Ku bincika manhajarku don ramukan tsaro

Manhajojin da aka rubuta cikin gaggawa sukan amince da burauza fiye da kima: aikin da kowa zai iya kira, ajiyar wuri da ake nema da lambarta ba tare da duba ta wane ne ba, farashin da aka ɗauka daga shafin. Maharan suna neman irin waɗannan giɓi ne.

Shafin Tsaro yana karanta manhajarku kamar yadda maharin zai yi, ya jera abin da ya gano tare da mafi muni a farko, ya kuma taimaka muku gyarawa. Ku ɗauke shi kamar ƙaramin gwajin kutse (binciken tsaro inda wani yake ƙoƙarin shiga da gangan), wanda yake cikin MonstarX.

Ta yaya zan gudanar da binciken tsaro?

1. Ku buɗe aikinku, sannan ku danna Tsaro a sandar sama.

2. Ku danna Fara binciken tsaro. Yana ɗaukar minti ɗaya ko biyu.

   

3. Ku kalli sassa uku suna kammaluwa ɗaya bayan ɗaya. Kuna iya barin shafin: binciken yana gudana a sabobin MonstarX kuma yana ci gaba. Soke yana dakatar da shi, ya kuma ajiye abin da ya gano zuwa lokacin.

   

Alamar shafin Tsaro a sandar sama tana nuna abin juyawa yayin da bincike yake gudana, sannan adadin abubuwan da aka gano waɗanda ba a magance ba (launinta yana bin mafi munin cikinsu) ko ɗigo kore idan babu abin da ya rage. Don sake bincike daga baya, ku danna Sake bincikawa a saman shafin.

Me binciken yake dubawa?

Bincike yana da sassa uku:

Sashe	Abin da yake yi	Kuɗi
Duban lambar tushe	Ƙa’idoji 33 suna gudana a kan kowane fayil na manhajarku: rashin duba shiga, bayanan da ake canjawa ba tare da duba mai su ba, bayanan sirri da aka rubuta cikin lambar tushe, tambayoyin rumbun bayanai da aka gina daga rubutu, HTML mara tsaro, lodi da ba a duba ba, webhook da ba a tabbatar ba, da sauransu.	Kyauta
Duban manhaja mai gudana	Buƙatun karantawa kawai zuwa manhajarku da take gudana, kamar baƙo marar asusu: shafukan da aka yi wa waɗanda suka shiga, hanyoyin da suke amsa wa kowa, samun dama daga wasu shafuka, kuma, a manhajar da aka wallafa, kanun tsaro da fayilolin da bai kamata a taɓa bayar da su ba.	Kyauta
Bita ta AI	Samfurin AI yana karanta dukan manhajarku tare da abubuwan da aka gano a hannu, ya tabbatar da su ko ya kore su, ya kuma nemi abin da karatu ne kaɗai yake gano shi, kamar farashin da aka amince da shi daga shafi ko bayanan da shafi yake aikawa amma ba ya nunawa.	Yana amfani da kiredit, kamar buƙatar Tattaunawa

Duban manhaja mai gudana yana amfani da manhajarku da aka wallafa idan tana kan intanet, in ba haka ba samfoti. Sakamakon yana faɗin wanda aka duba.

Menene OWASP Top 10 da CWE?

OWASP ƙungiya ce mara riba wadda take wallafa Top 10, jerin da aka fi sani na nau’o’in haɗarin tsaro mafi tsanani a manhajojin yanar gizo. Ana sa kowane abin da aka gano a ƙarƙashin ɗaya daga cikinsu, don ku (ko ƙwararren tsaro) ku san irin matsalar:

	A sauƙaƙe
A01 Kuskure a sarrafa damar shiga	Wani zai iya gani ko canja abin da ba nasa ba.
A02 Gazawar tsarin ɓoye bayanai	Ana adana ko yin bayanan sirri ko lambobi ta hanya mai rauni.
A03 Shigar da umarni ko bayanai masu cutarwa	Rubutun da wani ya shigar ana gudanar da shi a matsayin umarni ko lambar tushe.
A04 Zane mara tsaro	Ana iya cin zarafin tsarin aikin manhajar, kamar imel ko ajiyar wurare kyauta marasa iyaka.
A05 Saitunan tsaro marasa kyau	Saituna sun yi buɗi da yawa, kamar rashin kanun tsaro.
A06 Sassa masu raunin tsaro da waɗanda suka tsufa	Tsohuwar manhaja mai sanannun ramuka.
A07 Gazawar ganewa da tantancewa	Shiga ko kula da zama mai rauni.
A08 Gazawar amincin manhaja da bayanai	Ana amincewa da lambar tushe ko bayanai daga waje ba tare da dubawa ba.
A09 Gazawar rubuta da sa ido kan abubuwan tsaro	Bayanan sirri suna zubewa cikin rubutattun bayanai, ko ana kai hari ba a lura ba.
A10 Ƙirƙirar buƙatun bogi daga sabar	Ana iya sa manhajar ta ɗauko adiresoshin da maharin ya zaɓa.

CWE (Common Weakness Enumeration) kundi ne mai lambobi na takamaiman rauni, kamar CWE-639: bayanin da ake nema da lambar shaida da mai amfani yake sarrafawa. Kowane abin da aka gano yana da hanyar haɗi zuwa rukuninsa na OWASP kuma, idan yana da shi, shafinsa na CWE, don ku ƙara karantawa.

Ta yaya zan karanta sakamakon?

A sama za ku ga maki cikin 100 tare da daraja daga A zuwa F, abubuwan da aka gano waɗanda ba a magance ba bisa matakin haɗari, abin da aka bincika da wanda aka duba, kuɗin bita ta AI, da taƙaitaccen bayanin bitar cikin ’yan jimloli.

Maki yana farawa daga 100, kuma yana rage 40 ga kowace matsala Mai tsanani sosai, 15 ga kowace Babba, 5 ga kowace Matsakaici da 1 ga kowace Ƙarami. Darajar tana faɗin abin da za a yi na gaba:

Daraja	Maki	Ma’ana
A	90–100	Babu wani abu mai tsanani da aka samu.
B	75–89	Abubuwa kaɗan don gyarawa.
C	55–74	Ku gyara matsaloli masu babban haɗari kafin ƙarin mutane su fara amfani da manhajar.
D	35–54	Akwai manyan giɓi: ku gyara su kafin wallafawa.
F	0–34	Yadda manhajar take yanzu, ana iya kai mata hari.

Kowane abin da aka gano yana nuna matakin haɗarinsa, take, rukunin OWASP, CWE, inda ya fito (Duban lambar tushe, Duban manhaja mai gudana ko Bita ta AI), yadda binciken yake da tabbaci (An tabbatar, Mai yiwuwa ko Yana buƙatar dubawa) da fayil da layi. Ku danna ɗaya don buɗe shi:

• Lambar tushe da ke kewaye da layin, tare da alama a kan layin.
• Abin da ba daidai ba, Me ya sa yake da muhimmanci da Abin da za a sauya, cikin kalmomi masu sauƙi.
• Bayanin Bita ta AI: ko ta tabbatar da abin da aka gano da kuma yadda.
• Buɗe a Lambar tushe yana kai ku fayil ɗin a shafin Lambar tushe.

Idan bita ta AI tana ganin wani abin da aka gano ƙararrawar ƙarya ce, tana cewa Bita ta AI: mai yiwuwa ba matsala ta gaske ba ce. Wannan abin yana nan a jerin, a ƙarshe, amma ba a ƙidaya shi a maki.

A ƙarƙashin jerin, Me aka duba yana buɗe kowane gwajin da ya gudana, a rukunoni bisa OWASP, tare da alamar nasara, adadin abubuwan da aka gano, ko dalilin da ya sa aka tsallake shi.

Ta yaya zan gyara abin da ya gano?

1. Ku zaɓi abubuwan da kuke so a gyara, ko ku danna Zaɓi duk. Maɓallin Gyara matsaloli guda 2 zai bayyana. Yana kasancewa a kashe yayin da gini yake gudana.

   

2. Ku danna shi. MonstarX zai faɗa muku abin da zai faru, sannan ku sake danna Gyara matsaloli guda 2.

   

3. Kowane abin da aka gano yana zama ɗawainiya a tsarin fasali ɗinku (Tsaro: …; idan tsarin ya kusa cika, suna raba ɗawainiya ɗaya), kuma buƙatar gini ɗaya tana zuwa tattaunawa, da alamar Tsaro. Tana gudana kamar kowace buƙata, tana adana siga, kuma QA zai iya gwada manhajar bayan haka.

4. Idan an gama ginin, binciken yana sake gudana da kansa. Abubuwan da suka tafi suna bayyana a matsayin waɗanda aka warware (Maginin manhaja ya gyara: 2). Wanda har yanzu yake nan yana dawowa da alamar Har yanzu a nan bayan gyarawa.

Hattara

Gyara canji ne na gaske a manhajarku kuma yana amfani da kiredit kamar kowane gini. Ku kalli samfoti bayan haka, ku kuma dawo da sigar da ta gabace shi idan wani abu ya lalace.

Idan abin da aka gano ba matsala ta gaske ba ce fa?

Ku buɗe shi, ku danna Ware, sannan ku faɗi dalili:

• Ba matsala ta gaske ba ce
• Haɗarin da aka amince da shi: kun san da shi kuma kun amince da shi.
• An magance ta wata hanya

Abin da kuka ware yana komawa jerin Waɗanda aka ware, ya kuma zauna a can a kowane bincike na gaba, ko da wata lambar tushe ta canja. Ku danna Dawo da don mayar da shi cikin jerin.

Ta yaya zan zazzage rahoton tsaro?

Ku danna Zazzage rahoton a ƙasan sakamakon. Za ku sami fayil na Markdown (takarda ta rubutu kawai da take buɗewa a kowace manhajar rubutu), mai ɗauke da sunan aikinku, kamar ajiyar-fitar-da-karnuka-security-report.md. An tsara shi kamar rahoton gwajin kutse:

• Iyakar bincike da hanyar da aka bi: ƙa’idoji nawa suka gudana a kan fayiloli nawa, abin da aka duba, da abin da bita ta AI ta yi.
• Taƙaitawa: maki, abubuwan da aka gano waɗanda ba a magance ba bisa matakin haɗari, da taƙaitaccen bayanin bitar.
• Sakamakon bincike: kowanne tare da hanyoyin haɗinsa na OWASP da CWE, inda yake, lambar tushe, abin da ba daidai ba, dalilin da ya sa yake da muhimmanci, da abin da za a canja.
• Abubuwan da aka warware tun bayan binciken da ya gabata, da Mai shi ya ware, tare da dalilanku.
• Gwaje-gwaje: kowane gwaji da sakamakonsa.

Yana da amfani don rabawa da mai haɓaka manhaja, abokin ciniki ko mai binciken tsaro. Rahoton yana samuwa da zarar bincike ya daina gudana.

Tambayoyin da ake yawan yi

Bincike kyauta ne?

Duban lambar tushe da duban manhaja mai gudana kyauta ne. Bita ta AI tana amfani da kiredit, kamar buƙatar Tattaunawa, kuma sakamakon yana nuna kuɗinta. Gyaran abubuwan da aka gano yana amfani da kiredit kamar kowane gini.

Daraja mai kyau tana nufin manhajata tana da tsaro?

Babu binciken da zai iya yin wannan alƙawari. Yana gano abin da ƙa’idojinsa, gwaje-gwajensa da bitarsa za su iya gani. Ku fara gyara matsaloli masu tsanani sosai da manya, ku sake bincike, kuma ku sa mutum ya duba duk abin da ya shafi kuɗi ko bayanan mutane kafin mutane da yawa su yi amfani da manhajar.

Zan yi bincike kafin wallafawa ko bayan haka?

Duka biyun. Ku yi bincike kafin ku wallafa don kama manyan ramuka. Ku sake bincike da zarar manhajar ta kasance a intanet: wasu gwaje-gwaje, kamar kanun tsaro da fayilolin da bai kamata a taɓa bayar da su ba, suna gudana ne kawai a kan manhajar da aka wallafa.

Mutanen da na raba aikina da su za su iya ganin binciken?

A’a. Bincike yana bayyana kowane wuri mai rauni, don haka mai aikin ne kaɗai yake ganin shafin Tsaro.

Binciken yana duba lambar tushen shiga da rumbun bayanai na MonstarX kansa?

A’a. Waɗannan sassan iri ɗaya ne a kowace manhaja, kuma MonstarX ne yake kula da su. Binciken yana duba lambar tushen da aka rubuta don manhajarku, da manhajarku da take gudana.

Me zai faru idan gini yana gudana lokacin da na fara bincike?

Binciken yana jira ginin ya ƙare (har zuwa minti 10), don ya duba lambar tushen da aka kammala.

Shafuka masu alaƙa

Gwajin QA na atomatikKu gwada cewa manhajarku tana aiki a burauzoji na gaske.

Asusun masu amfaniYadda shiga yake aiki a manhajarku.

Bayanan sirri da maɓallan APIKu hana maɓallan API shiga cikin lambar tushenku.

Wallafa manhajarkuKu sa manhajarku a intanet, sannan ku sake bincika ta.