Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Fournir des informations d'authentification pour les tests de pénétration

Fournissez des informations d'identification pour permettre à AWS Security Agent de tester les zones authentifiées de vos applications Web. Sans informations d'identification, l'agent peut uniquement tester les pages et les API accessibles au public.

Configuration des informations d'authentification

Options avancées

Si vous sélectionnez le paramètre avancé, vous pouvez choisir entre trois stratégies d'identification :

Entrez directement les informations d'identification

Utiliser les paramètres avancés

Lorsque vous sélectionnez une stratégie d'identification avancée (rôle Secrets Manager, Lambda ou IAM), AWS Security Agent récupère vos informations d'identification directement depuis la ressource AWS configurée à l'aide du rôle de service. Utilisez l'invite de connexion à Agent Space pour fournir à l'agent des instructions sur la façon d'appliquer ces informations d'identification à votre application, par exemple, l'URL de connexion vers laquelle accéder et les champs de formulaire à remplir.

Sélectionnez le rôle IAM disponible que l'agent doit assumer

Utilisez cette option pour les applications utilisant AWS Cognito, API Gateway avec authentification IAM ou d'autres AWS-native systèmes d'authentification. Le rôle IAM doit avoir une relation de confiance permettant à AWS Security Agent de l'assumer et être autorisé à accéder au système d'authentification de votre application.

Sélectionnez les informations d'identification statiques depuis AWS Secrets Manager connecté

Utilisez cette option pour récupérer les informations d'identification en toute sécurité depuis AWS Secrets Manager grâce au chiffrement, à la rotation et à l'audit d'accès.

Le rôle IAM doit disposer secretsmanager:GetSecretValue d'secretsmanager:DescribeSecretautorisations.

L'agent récupère la valeur secrète directement auprès de Secrets Manager. Utilisez l'invite de connexion à Agent Space pour indiquer à l'agent comment appliquer ces informations d'identification au flux de connexion de votre application, par exemple, l'URL vers laquelle accéder et les champs de formulaire à remplir. Vous pouvez utiliser n'importe quel format pour stocker votre secret, car l'agent interprétera le format en suivant les instructions que vous fournissez dans l'invite de connexion.

Par exemple, si l'agent doit soumettre un formulaire de username/password connexion àhttps://example.com/login, vous pouvez formater votre secret au format JSON avec des password champs username et. Si l'application nécessite l' TOTP-based authentification à deux facteurs, incluez un totpSecret champ contenant soit directement le secret TOTP, soit un URI complet otpauth://totp/ :

{
  "username": "test-user",
  "password": "secure-password-here",
  "totpSecret": "JBSWY3DPEHPK3PXP"
}

Ensuite, configurez les instructions d'authentification : Définissez l'URL d'accès sur https://example.com (ou toute autre URL sélectionnée dans la liste des points de terminaison cibles). Entrez ce qui suit dans l'invite de connexion à Agent Space : « Accédez au formulaire https://example.com/login et entrez le nom d'utilisateur et le mot de passe fournis ».

Autre exemple, si vous devez plutôt fournir une clé d'API dans un en-tête HTTP, vous pouvez la stocker en texte brut :

"api-key-here"

Ensuite, configurez les instructions d'authentification : Entrez ce qui suit dans l'invite de connexion à Agent Space : « Définissez l' X-API-Key en-tête sur la clé d'API fournie pour toutes les demandes. »

Sélectionnez la fonction Lambda disponible pour récupérer les informations d'identification de manière dynamique

Utilisez cette option pour les systèmes d'authentification complexes, la génération dynamique d'informations d'identification ou l'intégration avec des fournisseurs d'identité externes.

Le rôle IAM doit disposer d'lambda:InvokeFunctionautorisations et la fonction doit être terminée dans les 30 secondes.

Lorsque le test d'intrusion s'exécute, AWS Security Agent appelle votre fonction AWS Lambda de manière synchrone et passe un événement qui identifie le test d'intrusion et les informations d'identification spécifiques à résoudre :

{
  "pentest_arn": "arn:aws:securityagent:us-west-2:111122223333:pentest/pt-abcd1234-5678-90ab-cdef-EXAMPLE11111",
  "actor_identifier": "Credential1"
}

L'agent utilise la sortie de la fonction directement comme identifiant. Utilisez l'invite de connexion à Agent Space pour indiquer à l'agent comment appliquer ces informations d'identification à votre application, de la même manière que vous le feriez avec AWS Secrets Manager. Consultez des exemples Sélectionnez les informations d'identification statiques depuis AWS Secrets Manager connecté de formatage de la sortie de votre fonction Lambda et des types d'authentification pris en charge.

Configuration de plusieurs informations d'identification

Pour tester différents rôles d'utilisateurs ou systèmes d'authentification, procédez comme suit :

Optimisation de connexion

L'optimisation de la connexion permet à AWS Security Agent d'apprendre les modèles de navigation des précédents pentest et de les appliquer aux essais suivants. Ces modèles incluent les flux de connexion et les flux de travail d'authentification en plusieurs étapes. Cela réduit le temps que l'agent passe à redécouvrir comment s'authentifier, ce qui se traduit par des scans plus rapides et une couverture de test plus cohérente.

Comment fonctionne l'optimisation des connexions

Lors du premier pentest, l'agent découvre comment naviguer dans le flux de connexion de votre application à l'aide des informations d'identification que vous fournissez. Il enregistre les étapes de navigation réussies et génère un fichier de compétences qui capture le flux de travail de connexion appris.

Lors des exécutions suivantes, l'agent lit le fichier de compétences enregistré et applique directement le modèle de navigation appris, sans passer par la phase de découverte. Autrement dit :

Activer ou désactiver l'optimisation de connexion

L'optimisation de connexion est activée par défaut. Pour le désactiver ou le réactiver :

Lorsque cette option est désactivée, l'agent redécouvre le flux de connexion en partant de zéro à chaque exécution. Les compétences de navigation précédemment acquises sont préservées et seront appliquées à nouveau si la fonctionnalité est réactivée.