Обход пути (path traversal)

Проще говоря, «Обход пути (path traversal)» помогает команде найти или подтвердить слабое место, оценить реальный риск и проверить исправление. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Обход пути (path traversal)» используют так: его применяют при поиске слабых мест, подтверждении эксплуатации, оценке риска и контроле исправлений. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

В согласованных границах проверки специалист опирается на понятие «Обход пути (path traversal)», сохраняет воспроизводимое доказательство и передаёт владельцу системы риск и способ исправления.

• Тестирование на проникновение (пентест)Пентест — авторизованная проверка защищённости, имитирующая действия атакующего в согласованной области.
• Правила проведения работ (Rules of Engagement)Rules of Engagement — согласованные правила проведения работ: границы, разрешённые действия, контакты и условия остановки.
• Серый ящик (gray box)Gray box — формат тестирования с ограниченной предварительной информацией или учётными данными.

1. Обнаружить потенциальную слабостьВ контексте «Обход пути (path traversal)» находят условие, поверхность или сценарий для проверки.
2. Подтвердить воспроизводимостьБезопасным способом проверяют затронутый объект и необходимые предпосылки.
3. Оценить практический рискТехнический результат связывают с экспозицией, угрозой и последствиями для бизнеса.
4. Устранить и повторно проверитьИзменение подтверждают ретестом, не ограничиваясь отметкой о выполненной задаче.