه چیزی که امروز بتوانید نصبش کنید، این تصویرِ خودسرویس همان جایی است که محصول به سوی آن می‌رود، نه آنچه اکنون ارائه می‌شود.

پس از هر تغییری که به حفاظت مربوط می‌شود: به‌روزرسانی مجموعه قواعد، پروفایل تازه، مهاجرت؛ و علاوه بر آن با یک زمان‌بندی، چون پروفایل‌ها به‌مرور از مسیر خارج می‌شوند. قاعده‌ای که در جریان یک حادثه خاموش می‌شود، معمولاً خاموش می‌ماند.

پوشش به تفکیک دسته برای هر دو جهت، هر شکاف همراه با درخواست و پاسخی که آن را اثبات می‌کند، فهرست تنظیم با نام قواعد و تنظیماتی که باید تغییر کنند، و مقایسه با اجرای قبلی به‌محض آنکه اجرای قبلی وجود داشته باشد.

برای اندازه‌گیری نه؛ کار از بیرون و از طریق پروفایل انجام می‌شود. دسترسی یا یک خروجی پیکربندی کمک می‌کند تا راهنمای تنظیم به‌جای توصیف، نام دقیق قواعد را بگوید؛ پس بیشتر تیم‌ها در همان مرحله دسترسی خواندنی می‌دهند.

VAaaS اپلیکیشن را آزمون می‌کند، ASM آنچه را در معرض است می‌یابد و این یکی می‌سنجد که حفاظتِ جلوی یک اپلیکیشنِ در معرض، واقعاً کار می‌کند یا نه. هر کدام جداگانه مفیدند؛ کنار هم، کشف و دفاع و خودِ ضعف را پوشش می‌دهند.