Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Geben Sie Anmeldeinformationen für Penetrationstests an

Geben Sie Anmeldeinformationen ein, damit der AWS Security Agent authentifizierte Bereiche Ihrer Webanwendungen testen kann. Ohne Anmeldeinformationen kann der Agent nur öffentlich zugängliche Seiten und APIs testen.

Konfigurieren Sie die Anmeldeinformationen für die Authentifizierung

Erweiterte Optionen

Wenn Sie die Option Erweiterte Einstellung auswählen, können Sie aus drei Strategien für Anmeldeinformationen wählen:

Geben Sie die Anmeldeinformationen direkt ein

Verwenden Sie erweiterte Einstellungen

Wenn Sie eine erweiterte Anmeldeinformationsstrategie (Secrets Manager-, Lambda- oder IAM-Rolle) auswählen, ruft AWS Security Agent Ihre Anmeldeinformationen mithilfe der Servicerolle direkt von der konfigurierten AWS-Ressource ab. Verwenden Sie die Agent Space-Anmeldeaufforderung, um dem Agenten Anweisungen zu geben, wie Sie diese Anmeldeinformationen auf Ihre Anwendung anwenden können — zum Beispiel, zu welcher Anmelde-URL Sie navigieren und welche Formularfelder Sie ausfüllen müssen.

Wählen Sie die verfügbare IAM-Rolle aus, die der Agent annehmen soll

Verwenden Sie diese Option für Anwendungen, die AWS Cognito, API Gateway mit IAM-Authentifizierung oder andere AWS-native Authentifizierungssysteme verwenden. Die IAM-Rolle muss über eine Vertrauensbeziehung verfügen, die es dem AWS Security Agent ermöglicht, diese zu übernehmen, sowie über Berechtigungen für den Zugriff auf das Authentifizierungssystem Ihrer Anwendung.

Wählen Sie statische Anmeldeinformationen aus dem verbundenen AWS Secrets Manager aus

Verwenden Sie diese Option, um Anmeldeinformationen mit Verschlüsselung, Rotation und Zugriffsprüfung sicher von AWS Secrets Manager abzurufen.

Die IAM-Rolle muss über secretsmanager:DescribeSecret Berechtigungen secretsmanager:GetSecretValue verfügen.

Der Agent ruft den geheimen Wert direkt von Secrets Manager ab. Verwenden Sie die Agent Space-Anmeldeaufforderung, um dem Agenten mitzuteilen, wie er diese Anmeldeinformationen für den Anmeldeablauf Ihrer Anwendung verwenden soll — beispielsweise, zu welcher URL er navigieren und welche Formularfelder ausgefüllt werden müssen. Sie können ein beliebiges Format zum Speichern Ihres Geheimnisses verwenden, da der Agent das Format anhand der Anweisungen interpretiert, die Sie in der Anmeldeaufforderung angeben.

Wenn der Agent beispielsweise ein username/password Anmeldeformular unter einreichen sollhttps://example.com/login, können Sie Ihr Geheimnis als JSON mit username und password -Feldern formatieren. Wenn für die Anwendung TOTP-based 2FA erforderlich ist, fügen Sie ein totpSecret Feld hinzu, das entweder direkt den TOTP-Schlüssel oder eine vollständige otpauth://totp/ URI enthält:

{
  "username": "test-user",
  "password": "secure-password-here",
  "totpSecret": "JBSWY3DPEHPK3PXP"
}

Konfigurieren Sie dann die Authentifizierungsanweisungen:. Legen Sie die Zugriffs-URL auf fest https://example.com (oder eine andere URL, die aus der Liste der Zielendpunkte ausgewählt wurde). Geben Sie Folgendes in die Agent Space-Anmeldeaufforderung ein: „Navigieren Sie zu dem angegebenen Benutzernamen https://example.com/login und Passwort und geben Sie ihn in das Formular ein.“

Ein weiteres Beispiel: Wenn Sie stattdessen einen API-Schlüssel in einem HTTP-Header angeben möchten, können Sie ihn als Klartext speichern:

"api-key-here"

Konfigurieren Sie dann die Authentifizierungsanweisungen:. Geben Sie Folgendes in die Agent Space-Anmeldeaufforderung ein: „Setzen Sie den X-API-Key Header für alle Anfragen auf den bereitgestellten API-Schlüssel.“

Wählen Sie die verfügbare Lambda-Funktion aus, um Anmeldeinformationen dynamisch abzurufen

Verwenden Sie diese Option für komplexe Authentifizierungssysteme, die dynamische Generierung von Anmeldeinformationen oder die Integration mit externen Identitätsanbietern.

Die IAM-Rolle muss über lambda:InvokeFunction Berechtigungen verfügen und die Funktion muss innerhalb von 30 Sekunden abgeschlossen sein.

Wenn der Penetrationstest ausgeführt wird, ruft der AWS Security Agent Ihre AWS Lambda Lambda-Funktion synchron auf und übergibt ein Ereignis, das den Penetrationstest und die spezifischen Anmeldeinformationen identifiziert, die aufgelöst werden:

{
  "pentest_arn": "arn:aws:securityagent:us-west-2:111122223333:pentest/pt-abcd1234-5678-90ab-cdef-EXAMPLE11111",
  "actor_identifier": "Credential1"
}

Der Agent verwendet die Ausgabe der Funktion direkt als Anmeldeinformationen. Verwenden Sie die Agent Space-Anmeldeaufforderung, um dem Agenten mitzuteilen, wie er diese Anmeldeinformationen auf Ihre Anwendung anwenden soll, genauso wie Sie es mit AWS Secrets Manager tun würden. Beispiele Wählen Sie statische Anmeldeinformationen aus dem verbundenen AWS Secrets Manager aus zur Formatierung der Ausgabe Ihrer Lambda-Funktion und zu unterstützten Authentifizierungstypen finden Sie unter.

Konfigurieren Sie mehrere Anmeldeinformationen

So testen Sie verschiedene Benutzerrollen oder Authentifizierungssysteme:

Optimierung der Anmeldung

Die Anmeldungsoptimierung ermöglicht es dem AWS Security Agent, Navigationsmuster aus früheren Pentest-Läufen zu lernen und sie auf nachfolgende Läufe anzuwenden. Zu diesen Mustern gehören Anmeldeabläufe und mehrstufige Authentifizierungsworkflows. Dies reduziert die Zeit, die der Agent damit verbringt, erneut herauszufinden, wie er sich authentifizieren kann, was zu schnelleren Scans und einer konsistenteren Testabdeckung führt.

So funktioniert die Login-Optimierung

Beim ersten Pentest-Lauf erkennt der Agent, wie er mithilfe der von Ihnen angegebenen Anmeldeinformationen im Anmeldeablauf Ihrer Anwendung navigieren kann. Es zeichnet die erfolgreichen Navigationsschritte auf und generiert eine Skill-Datei, die den erlernten Anmeldeablauf erfasst.

Bei nachfolgenden Läufen liest der Agent die gespeicherte Skill-Datei und wendet das erlernte Navigationsmuster direkt an, wodurch die Erkennungsphase übersprungen wird. Das bedeutet Folgendes:

Aktivieren oder deaktivieren Sie die Login-Optimierung

Die Login-Optimierung ist standardmäßig aktiviert. Um es zu deaktivieren oder erneut zu aktivieren:

Wenn diese Option deaktiviert ist, erkennt der Agent den Anmeldefluss bei jedem Lauf von Grund auf neu. Zuvor erlernte Navigationsfähigkeiten bleiben erhalten und werden erneut angewendet, wenn die Funktion erneut aktiviert wird.