Процесс Blue Team

/lagune-plan: оцените находки и спланируйте исправления

Превратите то, что нашла фаза detect, в план защиты, присвоив каждой находке категорию и оценку CVSS v4.0 и подобрав к ней исправление.

🛡️ Превратите то, что нашла фаза detect, в план защиты: присвойте каждой находке категорию и оценку CVSS v4.0, а затем подберите к ней исправление.

Использование​

/lagune-plan

Как это работает​

Эта фаза продолжает detect. Detect уже выяснила, что делает ваша система и какой риск несет каждая ее часть, поэтому план не повторяет риск, а оценивает, насколько он серьезен, и решает, что с ним делать. Plan никогда не читает код, и это заставляет каждое исправление указывать на то, что detect действительно обнаружила. Она оценивает каждую находку по методу CVSS v4.0: категория, вектор CVSS v4.0, выведенный из того, что зафиксировали detect и принципы безопасности, и рассчитанный хуком cvss, и диапазон приоритета, в который попадает эта оценка. Каждое исправление также указывает принцип безопасности, который оно поддерживает.

Например:

  • Загрузка файлов (приоритет: Critical)
    • Категория: неограниченная загрузка файлов (CWE-434).
    • CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (9.3, Critical).
    • Почему такой приоритет: любой может добраться до загрузки через интернет, а она находится на сервере, где хранятся файлы клиентов.
    • Поддерживает: III. Любой ввод считается недоверенным, пока не проверен.
    • Исправление: проверять настоящий тип и размер файла, переименовывать его при сохранении и хранить загрузки там, где их нельзя выполнить как код.

В результате у вас есть оцененный и упорядоченный по приоритету список исправлений, каждое из которых привязано к находке и готово к применению в следующей фазе. Оценка вычисляется, а не прикидывается: вектор содержит открытость проекта и ставки в виде метрик Environmental, и любой может вставить его в калькулятор FIRST или NVD и получить ту же оценку.

подсказка
  • Фаза целиком опирается на detect. Если файл или опасение так и не были выявлены, она попросит сначала запустить для них /lagune-detect.
  • Повторный запуск обновляет план: выполненные исправления уходят, новые появляются.
  • План защиты хранится в .lagune/memory/plan.md.
Зависит от detect

Plan работает только с тем, что уже выявила /lagune-detect, поэтому сначала запустите detect.

Что дальше​

Примените план: /lagune-harden.

Частые вопросы

/lagune-plan присваивает каждой находке категорию и оценку CVSS v4.0, рассчитанную хуком cvss, а затем подбирает к ней исправление.

Да. Каждая находка получает вектор и оценку CVSS v4.0, которые рассчитывает хук cvss по той же арифметике, что и калькулятор FIRST, поэтому любой может вставить туда вектор и заново получить оценку.

Нет. Plan никогда не читает код, и это заставляет каждое исправление указывать на то, что detect действительно обнаружила.