Uma nova versão pode introduzir um problema explorável entre avaliações de segurança agendadas. O pentest de IA contínuo ajuda as equipas a testar a aplicação em execução à medida que esta sofre alterações. O resultado útil são evidências sobre as quais os programadores podem agir — e uma forma de verificar se uma correção implementada resolve efetivamente a vulnerabilidade detetada.
O Aikido Infinite disponibiliza pentest de IA contínuo em paralelo com o seu processo de desenvolvimento existente. Este guia explica o percurso desde uma avaliação inicial até a uma deteção, à ação do programador e a um pedido de novo teste. Pode manter os seus scanners de segurança atuais e o processo de gestão de incidências enquanto avalia esse fluxo de trabalho.
Comece com uma aplicação com âmbito definido e uma avaliação inicial
Escolha a aplicação e o ambiente que pretende testar. Configure o respetivo âmbito e acesso, e conclua uma avaliação inicial do Aikido. Para testes contínuos, ligue os repositórios necessários para identificar alterações relevantes e verifique as permissões atuais e os requisitos de créditos na documentação de configuração.
Mantenha uma avaliação completa inicial distinta de testes direcionados posteriores. Um teste pequeno de um comportamento alterado não substitui uma nova avaliação de toda a superfície da aplicação.
Configure quando os testes contínuos são executados
Decida se os testes devem seguir uma branch de implementação configurada ou um agendamento. Alinhe esse acionador (trigger) com o ambiente que o Aikido consegue alcançar, incluindo qualquer atraso necessário para que uma implementação seja concluída.
O objetivo é testar o estado da aplicação que está efetivamente a avaliar. Um novo commit, uma versão implementada e um ambiente de teste acessível são eventos relacionados, mas não são intermutáveis. Consulte Continuous Pentesting para ver os controlos de configuração atuais.
Siga a deteção no fluxo de trabalho do programador
Uma deteção útil fornece ao programador informação suficiente para compreender o comportamento afetado, reproduzir o problema e avaliar uma correção. A visão geral do pentest do Aikido explica a validação e as informações de deteção fornecidas pelo produto.
Mantenha a responsabilidade pela remediação no processo que a sua equipa já utiliza. Por exemplo, crie ou atualize um problema no seu gestor de incidências atual com uma hiperligação para a deteção do Aikido, a versão afetada, o responsável e os critérios de aceitação da correção. Esta pode ser uma transferência manual. Se utilizar uma integração, verifique o respetivo comportamento para deteções de pentest antes de confiar nela para sincronização ou fecho.
Um fluxo de trabalho de correção ilustrativo
O exemplo seguinte explica o processo; não se trata de um estudo de caso de cliente nem de uma demonstração de produto medida.
Imagine uma aplicação web que permite a um utilizador autenticado aceder a um registo pertencente a outra conta. Uma deteção de pentest identifica a operação afetada e fornece provas da falha de controlo de acessos.
O programador investiga a verificação de autorização e prepara uma correção. A equipa analisa e testa essa alteração através do seu processo normal de pull request. Um patch proposto é uma correção candidata; o comportamento da aplicação ainda tem de ser verificado após a implementação.
EtapaQuem atuaO que registarDeteção confirmadaO Aikido fornece a deteção; a equipa analisa-a.Hiperligação da deteção, comportamento afetado da aplicação, evidências de reprodução e versão testada.Responsabilidade do programadorA equipa atribui o problema no gestor de incidências existente.Responsável e critérios de aceitação: a ação não autorizada tem de falhar enquanto o acesso permitido continua a funcionar.CorreçãoO programador implementa e analisa a alteração.Pull request e a versão que contém a correção.ImplementaçãoA equipa implementa no ambiente de avaliação.Ambiente e versão implementada.VerificaçãoUm utilizador autorizado solicita um novo teste da deteção.Resultado do novo teste e qualquer trabalho de remediação remanescente.
Verifique a correção implementada
Implemente a correção no ambiente de teste antes de solicitar uma nova avaliação. Reveja o resultado antes de considerar o problema de segurança como resolvido. Se o problema continuar a ser reproduzível, prossiga com a remediação e repita a verificação após a próxima correção.
Mantenha a evidência do novo teste associada ao item de trabalho. Um ticket fechado num gestor de problemas e uma verificação de segurança bem-sucedida respondem a perguntas diferentes: um regista o estado do fluxo de trabalho; o outro regista o que aconteceu quando a aplicação foi testada. Siga as instruções de reteste de descobertas para as ações atuais e os respetivos estados de resultado.
O que pode continuar a ser utilizado?
As suas ferramentas atuais de SAST, SCA e outras soluções de segurança podem continuar a funcionar. O seu repositório, processo de revisão e gestor de tarefas podem continuar a ser os sistemas que os seus programadores utilizam para coordenar alterações. A adoção do penteste não exige a transição de toda a pilha de segurança para o Aikido.
Ainda existe trabalho de configuração: acesso à aplicação, âmbito, repositórios para testes contínuos, permissões e configuração de utilização. Verifique esses requisitos para o modo de teste específico que escolher.
Compare o tipo correto de teste repetido
Uma avaliação completa, um teste direcionado após uma alteração e o reteste de uma descoberta conhecida servem propósitos diferentes. Ao avaliar qualquer produto de penteste contínuo, pergunte qual deles está a ocorrer, o que o desencadeia e que evidências são devolvidas.
Um reteste bem-sucedido aborda a descoberta verificada no ambiente testado. Por si só, não estabelece uma cobertura de regressão permanente para cada futuro lançamento nem demonstra que todas as vulnerabilidades foram encontradas.
Execute um projeto-piloto prático
Escolha uma aplicação e acompanhe uma descoberta através do seu processo de desenvolvimento real. Registe o esforço de configuração, as transferências manuais, a qualidade das evidências e o resultado da verificação da correção. Se não for produzida nenhuma descoberta, não invente uma para concluir o processo: utilize um ambiente de demonstração aprovado para avaliar o fluxo de trabalho.
Comece com a configuração de pentest do Aikido e, em seguida, configure os testes contínuos quando a avaliação inicial e os pré-requisitos estiverem implementados.
