सगाई केस कैटलॉग
जब आप एक मिशन बनाते हैं तो आप सगाई के मामले चुनते हैं जिन्हें आप कवर करना चाहते हैं। प्रत्येक मामला एक विशिष्ट गहराई के साथ परीक्षण का एक अच्छी तरह से परिभाषित टुकड़ा है। प्रिंसिपल उपयोग करता है इस लक्ष्य के लिए क्या मायने रखता है उस पर उप-एजेंटों पर ध्यान केंद्रित करने के लिए आपका चयन।
मामलों को आठ डोमेन में व्यवस्थित किया गया है:
गहराई किंवदंती: प्रकाश = त्वरित, गैर-दखल देने वाला · मानक = सामान्य परीक्षण गहराई · गहरा = संपूर्ण, उच्च-प्रभाव (Attacker मोड की ओर भारित)।
नेटवर्क
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| LAN होस्ट खोज | अधिकृत LAN पर लाइव होस्ट, ओपन पोर्ट और सर्विस बैनर मैप करें। | प्रकाश |
| नेटवर्क भेद्यता स्वीप | पुरानी सेवाएँ, कमज़ोर कॉन्फ़िगरेशन, और अधिकृत होस्ट पर ज्ञात CVEs। | मानक |
| बाहरी परिधि | इंटरनेट-फ़ेसिंग आईपी और डोमेन: रिकॉन, टीएलएस, मेल, वीपीएन पोर्टल, एक्सपोज़्ड एडमिन पैनल। | मानक |
| आंतरिक धुरी पथ | एक पैर जमाने के बाद: पार्श्व-आंदोलन पथ, भरोसेमंद रिश्ते, कूदने वाले मेजबान। | गहरा |
| वीपीएन/रिमोट एक्सेस पोर्टल | एसएसएल-वीपीएन, आरडीपी गेटवे और वीडीआई पोर्टल: संस्करण, प्रमाणीकरण संबंधी खामियां, एमएफए अंतराल। | मानक |
| ईमेल और डीएनएस सुरक्षा | एसपीएफ़/डीकेआईएम/डीएमएआरसी, ज़ोन स्थानांतरण, और उपडोमेन-अधिग्रहण उम्मीदवार। | प्रकाश |
| टीएलएस/क्रिप्टो मुद्रा | कमजोर सिफर, समाप्त प्रमाणपत्र, एचएसटीएस, और इन-स्कोप HTTPS पर मिश्रित सामग्री। | प्रकाश |
| विभाजन/शून्य-विश्वास अंतराल | क्या वीएलएएन और माइक्रोसेगमेंट में अनधिकृत पार्श्व पथ मौजूद हैं। | गहरा |
| आईओटी/ओटी लाइट रिकॉन | आईसीएस/आईओटी बैनर और डिफ़ॉल्ट सेवाओं (गैर-विनाशकारी) की खोज करें। | प्रकाश |
वेब/एपीआई
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| वेब एप्लिकेशन (OWASP) | प्रामाणिक, इंजेक्शन, XSS, SSRF, अभिगम नियंत्रण, और व्यवसाय-तर्क जाँच। | मानक |
| एपीआई/ग्राफक्यूएल मूल्यांकन | स्कीमा खोज, प्राधिकरण अंतराल, बड़े पैमाने पर असाइनमेंट, दर सीमा, इंजेक्शन। | मानक |
| मोबाइल ऐप/बैकएंड एपीआई | प्रमाणपत्र-पिनिंग अंतराल, एपीआई प्राधिकरण, डीप लिंक, बैकएंड दुरुपयोग। | गहरा |
##पहचान/ई.स
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| एसएमबी/सक्रिय निर्देशिका सतह | शेयर, शून्य सत्र, एलडीएपी, और केर्बरोस/एनटीएलएम एक्सपोज़र। | गहरा |
| प्रमाणपत्र और गुप्त स्वच्छता | डिफ़ॉल्ट/कमजोर क्रेडेंशियल, लीक हुए रहस्य, और पुन: उपयोग पैटर्न। | मानक |
| पासवर्ड स्प्रे (अधिकृत) | केवल अधिकृत निर्देशिका के विरुद्ध कम और धीमा, लॉकआउट-जागरूक स्प्रे। | गहरा |
बादल
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| क्लाउड गलत कॉन्फ़िगरेशन | सार्वजनिक बकेट, अति-अनुमेय आईएएम, मेटाडेटा एसएसआरएफ, उजागर कुंजियाँ। | मानक |
| कंटेनर / कुबेरनेट्स | भागने के रास्ते, आरबीएसी, सीक्रेट माउंट और उजागर डैशबोर्ड। | गहरा |
समापन बिंदु
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| लिनक्स विशेषाधिकार वृद्धि | मिसकॉन्फिग, एसयूआईडी, सूडो, कर्नेल, क्रोन और कंटेनर एस्केप। | गहरा |
| विंडोज विशेषाधिकार वृद्धि | टोकन का दुरुपयोग, सेवाएँ, यूएसी और जीपीओ अंतराल। | गहरा |
| सीआई/सीडी और आपूर्ति श्रृंखला | पाइपलाइन रहस्य, निर्भरता-भ्रम जोखिम, विरूपण साक्ष्य अखंडता। | मानक |
| प्रिंटर एवं एमएफडी | एसएनएमपी स्ट्रिंग्स, खुले व्यवस्थापक पैनल, संग्रहीत कार्य और पता पुस्तिकाएं। | प्रकाश |
वायरलेस
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| वायरलेस मूल्यांकन | एन्क्रिप्शन शक्ति, दुष्ट एपी, कैप्टिव पोर्टल, क्लाइंट अलगाव। | मानक |
लोग/जागरूकता
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| फ़िशिंग लचीलापन (नियंत्रित) | एक नियंत्रित जागरूकता अभियान या मेलबॉक्स/हेडर विश्लेषण - बिना आदेश के कभी भी वास्तविक उपयोगकर्ता को नुकसान नहीं पहुँचाता। | प्रकाश |
डेटा एक्सपोज़र
| केस | इसमें क्या शामिल है | गहराई |
|---|---|---|
| संवेदनशील डेटा एक्सपोज़र पथ | पहुंच योग्य पीआईआई/गुप्त बैकअप, खुले शेयर और एक्सफिल्ट्रेशन चैनल। | गहरा |
| डेटाबेस एक्सपोज़र | Redis/Mongo/Postgres/MySQL/Elastic को कमजोर प्रमाणीकरण या बिना TLS के खोलें। | मानक |
| बैकअप और पुनर्प्राप्ति एक्सपोज़र | सुलभ बैकअप, स्नैपशॉट और एनएएस शेयर जो क्रेडेंशियल या पीआईआई को लीक करते हैं। | मानक |
| Auditor मोड प्रकाश और मानक मामलों का पूर्व-चयन करता है; Attacker मोड | ||
| गहरे मामलों सहित हर चीज़ का पूर्व-चयन करता है। आप इसे हमेशा समायोजित कर सकते हैं | ||
| मिशन शुरू करने से पहले चयन। | ||
| ::: |