VAaaS

VAaaS دو بخش دارد. خدمت ارزیابی را همین امروز تیم ما ارائه می‌دهد، همان‌طور که همیشه ارائه داده‌ایم. پلتفرمی که زیر آن قرار می‌گیرد در حال توسعه است: کل چرخه کار، از پروفایل و روش‌شناسی تا آزمون، یافته‌ها، گزارش و آزمون مجدد، ساخته شده اما هنوز مستقر یا منتشر نشده و امروز هیچ سازمانی آن را اجرا نمی‌کند. برای نخستین استقرارها به دنبال سازمان‌های همکار هستیم.

اسکنر، اپلیکیشن را در برابر الگوهایی که از پیش می‌شناسد بررسی می‌کند و نمی‌داند اپلیکیشن شما برای چیست. اینجا کار از پروفایل اپلیکیشن آغاز می‌شود، از نقش‌ها و جریان‌های کاری و قواعد کسب‌وکار، و مجموعه سناریو برای همان ساخته می‌شود. اسکنرها همچنان اجرا می‌شوند، به‌عنوان یکی از چند ورودی، اما آنچه گزارش می‌کنند هم‌بسته و اعتبارسنجی می‌شود، نه اینکه فهرست یافته‌ها همان‌طور به شما تحویل شود.

ثبت این است که اپلیکیشن شما چیست: چه نقش‌هایی دارد، کدام جریان‌های کاری مهم‌اند، از کجا ورودی می‌گیرد، بر چه چیزی بنا شده، کدام قواعد کسب‌وکار باید برقرار بماند، و تاریخچه آنچه یافته و اصلاح شده است. این پروفایل به اپلیکیشن تعلق دارد نه به پروژه؛ پس سال بعد هم هست و همان چیزی است که می‌گذارد ارزیابی بعدی تفاوت‌ها را بیازماید، نه آنکه از نو شروع کند.

نه، و نکته همین است. ارزیابی دوم آنچه تغییر کرده، آنچه پیش‌تر کنار گذاشته شده یا وقت نشده، و درستی اصلاح یافته‌های قبلی را پوشش می‌دهد. این دامنه را از پیش توافق می‌کنید و پلتفرم نشان می‌دهد که این تصمیم از نظر موارد آزمون یعنی چه.

چون ادعایی در یک بند نیست. هر مورد آزمون در پروژه وضعیتی دارد: اجراشده همراه با شواهد، یا کنارگذاشته‌شده همراه با دلیل. شما می‌توانید این فهرست را بخوانید و ممیز هم می‌تواند. وقتی دلیل «نبود زمان» یا «مسدودبودن محیط» است، همان نوشته می‌شود.

هنوز نه. پلتفرم طوری طراحی شده که روی زیرساخت خودتان نصب شود، که انتخاب معمول جایی است که داده دامنه، شواهد یا یافته‌ها نباید از سازمان خارج شوند، اما تاکنون جایی مستقر نشده است. امروز اجرای پروژه‌ها با ماست؛ پس از استقرار پلتفرم می‌توانید خودتان آن را اجرا کنید یا این دو را ترکیب کنید: تیم شما برای کارهای روزمره و تیم ما برای پروژه‌های عمیق، با یک تاریخچه واحد برای هر اپلیکیشن.

هر مورد آزمون مشخص می‌کند که تنها کار کارشناس است، با کمک عامل انجام می‌شود یا عامل می‌تواند اجرایش کند. امروز همه موارد را کارشناسان ما اجرا می‌کنند. اجرای موارد واجد شرایط با عامل‌ها، از طریق Hafez Fabric، درون محیط ایزوله و با قواعد تأیید و سابقه ممیزی، در قالب افزونه تست نفوذ هوشمند برنامه‌ریزی شده که در حال طراحی است. قضاوت، یعنی اینکه یک یافته برای کسب‌وکار شما چه معنایی دارد، نزد کارشناس می‌ماند و هیچ چیز صرفاً به این دلیل که مدلی گفته، یافته اعلام نخواهد شد.

خیر. دامنه، شواهد و یافته‌های شما متعلق به خودتان است. قابلیت‌های هوش مصنوعی طوری طراحی شده‌اند که از مسیر Hafez Fabric بگذرند، که می‌تواند داده حساس را پیش از رسیدن هر درخواست به مدل بیرونی بپوشاند، و نصب روی زیرساخت خودتان را می‌توان تنها به مدل‌های داخل شبکه شما محدود کرد.

ثبت یک دارایی هرگز مجوز آزمون آن نیست. دامنه توافقی صریح و نسخه‌دار است و دارایی‌های بیرون از آن در دسترس پروژه قرار نمی‌گیرند. کشف می‌تواند دارایی‌ای را پیشنهاد دهد، اما پذیرش و صدور مجوز آزمون همچنان با یک انسان است.

گزارشی به فارسی یا انگلیسی با یافته‌های امتیازدهی‌شده بر پایه CVSS، هر یافته همراه با شواهد و گام‌های بازتولید، راهنمای رفع نوشته‌شده برای تیم مجری، و سند پوشش. پس از استقرار پلتفرم، پروفایل، تاریخچه موارد آزمون و نتایج آزمون مجدد هم درون آن نزد شما می‌ماند.

آزمون مجدد، راستی‌آزمایی یک یافته مشخص است، نه ارزیابی تازه. شواهد و گام‌های اصلی موجودند، اصلاح در برابر همان‌ها بررسی می‌شود و نتیجه ثبت می‌گردد. بسته‌شدن تیکت شاهد گرفته نمی‌شود و اقدام کاهنده، به‌جای رفع نقص اصلی ثبت نمی‌گردد.

بله. نتایج واردشده به‌صورت رخدادها ثبت و در کنار یافته‌های ما در قالب مسائل مدیریت‌شده هم‌بسته می‌شوند، بدون آنکه رکورد اصلی بازنویسی شود. یک ضعف که سه ابزار گزارش کرده‌اند، یک چیز برای اصلاح است، و یافته‌ای که صرفاً در ورودی بعدی دیده نمی‌شود، اصلاح‌شده به حساب نمی‌آید.

هویت دارایی در دامنه همان سازمان تعریف می‌شود؛ پس دو مشتری که یک نام میزبان را ثبت کرده‌اند هرگز به هم نمی‌رسند. هر پروژه برای افراد تخصیص‌یافته به آن دیده می‌شود و هر اقدام روی یافته یا دامنه، با نام انجام‌دهنده ثبت می‌گردد.