Obserwuj ścieżkę,
nie wyrok.
Ograniczona jednorazowa inspekcja wstępna dla jednego źródła publicznego i maksymalnie pięciu ścieżek względnych. Wyniki są przechowywane wyłącznie w pamięci tej strony jako obserwacje, a nie deklaracja w górę/w dół lub usługa monitorowania na żywo.
UŻYJ TEGO DO: Użyj bezpośrednio przed lub po kontrolowanym wydaniu, aby zebrać mały, wyraźny zestaw obserwacji i przekazać prace nad statusem na żywo do SID.
Ogranicz pytanie.
Wyślij jedno publiczne źródło HTTP(S) i jedną do pięciu ścieżek względnych do ograniczonej inspekcji wstępnej SIU. Nie wprowadzaj danych uwierzytelniających, tras prywatnych, identyfikatorów klientów ani poufnych ciągów zapytań.
To nie jest ocena działa / nie działa.
Odpowiedź HTTP z kontroli ograniczonej jest obserwacją punktu w czasie. Nie określa dostępności, czasu pracy, wpływu na klienta ani pierwotnej przyczyny.
- Wyniki pozostają jedynie w pamięci otwartej strony.
- Status HTTP wymaga kontekstu; nie jest to werdykt dotyczący zdrowia produktu.
Co zostało zwrócone.
Przeczytaj te wpisy, uwzględniając kontekst wydania i zatwierdzoną weryfikację ścieżki klienta. Są one usuwane po odświeżeniu lub opuszczeniu tej strony.
Wykonaj następny znany krok.
- Podaj jedno publiczne źródło HTTP(S) i od jednej do pięciu ścieżek względnych. Inspekcja wstępna po stronie serwera odbiera dokładnie to ograniczone żądanie i stosuje rygorystyczne kontrole bezpieczeństwa celu.
- Zachowaj zwrócone obserwacje tylko na otwartej stronie. Rejestruj wszelkie niezbędne działania następcze w zatwierdzonym systemie wewnętrznym zespołu, a nie w tym publicznym interfejsie.
- Interpretuj obserwacje odpowiedzi wraz z kontekstem wydania, granicami uwierzytelniania, pamięcią podręczną, położeniem geograficznym i raportami klientów. Eskaluj aktualne problemy do SID i procesu incydentów zespołu.
Potwierdź, że każda przesłana ścieżka jest zgodna z podanym źródłem i że można ją bezpiecznie obserwować bez poświadczeń.
Przed podjęciem decyzji porównaj obserwację z zamierzoną podróżą klienta i zapisem wydania.
Użyj miejsca docelowego SID i zatwierdzonego przez zespół przepływu pracy w przypadku prac bieżących lub mających wpływ na status klienta.
Notatki źródłowe, a nie zapożyczona pewność.
Podstawa planowania: Semantyka pobierania MDN i zabezpieczenia OWASP SSRF
- MDN — Window.fetch() ↗MDN zauważa, że obietnica pobrania zostaje rozpatrzona, gdy dostępna jest odpowiedź i nie jest odrzucana wyłącznie ze względu na status błędu HTTP; status odpowiedzi nadal wymaga interpretacji.
- OWASP — Server Side Request Forgery Prevention Cheat Sheet ↗OWASP zaleca ścisłą weryfikację celu, ostrożną obsługę DNS, odrzucanie adresów prywatnych i kontrolę przekierowań dla żądań po stronie serwera.
Autorstwo: Szkic redakcyjny SIU Enablement; wytyczne operacyjne ograniczone do źródła. Przejrzane przez: Właściciel wydania i właściciel platformy zatwierdzają wybrane ścieżki i dowolną interpretację wyników. Ponowna weryfikacja: Ponownie zweryfikuj zestaw obserwacji, gdy zmienią się routing, uwierzytelnianie, hosting lub podróże klientów.