مسار الفريق الأزرق

‎/lagune-plan: قيّم الملاحظات وخطط للإصلاحات

حوّل ما وجدته مرحلة detect إلى خطة دفاع، بتقييم كل ملاحظة بفئة ودرجة CVSS v4.0، وقرنها بإصلاح.

🛡️ حوّل ما وجدته مرحلة detect إلى خطة دفاع: قيّم كل ملاحظة بفئة ودرجة CVSS v4.0، ثم اقرنها بالإصلاح الذي يجب تطبيقه.

طريقة الاستخدام​

/lagune-plan

آلية العمل​

تكمل هذه المرحلة ما بدأته مرحلة detect. فقد وجدت detect ما يفعله نظامك والخطر الذي يحمله كل جزء منه، لذلك لا تكرر الخطة الخطر، بل تقيّم مدى خطورته وتقرر ما يجب فعله حياله. ولا تقرأ مرحلة plan الكود أبدًا، وهذا يُلزم كل إصلاح بأن يشير إلى شيء اكتشفته detect فعلًا. وتقيّم كل ملاحظة بطريقة CVSS v4.0: فئة، ومتجه CVSS v4.0 مستنتج مما سجّلته مرحلة detect وميثاق الأمان وتحسب درجته hook cvss، ونطاق الأولوية الذي تقع فيه تلك الدرجة. ويحمل كل إصلاح أيضًا مبدأ ميثاق الأمان الذي يصونه.

على سبيل المثال:

  • رفع الملفات (الأولوية: حرجة)
    • الفئة: رفع ملفات دون قيود (CWE-434).
    • CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (9.3, Critical)‎.
    • سبب هذه الأولوية: يستطيع أي شخص الوصول إلى الرفع عبر الإنترنت، وهو موجود على الخادم الذي يخزّن ملفات العملاء.
    • يصون: III. كل مدخل غير موثوق حتى يُتحقق منه.
    • الإصلاح: تحقق من النوع الحقيقي للملف وحجمه، وأعد تسميته عند الحفظ، وخزّن الملفات المرفوعة حيث لا يمكن تشغيلها ككود.

ومن هنا تحصل على قائمة إصلاحات مقيّمة ومرتبة حسب الأولوية، كل منها مرتبط بملاحظة وجاهز لتطبّقه المرحلة التالية. والدرجة محسوبة، لا تقديرية: يحمل المتجه مدى انكشاف المشروع وما هو على المحك كـ Environmental metrics، ويستطيع أي شخص لصقه في حاسبة FIRST أو NVD والحصول على الدرجة نفسها.

تلميح
  • تبني بالكامل على مرحلة detect. فإن لم يُرصد ملف أو مصدر قلق من قبل، تخبرك بأن تشغّل /lagune-detect عليه أولًا.
  • تشغيلها مجددًا يحدّث الخطة: تختفي الإصلاحات المنجزة، وتظهر الجديدة.
  • تُحفظ خطة الدفاع في .lagune/memory/plan.md.
تعتمد على detect

لا تعمل مرحلة plan إلا على ما رصده /lagune-detect بالفعل، لذلك شغّل detect أولًا.

التالي​

طبّق الخطة: /lagune-harden.

الأسئلة الشائعة

يقيّم ‎/lagune-plan كل ملاحظة بفئة ودرجة CVSS v4.0 يحسبها hook cvss، ثم يقرنها بالإصلاح الذي يجب تطبيقه.

نعم. تحصل كل ملاحظة على متجه CVSS v4.0 ودرجة، يحسبهما hook cvss بالحساب نفسه الذي تستخدمه حاسبة FIRST، لذلك يستطيع أي شخص لصق المتجه هناك والحصول على الدرجة نفسها.

لا. لا تقرأ مرحلة plan الكود أبدًا، وهذا يُلزم كل إصلاح بأن يشير إلى شيء اكتشفته detect فعلًا.