nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier le principe du moindre privilège pour les pipelines CI

AdminUser

Discussion de test préétablie. Comment vérifieriez-vous le respect du principe du moindre privilège pour les pipelines CI dans le cadre d’une mission autorisée ?

Scénario : examinez les autorisations du jeton d’un pipeline et un workflow de déploiement sans risque dans un projet de test. Quelles mesures de protection mettriez-vous en place, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’une correction a été apportée ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/59-testing-least-privilege-for-ci-pipelines

Réponses

AdminUser

Approche de test : Examinez les portées des jetons d’un pipeline ainsi qu’un workflow de déploiement sans danger dans un projet de test. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Éléments probants : Consignez la portée des jetons, les restrictions applicables aux dépôts et aux environnements, ainsi que les étapes d’approbation. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Utilisez des identifiants à portée limitée et à durée de vie courte, et séparez les droits de compilation de ceux de déploiement. Refaites le contrôle initial après le déploiement et consignez le résultat.