Lista kontrolna audytu aplikacji PHP

01

Kontekst i własność

Kto decyduje, obsługuje i rozumie system.

Dokumentowane są cele, użytkownicy i przepływy krytyczne.Repozytoria, domeny, infrastruktura i dostawcy mają właścicieli.Znani są właściciele firm, produktów, kodów, danych i operacji.Zrozumiałe są okna wydania i tolerancja przestojów.

02

Kod i zależności

Co można bezpiecznie zmienić.

Zinwentaryzowano wersje PHP, frameworka, rozszerzeń i Composera.Projekt instaluje się z czystej kopii, korzystając ze zweryfikowanych instrukcji.Granice domeny, infrastruktury i interfejsu są zrozumiałe.Zidentyfikowano porzucone zależności i duplikaty.

03

Dane i integracje

Pochodzenie, jakość i spójność.

Zidentyfikowano tabele, objętość, retencję i dane wrażliwe.Migracje schematów są wersjonowane, sprawdzane i odwracalne.Inwentaryzacja obejmuje interfejsy API, webhooki, importy i zaplanowane zadania.Ponawianie prób zapobiega duplikowaniu operacji.

04

Bezpieczeństwo

Kontrola związana z rzeczywistym ryzykiem.

Uwierzytelnianie, autoryzacja i sesje odbywają się zgodnie ze znaną polityką.Dane wejściowe, zapytania, kod HTML i pliki są sprawdzane na podstawie kontekstu.Sekrety i dane uwierzytelniające nie są osadzane w repozytorium.W przypadku zależności podatnych na ataki należy przeprowadzić proces oceny i reakcji.

05

Testowanie i dostarczanie

Wprowadzaj zmiany bez polegania na pamięci.

Krytyczne przepływy są automatyzowane lub mają zweryfikowany skrypt testowy.Reprezentatywne środowisko weryfikuje zmiany.Wersja zawiera kroki, właścicieli, kontrole i wycofanie.Definicja ukończenia obejmuje przegląd, testy i dokumentację.

06

Operacje

Wykryj i odzyskaj.

Rejestry mogą śledzić odpowiednie żądania lub operacje.Metryki i alerty łączą wpływ z działaniem.Przeprowadzono testy tworzenia kopii zapasowych i przywracania.Istnieją podręczniki postępowania dla incydentów i zadań cyklicznych.

Zalecane zastosowanie

Przekształć odpowiedzi w decyzje

Obok każdej odpowiedzi zbierz linki do dowodów.
Oddziel bezpośrednie ryzyko od ulepszeń strukturalnych.
Przypisz właściciela i sprawdź każdą nieznaną rzecz.
Przekształć wnioski w plan etapowy, a nie płaską listę.

Następny krok

Treść związana z tą decyzją

Kontynuuj diagnozę, wykonanie lub doświadczenie pokrewne.