إدارة الحسابات والأذونات واسترداد الوصول

تحديد الإجراءات المطلوبة فعلاً

قائمة الإجراءات حسب الدور: اقرأ استفسارًا أو صياغة صفحة أو نشر أو تصدير أو إدارة. مسؤوليات منفصلة حيث يسمح السياق. اطلب من كل مشارك التحقق من صحة المهام والإجراءات العادية التي لا ينبغي أن يكون قادرًا على القيام بها.

الاحتفاظ بمخزون من حسابات الفريق والتكامل مع المالك والغرض. الأسرار لا تنتمي إلى هذه الوثيقة المشتركة. يجب أن يحدد المخزون من يمكنه التصرف دون تحويل جدول بيانات المشروع إلى مخزن كلمات المرور.

مراجعة تسجيل الدخول والإجراءات الحساسة

يغطي OWASP المصادقة والضوابط المرتبطة بها ، بما في ذلك المحاولات والنقل المحمي والاسترداد وإعادة المصادقة للعمليات الحساسة. استخدم حلًا محافظًا وقم بتقييم الحماية الإضافية وفقًا للمخاطر.

قم بإعداد اختبارات القبول باستخدام حساب مصرح به ودور مقيد وجلسة منتهية الصلاحية. اختبر عملية حساسة من خلال عنوانها المباشر وكذلك قائمتها. إخفاء الزر وحده لا يفرض أذونات من جانب الخادم.

تمرين الاسترداد باستخدام بيانات الاختبار

في بيئة الاختبار ، قم بمحاكاة فقدان طريقة تسجيل الدخول ورابط منتهي الصلاحية ومحاولة متكررة. تحقق من الرسائل والمستلم ونهاية الإجراء. يحتاج الدعم إلى طريقة مكتوبة لحالات استثنائية.

حدد كيفية إلغاء الجلسات السابقة وكيف تتم مراجعة الوصول الآخر بعد الاسترداد. لا تطلب من أحد أن يرسل سرًا من خلال نموذج عادي كدليل على الملكية. راجع الإجراء مع مالك أمان الحل.

خطة التجهيز والمغادرة والتسليم

تعيين المالكين لإنشاء ومراجعة وإغلاق الوصول. قد يؤثر المغادرة على الموقع والاستضافة والمجال والخدمات المتصلة والأجهزة المصرح بها. يحتاج الوصول في حالات الطوارئ إلى التحكم والتوعية بين الموظفين المعتمدين واختبار لا يفضحه علنًا.

احتفظ بسجل للأذونات الممنوحة والمزالة وتاريخ المراجعة. كرر المهام التمثيلية بعد تغيير الدور أو البرنامج. تساعد هذه الطريقة في العثور على السهو ولكنها لا تحل محل التقييم الأمني المناسب للخدمة.

التوثيق الأساسي: OWASP - ورقة غش المصادقة.