Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Fornisci credenziali di autenticazione per i test di penetrazione

Fornisci le credenziali per consentire ad AWS Security Agent di testare le aree autenticate delle tue applicazioni Web. Senza credenziali, l'agente può testare solo pagine e API accessibili al pubblico.

Configura le credenziali di autenticazione

Opzioni avanzate

Se selezioni Impostazioni avanzate, puoi scegliere tra tre strategie di credenziali:

Inserisci direttamente le credenziali

Usa impostazioni avanzate

Quando selezioni una strategia di credenziali avanzata (Secrets Manager, Lambda o ruolo IAM), AWS Security Agent recupera le credenziali direttamente dalla risorsa AWS configurata utilizzando il ruolo di servizio. Utilizza la richiesta di accesso di Agent Space per fornire all'agente istruzioni su come applicare tali credenziali all'applicazione, ad esempio, a quale URL di accesso accedere e quali campi del modulo compilare.

Seleziona il ruolo IAM disponibile che l'agente deve assumere

Usa questa opzione per le applicazioni che utilizzano AWS Cognito, API Gateway con autenticazione IAM o altri sistemi di AWS-native autenticazione. Il ruolo IAM deve avere una relazione di fiducia che consenta ad AWS Security Agent di assumerlo e le autorizzazioni per accedere al sistema di autenticazione dell'applicazione.

Seleziona credenziali statiche da AWS Secrets Manager connesso

Usa questa opzione per recuperare le credenziali in modo sicuro da AWS Secrets Manager con crittografia, rotazione e controllo degli accessi.

Il ruolo IAM deve disporre di autorizzazioni e autorizzazioni. secretsmanager:GetSecretValue secretsmanager:DescribeSecret

L'agente recupera il valore segreto direttamente da Secrets Manager. Utilizzate la richiesta di accesso di Agent Space per indicare all'agente come applicare tali credenziali al flusso di accesso dell'applicazione, ad esempio, a quale URL accedere e quali campi del modulo compilare. Puoi utilizzare qualsiasi formato per memorizzare il tuo segreto, poiché l'agente interpreterà il formato utilizzando le istruzioni fornite nella richiesta di accesso.

Ad esempio, se l'agente deve inviare un modulo di username/password accesso all'indirizzohttps://example.com/login, puoi formattare il tuo segreto come JSON con i campi username andpassword. Se l'applicazione richiede l' TOTP-based autenticazione a due fattori, includi direttamente un totpSecret campo con il segreto TOTP o un URI completo: otpauth://totp/

{
  "username": "test-user",
  "password": "secure-password-here",
  "totpSecret": "JBSWY3DPEHPK3PXP"
}

Quindi, configura le istruzioni di autenticazione:. Imposta l'URL di accesso su https://example.com (o qualsiasi altro URL selezionato dall'elenco degli endpoint di destinazione). Inserisci quanto segue nella richiesta di accesso di Agent Space: «Vai al nome utente e la password forniti https://example.com/login e inserisci il nome utente e la password forniti nel modulo».

Come altro esempio, se invece hai una chiave API da fornire in un'intestazione HTTP, puoi memorizzarla come testo semplice:

"api-key-here"

Quindi, configura le istruzioni di autenticazione:. Inserisci quanto segue nella richiesta di accesso di Agent Space: «Imposta l' X-API-Key intestazione sulla chiave API fornita per tutte le richieste».

Seleziona la funzione Lambda disponibile per recuperare le credenziali in modo dinamico

Utilizza questa opzione per sistemi di autenticazione complessi, generazione dinamica di credenziali o integrazione con provider di identità esterni.

Il ruolo IAM deve disporre di lambda:InvokeFunction autorizzazioni e la funzione deve essere completata entro 30 secondi.

Quando viene eseguito il penetration test, AWS Security Agent richiama la funzione AWS Lambda in modo sincrono e supera un evento che identifica il test di penetrazione e la credenziale specifica da risolvere:

{
  "pentest_arn": "arn:aws:securityagent:us-west-2:111122223333:pentest/pt-abcd1234-5678-90ab-cdef-EXAMPLE11111",
  "actor_identifier": "Credential1"
}

L'agente utilizza l'output della funzione direttamente come credenziale. Utilizza la richiesta di accesso di Agent Space per indicare all'agente come applicare tali credenziali alla tua applicazione, nello stesso modo in cui faresti con AWS Secrets Manager. Seleziona credenziali statiche da AWS Secrets Manager connessoPer alcuni esempi su come formattare l'output della funzione Lambda e dei tipi di autenticazione supportati, consulta.

Configura più credenziali

Per testare diversi ruoli utente o sistemi di autenticazione:

Ottimizzazione degli accessi

L'ottimizzazione degli accessi consente ad AWS Security Agent di apprendere i modelli di navigazione delle precedenti esecuzioni di pentest e applicarli alle esecuzioni successive. Questi modelli includono flussi di accesso e flussi di lavoro di autenticazione in più fasi. Ciò riduce il tempo impiegato dall'agente per riscoprire le modalità di autenticazione, con conseguenti scansioni più rapide e una copertura dei test più coerente.

Come funziona l'ottimizzazione degli accessi

Alla prima esecuzione del pentest, l'agente scopre come navigare nel flusso di accesso dell'applicazione utilizzando le credenziali fornite dall'utente. Registra i passaggi di navigazione eseguiti con successo e genera un file di abilità che acquisisce il flusso di lavoro di accesso appreso.

Nelle esecuzioni successive, l'agente legge il file di abilità salvato e applica direttamente il modello di navigazione appreso, saltando la fase di scoperta. Ciò significa che:

Abilita o disabilita l'ottimizzazione degli accessi

L'ottimizzazione degli accessi è abilitata per impostazione predefinita. Per disabilitarlo o riattivarlo:

Se disabilitato, l'agente rileva il flusso di accesso da zero a ogni esecuzione. Le abilità di navigazione acquisite in precedenza vengono mantenute e verranno nuovamente applicate se la funzionalità viene riattivata.