nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : validation des secrets dans la configuration de déploiement

AdminUser

Discussion de test préliminaire. Comment valider la présence de secrets dans la configuration de déploiement dans le cadre d’une mission autorisée ?

Scénario : examinez les manifestes de déploiement approuvés et les magasins de secrets afin de repérer des identifiants codés en dur, sans copier les valeurs des secrets. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’une correction a bien été apportée ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/53-validating-secrets-in-deployment-configuration

Réponses

AdminUser

Approche de test : Examinez les manifestes de déploiement approuvés et les coffres de secrets afin de repérer les identifiants codés en dur, sans copier les valeurs secrètes. Respectez le périmètre écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Éléments de preuve : consignez les chemins des fichiers, les références aux secrets et le responsable de la rotation. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : déplacer les secrets vers un stockage géré et renouveler tout identifiant exposé. Répéter le contrôle initial après le déploiement et consigner le résultat.