اعتبارسنجی امنیتی ASVS

یک وب‌اپلیکیشن را در برابر استاندارد OWASP ASVS، الزام به الزام و در سطحی انتخاب‌شده می‌سنجد و هر الزام را به‌صورت قبول، رد یا نامرتبط همراه با شواهد ثبت می‌کند؛ یک بررسی عرض‌محور از کنترل‌های امنیتی در همه‌ی دسته‌ها.

یک تست نفوذ در زمانی مشخص روی مسیرهای قابل بهره‌برداری که می‌یابد عمیق می‌شود و اثر واقعی را نشان می‌دهد. یک اعتبارسنجی ASVS در عرض پیش می‌رود و هر کنترل استاندارد را تأیید می‌کند، از جمله مواردی که یک تست شاید هرگز به آن‌ها نرسد، مانند ثبت رخداد، مدیریت کلید و معماری. بسیاری از تیم‌ها از هر دو استفاده می‌کنند: اعتبارسنجی برای پوشش و تست برای اثبات اثر.

Level 1 یک اطمینان پایه و عمدتاً قابل‌آزمون به‌صورت جعبه‌سیاه می‌دهد؛ Level 2 هدف درست برای بیشتر اپلیکیشن‌هایی است که داده‌ی شخصی یا حساسِ کسب‌وکار را مدیریت می‌کنند؛ Level 3 برای سامانه‌های پرارزش است که به دفاع در عمق نیاز دارند. بر پایه‌ی داده و ریسک کمک می‌کنیم انتخاب کنید، و اعتبارسنجی بالاتر از سطحی که ریسک شما می‌طلبد سودی ندارد.

خیر؛ ASVS یک استاندارد باز برای اعتبارسنجی در برابر آن است، نه یک طرح صدور گواهی با نهاد اعتباربخش. آنچه ارائه می‌کنیم یک گزارش اعتبارسنجی مستقل است که دامنه، سطح، روش و نتیجه‌ی هر الزام را بیان می‌کند و می‌توانید آن را با مشتری یا ممیزی که می‌پرسد اپلیکیشن چگونه اعتبارسنجی شده به اشتراک بگذارید.

برای یک اعتبارسنجی معنادار در Level 2 یا 3 به دسترسی جعبه‌خاکستری یا جعبه‌سفید نیاز داریم: حساب‌های آزمایشی برای هر نقش، کد منبع، و اسناد طراحی یا معماری. برخی الزامات به‌سادگی از بیرون قابل تأیید نیستند، پس یک پروژه‌ی صرفاً جعبه‌سیاه می‌تواند Level 1 را اعتبارسنجی کند اما سطوح بالاتر را به‌طور کامل نه.

این استاندارد معماری و طراحی، احراز هویت، مدیریت session، کنترل دسترسی، اعتبارسنجی و کدگذاری، رمزنگاری، مدیریت خطا و ثبت رخداد، حفاظت از داده، ارتباطات، منطق کسب‌وکار، فایل‌ها و منابع، امنیت API و وب‌سرویس، و پیکربندی را در بر می‌گیرد. یک اعتبارسنجی الزامات مرتبط با سطح شما را در هر دسته طی می‌کند.

اغلب بله. یک مشتری یا یک برنامه‌ی انطباق ممکن است از شما بخواهد نشان دهید یک اپلیکیشن در برابر یک استاندارد شناخته‌شده اعتبارسنجی شده است. گزارش ASVS این شواهد را در قالبی می‌دهد که ممیزان و تیم‌های امنیتی می‌شناسند، هرچند جایگزین یک ممیزی رسمی در جایی که به‌طور خاص لازم باشد نمی‌شود.

هر الزام ردشده بر پایه‌ی ریسک واقعی‌ای که در اپلیکیشن شما ایجاد می‌کند رتبه می‌گیرد، تا بتوانید ابتدا آن‌هایی را که مهم‌اند رفع کنید، نه این‌که هر شکاف را برابر بگیرید. گزارش، رفع را بر اساس همان ریسک مرتب می‌کند.

بله؛ پس از رفع، الزامات ردشده را دوباره اعتبارسنجی می‌کنیم و وضعیتشان را در گزارش به‌روز می‌کنیم. مدت زمان به سطح و اندازه‌ی اپلیکیشن بستگی دارد؛ یک اعتبارسنجی معمول حدود دو تا چهار هفته طول می‌کشد و پس از دامنه‌گذاری برآورد دقیق می‌دهیم.