Cyber

Hacks you before hackers do. Cyber là Frontier Investigation Agent cho bảo mật ứng dụng. Cyber kiểm thử bảo mật ứng dụng web hoặc API do chính bạn sở hữu và phát triển, kiểm tra mã nguồn đằng sau nó, và giữ bằng chứng chứng minh từng vấn đề tìm thấy. Công cụ quét chỉ liệt kê những gì có thể sai. Cyber chứng minh điều đó: một phát hiện pentest là một cuộc tấn công đã được tái hiện, kèm các request và response đằng sau, còn một phát hiện mã nguồn mang theo kết quả xác minh đã quyết định nó. Kiểm tra nào không chạy được, chẳng hạn trang được bảo vệ mà không có người dùng thử nghiệm, sẽ được đánh dấu là giới hạn thay vì an toàn.

Cách hoạt động

Cyber kiểm thử hai bề mặt. Pentest tấn công ứng dụng đang chạy; Code Audit đọc mã nguồn đằng sau ứng dụng. Lượt chạy pentest diễn ra như sau:

Giai đoạn	Điều xảy ra
1. Đăng ký ứng dụng	Bạn thêm một App: một URL ứng dụng cùng đối tượng kiểm thử, Web application hoặc API. Lựa chọn này xác định các danh mục OWASP mà báo cáo độ bao phủ đo lường.
2. Chứng minh quyền sở hữu	Bạn công bố một bản ghi DNS TXT cho tên miền. Cyber không chạy trên tên miền cho đến khi tên miền hiển thị Verified.
3. Đặt ranh giới	Bạn thêm người dùng thử nghiệm, repository và tài liệu API tùy chọn, rồi bao gồm hoặc loại trừ đường dẫn và chọn cường độ.
4. Tấn công	CloudThinker khám phá ứng dụng, thử các cuộc tấn công trong phạm vi và ghi lại từng request và response. Bạn theo dõi lượt chạy trực tiếp và có thể dừng lượt chạy.
5. Chứng minh và sửa	Mỗi phát hiện mang theo bằng chứng. Bạn phân loại, mở pull request sửa lỗi với agent, và xác minh lại hoặc chạy lại để xác nhận bản sửa.

Code Audit bỏ qua bước 1 đến 3: bạn chọn một repository đã kết nối và một nhánh, rồi audit quét mã, điều tra những gì tìm thấy và xác minh từng ứng viên trên commit đã cố định. Sau đó audit theo dõi nhánh đó, kiểm tra lại theo lịch hoặc ở mỗi lần push, và theo dõi dependency của nhánh để phát hiện cảnh báo thư viện mới. Nhấn Cyber trong thanh bên để mở trang tổng quan: các ứng dụng, kết quả mới nhất và hoạt động gần đây. Thanh bên liệt kê các Apps pentest và, bên dưới, các Repositories mà Code Audit theo dõi.

Trang tổng quan Cyber với hoạt động gần đây.

Mô hình an toàn

Cyber gửi lưu lượng tấn công thực, nên mọi lượt chạy đều nằm trong giới hạn của các cài đặt bạn kiểm soát: mục tiêu, các đường dẫn được phép chạm vào, người dùng thử nghiệm dùng để đăng nhập và mức độ tấn công.

Kiểm soát	Bảo vệ điều gì
Domain ownership	Lượt chạy bị chặn cho đến khi bản ghi DNS TXT chứng minh bạn kiểm soát tên miền. Chỉ Admin của workspace mới có thể khai báo và xác minh tên miền.
Scope	Quy tắc đường dẫn Include và Exclude. Đường dẫn bị loại trừ luôn nằm ngoài giới hạn.
Intensity	Mức độ tấn công của lượt chạy, từ Safe đến Deep dive. Xem bảng cường độ.
Test users	Các tài khoản riêng bạn tạo để kiểm thử. Cyber đăng nhập bằng các tài khoản này, không bao giờ bằng người dùng thực. Lượt chạy theo lịch chỉ đăng nhập bằng người dùng Long-lived token, nên nếu không có người dùng này, lượt chạy không thể kiểm thử hoặc kiểm tra lại gì sau trang đăng nhập. Xem Thêm người dùng thử nghiệm.
Stop run	Hủy lượt chạy bất cứ lúc nào. Phát hiện đã lưu vẫn khả dụng. Lượt chạy bị dừng không tạo báo cáo lượt chạy.

Aggressive (mức Recommended trên giao diện) gửi thao tác ghi tạo và sửa dữ liệu thử nghiệm. Full và Deep dive có thể thay đổi hoặc xóa vĩnh viễn dữ liệu trong phạm vi đã lưu. Hãy trỏ mọi mức trên Safe vào staging với tài khoản thử nghiệm, không phải production.

Trước lượt chạy đầu tiên

Thống nhất những điểm sau với nhóm nền tảng trước khi khởi chạy, để lượt chạy không bị chặn hoặc kích hoạt cảnh báo trực.

Câu hỏi	Trả lời
Ai có thể khởi chạy?	Workspace Admin và Developer. Viewer chỉ xem được. Mọi vai trò có thể chạy đều chọn được mọi cường độ, nên hãy giới hạn người giữ các vai trò đó. Xem Vai trò.
Lưu lượng đến từ đâu?	Từ cloud của CloudThinker, không phải mạng của bạn. Hướng dẫn này không liệt kê dải IP nguồn hay header nhận dạng. Nếu WAF hoặc IDS sẽ chặn hoặc cảnh báo lưu lượng tấn công, hãy liên hệ chúng tôi trước để có thông tin hiện tại.
Có kiểm thử được ứng dụng nội bộ hoặc chỉ qua VPN không?	Không. Mục tiêu phải là một tên miền mà CloudThinker truy cập được. Địa chỉ IP, dải CIDR và `localhost` không được chấp nhận làm mục tiêu.
Một lượt chạy mất bao lâu?	Tùy kích thước ứng dụng và cường độ. Mọi lượt chạy dừng sau tối đa ba giờ.
Lượt chạy có tốn credit không?	Có. Mọi lượt chạy Cyber đều dùng credit, và Deep dive dùng nhiều nhất. Lượt chạy Deep dive thủ công có thể đặt giới hạn credit. Xem Mức sử dụng.
Cyber lưu dữ liệu gì?	Các request, response và ảnh chụp màn hình chứng minh từng phát hiện, được lưu làm bằng chứng. Mật khẩu, token, cookie và key được thay bằng placeholder, nhưng dữ liệu response khác vẫn được giữ, nên hãy dùng tài khoản thử nghiệm không có dữ liệu khách hàng thực. Xem Bảo vệ dữ liệu.
Có giới hạn tốc độ request được không?	Không. Không có cài đặt tốc độ. Để giảm tải, hãy thu hẹp phạm vi hoặc dùng cường độ thấp hơn.
Có cần sự cho phép ngoài bằng chứng DNS không?	Có, nếu bạn không sở hữu hạ tầng lưu trữ. DNS chứng minh bạn kiểm soát tên miền, không chứng minh bạn được phép tấn công hạ tầng bên dưới. Kiểm tra chính sách pentest của nhà cung cấp hosting hoặc cloud, và xin phê duyệt bằng văn bản cho tài sản của bên thứ ba.

Những gì bạn có thể làm

Khả năng	Bạn nhận được gì	Tìm hiểu thêm
Chạy pentest đầu tiên	Một lượt chạy Safe trên vài đường dẫn của ứng dụng staging, từ đầu đến khi có phát hiện	Bắt đầu nhanh với Cyber
Theo một hướng dẫn chi tiết	Một pentest có phạm vi trên ứng dụng staging với hai người dùng thử nghiệm, bằng chứng của một phát hiện, và một lần kiểm tra lại xác nhận bản sửa	Pentest ứng dụng staging với Cyber
Cấu hình và lên lịch pentest	Người dùng thử nghiệm, phạm vi, cường độ và lượt chạy định kỳ	Chạy pentest
Đi sâu vào các luồng phức tạp	Chế độ Deep dive cho đường tấn công liên kết và logic nghiệp vụ	Pentest Deep dive
Phân loại phát hiện	Chế độ xem bảng và board, bằng chứng cho từng phát hiện, loại bỏ, sửa và kiểm tra lại	Phân loại phát hiện
Chia sẻ kết quả	PDF các phát hiện đã chọn hoặc tài liệu đánh giá của một lượt chạy	Báo cáo Cyber
Kiểm thử đăng nhập có CAPTCHA	Test key hoặc cơ chế bỏ qua cho đăng nhập bằng mật khẩu	Xử lý đăng nhập có CAPTCHA
Kiểm tra mã nguồn	Một nhánh repository được quét, điều tra và xác minh, rồi được theo dõi qua các commit	Chạy Code Audit
Theo dõi dependency	Danh mục thư viện theo nhánh, bằng chứng cảnh báo và tác động lên mã của bạn	Giám sát lỗ hổng thư viện
Khắc phục sự cố	Nguyên nhân, cách kiểm tra và cách sửa cho các vấn đề Cyber thường gặp	Khắc phục sự cố Cyber

Khái niệm chính

Thuật ngữ	Ý nghĩa
App	Mục tiêu đã lưu: URL, framework, cài đặt truy cập, phát hiện và lịch sử chạy
Access level	Xác định theo những gì bạn cung cấp. Black-box chỉ có truy cập công khai, Gray-box thêm người dùng thử nghiệm, White-box thêm repository, có hoặc không có người dùng thử nghiệm.
Confirmed	Phát hiện mà cuộc tấn công đã tái hiện được, có kèm bằng chứng
Needs verification	Ứng viên mà Cyber chưa chứng minh được. Hãy coi đó là đầu mối, không phải lỗ hổng.
Stale	Ứng dụng có lần quét hoàn tất gần nhất cách đây hơn 30 ngày
Tracked branch	Nhánh repository mà Code Audit theo dõi qua các lần audit, giữ phát hiện và danh mục thư viện của nhánh đó

Bắt đầu

Bắt đầu nhanh với Cyber

Chạy pentest đầu tiên trên một ứng dụng staging

Chạy pentest

Thiết lập người dùng thử nghiệm, phạm vi, cường độ và lịch

Phân loại phát hiện

Đọc bằng chứng, sửa và kiểm tra lại

Chạy Code Audit

Kiểm tra một nhánh repository và theo dõi nó qua các commit

Bắt đầu

Chạy kiểm thử

Kết quả

Trợ giúp

Cách hoạt động

Mô hình an toàn

Trước lượt chạy đầu tiên

Những gì bạn có thể làm

Khái niệm chính

Bắt đầu

Bắt đầu nhanh với Cyber

Chạy pentest

Phân loại phát hiện

Chạy Code Audit

​Cách hoạt động

​Mô hình an toàn

​Trước lượt chạy đầu tiên

​Những gì bạn có thể làm

​Khái niệm chính

​Bắt đầu

Bắt đầu nhanh với Cyber

Chạy pentest

Phân loại phát hiện

Chạy Code Audit

Cách hoạt động

Mô hình an toàn

Trước lượt chạy đầu tiên

Những gì bạn có thể làm

Khái niệm chính

Bắt đầu