Resurssit · 58
RAG: dokumenttien käyttöoikeuksien ja eristämisen tarkistaminen
Testaa haku, viittaukset, välimuistit ja peruutukset, jotta asiakirja-avustaja kunnioittaa jokaisen käyttäjän käyttöoikeuksia.
Päivitetty · 2 min
Mitä tämä opas auttaa saavuttamaan
- Määritä rajat
- Suodata ennen altistumista
- Erottele välimuistit
- Peruutuksen suorittaminen
Pikatarkistus
- Riittääkö erillinen vektorinimiavaruus?
- Pitäisikö käyttöoikeuksien olla kehotteessa?
- Miten luottamuksellisia dokumentteja voidaan välttää testauksessa?
Vaiheittainen menetelmä
- 1
Määritä rajat
Määritä jokaiselle dokumentille omistaja, laajuus ja käyttöoikeussääntö. OWASP kuvaa kontekstien välisen vuodon väärin kohdistetuista vektoritallennusoikeuksien vaihtoehdoista. Ehdottamamme menetelmä käsittelee myös paloja ja metatietoja suojattuina objekteina.
Tuotanto: dokumentti-, ryhmä- ja laajuusluettelo.
- 2
Suodata ennen altistumista
Valtuutetaan valtuutus hakupalvelussa ennen kuin palo saavuttaa mallin. Katetaan vektorihaku, leksikaalinen haku, graafit ja suorat lataukset. Kehotekäsky ei voi korvata palvelinpuolen valtuutusta.
Tuotanto: päätöspisteet ja puuttuvien identiteettien käyttäytyminen.
- 3
Erottele välimuistit
Säilytettyjen hakutulosten, keskustelujen, viittausten ja vastausten luettelo. Tarkista, että uudelleenkäyttö riippuu asiaankuuluvasta käyttökontekstista. Asiakkaan nimeävä indeksikenttä ei itsessään todista eristämistä.
Tuotanto: välimuistiavaimet ja erotteluskenaariot.
- 4
Peruutuksen suorittaminen
Poista käyttöoikeus, poista dokumentti ja muuta ryhmää käyttämällä ei-arkaluonteisia testidokumentteja. Toista uudelleen ennen muutosta avattu keskustelu. Mittaa, milloin paloja, linkkejä ja säilytettyjä vastauksia ei enää ole saatavilla.
Tuotanto: aikaleimatut peruutustodisteet ja aukot.
- 5
Säilytä negatiiviset testit
Kysy sama kysymys valtuutetulta käyttäjältä, toiselta ryhmältä ja tuntemattomalta henkilöllisyydeltä. Tarkasta tiedostonimet, otteet, viittaukset ja lokit. Toista uudelleen indeksin tai liittimen muutosten jälkeen; muutamat hyväksyttävät tapaukset muodostavat vain rajoitetun kattavuuden.
Toimitettava: testimatriisi ja korjauksen omistaja.
Uudelleenkäytettävä laskentataulukko
Täytä valtuutetut havaintosi. Nämä kentät ovat työskentelymalli, eivät havaittuja tuloksia.
| Kenttä | Kirjattavat tiedot |
|---|---|
| Asiakirja / osa | Omistaja ja laajuus |
| Testaa identiteetti | Sallittu ryhmä, muu ryhmä, puuttuva identiteetti |
| Käyttöreitti | Haku, viittaus, tiedosto tai välimuisti |
| Tulos | Odotettu, havaittu, päivämäärä ja korjaus |
Kuvitteellinen esimerkki
Havainnollistava tilanne
Kuvitteellinen esimerkki: henkilökuntaan kuuluva vaihtaa tiimiä, mutta aiemmassa keskustelussa viitataan edelleen peruttuun asiakirjaan.
Päätös ja odotettu näyttö
Testi seuraa hakua ja keskustelun välimuistia, ja vahvistaa sitten hylkäämisen ja viittausten puuttumisen korjauksen jälkeen.
Mekanismien erottaminen
| Mekanismi | Tarkoitus | Vahvistus tai rajoitus |
|---|---|---|
| Hakusuodatin | Rajoita noudettuja paloja | Kattaa myös leksikaaliset reitit ja suorat linkit |
| Hylkäyskehote | Ohjaa vastauskäyttäytyminen | Älä delegoi sille valtuutusta |
| Vastausvälimuisti | Käytä tulosta uudelleen | Tarkista käyttöoikeuskonteksti ennen uudelleenkäyttöä |
Johdon indikaattorit
| Indikaattori | Mitä se mittaa | Ensimmäinen toimenpide |
|---|---|---|
| Havaitut vuodot | Testitiedot paljastuvat soveltamisalan ulkopuolella | Estä vaikutusalueen käyttö ja tarkista syy |
| Peruutusviive | Aika, kunnes kaikki testatut reitit hylkäävät | Nimivälimuistit ovat edelleen käytettävissä |
| Reitin kattavuus | Yhdistimet ja hakutilat on harjoitettu | Tunnista testaamattomat polut |
Yleisiä virheitä
- Kattaa myös leksikaaliset reitit ja suorat linkit
- Älä delegoi sille valtuutusta
- Tarkista käyttöoikeuskonteksti ennen uudelleenkäyttöä
Usein kysytyt kysymykset
Riittääkö erillinen vektorinimiavaruus?
Se auttaa osittamaan tietoja, mutta välimuistien, tiedostolinkkien ja työkalujen on kunnioitettava samaa rajaa.
Pitäisikö käyttöoikeuksien olla kehotteessa?
Hyödyllinen konteksti voi päästä malliin; tiedot paljastavan palvelun on valvottava käyttöoikeuspäätöksiä.
Miten luottamuksellisia dokumentteja voidaan välttää testauksessa?
Luo jokaiselle ryhmälle kuvitteellisia vartija-asiakirjoja erillisillä merkeillä ja tarkista sitten vastaukset ja viittaukset.
Viralliset viitteet
Viitteet tukevat menetelmää. Sovita tarkastukset kontekstiisi; ne eivät ole sertifiointia. Alkuperäiset viitteiden otsikot ja lähdeasiakirjat voivat olla toisella kielellä.
Lähteet tarkistettu .
