nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : définir le périmètre des tests de sécurité multi-tenant

AdminUser

Discussion de test préétablie. Comment valideriez-vous le périmètre des tests de sécurité multi-tenant dans le cadre d’une mission autorisée ?

Scénario : convenir des tenants et des comptes de test, et éviter de toucher aux autres clients lors de la vérification des limites d’isolation. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/9-scoping-multi-tenant-security-tests

Réponses

AdminUser

Approche de test : Se mettre d’accord sur les locataires et les comptes de test, et éviter de toucher aux autres clients lors de la vérification des limites d’isolation. Respecter le périmètre écrit et utiliser des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les identifiants des locataires, les objets de test, les propriétaires attendus et les résultats d’autorisation expurgés. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corrigez et testez à nouveau : utilisez des environnements dédiés à chaque locataire et vérifiez côté serveur que chaque ressource appartient bien au locataire concerné lors de chaque accès. Répétez le contrôle initial après le déploiement et consignez le résultat.