กำหนดระบบและวิธีตรวจ
ระบุ URL สภาพแวดล้อม บัญชีที่ใช้ตรวจ ผู้อนุญาต ช่วงเวลา และวิธีที่ตกลง วางแนวทางลดผลกระทบต่อบริการร่วมกับเจ้าของระบบ
บริการ / 10
เว็บไซต์ที่เปิดใช้งานมาระยะหนึ่งอาจมีบัญชีเก่า การตั้งค่าที่ตกหล่น หรือส่วนประกอบที่ขาดการดูแล เราช่วยทบทวนสิ่งเหล่านี้จากหลักฐานที่เข้าถึงได้ แล้วสรุปว่าควรแก้อะไรก่อนและใครควรรับช่วงต่อ
เหมาะกับธุรกิจที่รับช่วงเว็บไซต์จากทีมเดิม เตรียมเปิดระบบใหม่ หรืออยากรู้ความพร้อมด้านความปลอดภัยของเว็บที่ใช้งานอยู่ โดยมีเจ้าของระบบร่วมกำหนดขอบเขตและอนุญาตการตรวจ
ได้รายงานข้อค้นพบ ระดับความสำคัญ หลักฐานที่จำเป็น และแผนปรับปรุงที่นำไปดำเนินการต่อได้ พร้อมแยกรายการที่ตรวจแล้วและส่วนที่อยู่นอกขอบเขต
ระบุ URL สภาพแวดล้อม บัญชีที่ใช้ตรวจ ผู้อนุญาต ช่วงเวลา และวิธีที่ตกลง วางแนวทางลดผลกระทบต่อบริการร่วมกับเจ้าของระบบ
ดูบัญชีผู้ดูแล บัญชีที่ไม่ใช้งาน การแบ่งสิทธิ์ และมาตรการยืนยันตัวตนตามความสามารถของระบบ
ทบทวน HTTPS การเปิดเผยข้อมูล การตั้งค่าที่เกี่ยวข้อง และสถานะอัปเดตของระบบหรือส่วนประกอบจากข้อมูลที่เข้าถึงได้
ตรวจรายการข้อมูลสำรอง ผู้รับผิดชอบ และหลักฐานการกู้คืน วางแผนทดสอบในสภาพแวดล้อมที่ตกลงเมื่ออยู่ในขอบเขต
จัดทำรายงานที่เชื่อมข้อค้นพบกับผลกระทบ ข้อเสนอแนะ ผู้รับผิดชอบ และสิ่งที่ต้องตรวจเพิ่มเติม
แยกงาน review ออกจากงาน remediation หากเลือกให้ช่วยแก้ จะวางแผนสำรอง ย้อนกลับ และรายงานผลตรวจซ้ำตามรายการที่ตกลง
เริ่มจากงานตรวจเป็นขอบเขตครั้งเดียว ประเมินตามจำนวนระบบ บทบาทผู้ใช้ และความลึกของการตรวจ งานแก้ไข ตรวจซ้ำ และดูแลต่อเนื่องแยกรายการให้เลือกได้
กำหนดช่วงตรวจและส่งรายงานเมื่อทราบสิทธิ์เข้าถึงและขอบเขต การแก้ไขขึ้นกับความซับซ้อนและทีมที่รับผิดชอบ จึงวางรอบตรวจซ้ำหลังตกลงรายการแก้ไข
ขอบเขตเริ่มต้นเป็นการทบทวนและปรับความปลอดภัยตามรายการที่ตกลง ไม่ได้รวมการทดสอบเจาะระบบทุกวิธี หากต้องการ Penetration Test จะประเมินขอบเขต ผู้ดำเนินการ และวิธีทดสอบแยกก่อนเสนอรับงาน
รายงานสะท้อนสิ่งที่ตรวจพบภายใต้ขอบเขตและช่วงเวลานั้น ไม่ใช่การรับประกันว่าจะไม่มีช่องโหว่หรือเหตุการณ์ในอนาคต จึงควรวางการปรับปรุงและดูแลต่อเนื่องร่วมด้วย
เลือกใช้รายงานให้ทีมเดิมแก้ไขได้ หรือให้ Loremworks ประเมินงานปรับแก้แยกต่างหาก โดยมีเกณฑ์ตรวจซ้ำที่เข้าใจตรงกัน
งาน review เน้นการตรวจและรายงานตามขอบเขตเฉพาะ ส่วนงานดูแลเป็นการอัปเดต สำรองข้อมูล และติดตามตามรอบที่ตกลง ทั้งสองบริการเชื่อมต่อกันได้หลังทราบสิ่งที่ต้องปรับ
ข้อมูลประกอบการอ่าน
OWASP: Application Security Verification Standard ↗คุยเรื่องโปรเจกต์ของคุณ
เล่าเกี่ยวกับธุรกิจ เป้าหมาย และสิ่งที่กังวล
แล้วค่อยวางขอบเขตที่เหมาะกับคุณ