Every system is built using a set o

Every system is built using a set of requirements. Sometimes these requirements are written clearly, but often they are vague statements only partially defined. The product manager may state, for example, “The application must be secure.” But what does “secure” mean and just how much should be spent making it secure? Security has been defined as a trade-off between risk and reward. Deciding how much risk is a question for management to answer. For example, a very large Web site hosted on hardware that is not connected to the
Web Security Testing 449
22 201006 Ch18.qxd 5/29/03 9:03 AM Page 449
corporate intranet, and consisting of hundreds of pages and welcoming thousands of external visitors every day, might require little security because all of the available data is public knowledge. In this case, there is little reason for anyone to deface the Web site. The Gutenberg Project’s Web site is just such a place. In contrast, a very small Web application that tracks company sales and is restricted to only the sales staff of a single company could be a major target. How many attackers would like this information on IBM or Microsoft? The point is, in order to provide “just enough” testing, the test team must understand how much the system is worth, both to the organization using the application and to the possible attackers of the application.

Kết quả (Việt) 1:

Mỗi hệ thống được xây dựng bằng cách sử dụng một tập hợp các yêu cầu. Đôi khi những yêu cầu này được viết rõ ràng, nhưng thường họ là mơ hồ phát biểu chỉ có một phần định nghĩa. Giám đốc sản phẩm có thể nhà nước, ví dụ, "các ứng dụng phải được an toàn." Nhưng những gì hiện "bảo mật" có ý nghĩa và chỉ cần bao nhiêu nên được bỏ ra làm cho nó an toàn? An ninh đã được định nghĩa là một sự đánh đổi giữa rủi ro và phần thưởng. Quyết định bao nhiêu nguy cơ là một câu hỏi cho các quản lý để trả lời. Ví dụ, một rất lớn trang Web lưu trữ trên phần cứng không được kết nối với cácWeb bảo mật thử nghiệm 44922 201006 Ch18.qxd 5/29/03 9:03 AM trang 449mạng nội bộ công ty, và bao gồm hàng trăm trang và chào đón hàng ngàn du khách bên ngoài mỗi ngày, có thể yêu cầu ít bảo mật bởi vì tất cả dữ liệu sẵn có là khu vực kiến thức. Trong trường hợp này, đó là lý do ít cho bất cứ ai deface các trang Web. Trang Web của dự án Gutenberg là chỉ như là một nơi. Ngược lại, một ứng dụng Web rất nhỏ mà theo dõi các công ty bán hàng và bị hạn chế để chỉ các nhân viên bán hàng của một công ty duy nhất có thể là một mục tiêu chính. Bao nhiêu kẻ tấn công nào thích này thông tin về IBM hoặc Microsoft? Vấn đề là, để cung cấp "chỉ đủ" thử nghiệm, thử nghiệm đội phải hiểu hệ thống bao nhiêu là giá trị, để tổ chức bằng cách sử dụng các ứng dụng và cho những kẻ tấn công có thể của ứng dụng.

Kết quả (Việt) 2:

Mỗi hệ thống được xây dựng bằng cách sử dụng một tập hợp các yêu cầu. Đôi khi, những yêu cầu này được viết rõ ràng, nhưng thường họ là các câu lệnh định nghĩa mơ hồ chỉ một phần. Quản lý sản phẩm có thể được nhà nước, ví dụ, "Ứng dụng này phải được an toàn." Nhưng những gì không "an toàn" có ý nghĩa và chỉ có bao nhiêu nên dành làm cho nó an toàn? An ninh đã được xác định là một thương mại-off giữa rủi ro và phần thưởng. Quyết định bao nhiêu rủi ro là một câu hỏi dành cho quản lý để trả lời. Ví dụ, một trang web rất lớn lưu trữ trên phần cứng mà không được kết nối với các
thử nghiệm Web Security 449
22 201006 Ch18.qxd 5/29/03 9:03 Trang 449
mạng nội bộ của công ty, và bao gồm hàng trăm trang và chào đón hàng ngàn du khách bên ngoài mỗi ngày, có thể đòi hỏi ít bảo mật bởi vì tất cả các dữ liệu có sẵn là kiến thức công cộng. Trong trường hợp này, có rất ít lý do cho bất cứ ai từ đó thay đổi các trang Web. Trang Web của Dự án Gutenberg chỉ là một nơi như vậy. Ngược lại, một ứng dụng Web rất nhỏ mà theo dõi doanh số bán hàng của công ty và được giới hạn chỉ có các nhân viên bán hàng của một công ty duy nhất có thể là một mục tiêu lớn. Làm thế nào nhiều kẻ tấn công muốn nhận thông tin này trên IBM hay Microsoft? Vấn đề là, để cung cấp "vừa đủ" thử nghiệm, nhóm nghiên cứu thử nghiệm phải hiểu được bao nhiêu hệ thống là có giá trị, cả hai để tổ chức sử dụng các ứng dụng và để những kẻ tấn công có thể có của các ứng dụng.