Создание сайта понятным агентами не означает предоставление им неограниченного доступа. Публичный контент должен быть структурирован, а действия остаются подлежащими аутентификации, авторизации, подтверждению и ведению журнала.
Полезный ответ зависит от цели страницы, от людей, разрешавших ее модифицировать, и от стоимости ошибки. Надежный рабочий процесс разделяет редакционное решение, техническую трансляцию и окончательную проверку вместо того, чтобы скрывать эти три шага в одной автоматизации.
решение принять сначала
разделить общественную информацию и способность к действию. Операция, которая создает, оплачивает, удаляет или передает данные, должна требовать подтверждения намерения и авторизованного удостоверения.
конкретный метод
- Инвентаризация публичных, аутентифицированных и запрещенных действий.
- Примените наименьшую привилегию к каждой точке входа.
- требуют подтверждения необратимых действий.
- Ограничьте поток и защищайте от повторения.
- Журнал идентификации, действия, результата и времени.
Проверки перед публикацией
- Источник истины явный и может быть восстановлен.
- Видимые URL-адреса, даты и операторы соответствуют передаваемой странице.
- Человек-рецензент может воспроизвести элемент управления без скрытого обслуживания.
Основная ловушка
Интерфейс, предназначенный для агентов, которые забывают элементы управления основным продуктом, становится второй более слабой точкой входа.
Следующий шаг рекомендуется
Сначала улучшите семантика и доступность, затем выставляйте только те действия, с которыми уже освоена модель безопасности.
Тестируйте агента в форме без предоставления привилегированного доступа
Организация хочет, чтобы агент готовил контактный запрос. Тест позволяет читать общедоступную информацию и заполнять образец формы; Фактическое представление требует явного действия человека. В этом путешествии не отображается логин администрации, платеж или удаление данных.
Отдельное чтение, подготовка и необратимое действие. Тестовые сбои, подтверждения и отмена с использованием данных образцов. Реальные разрешения должны следовать минимуму, необходимому для задачи, и оставаться под контролем ответственной команды.