Bir rol veya yetki değişikliğinin bütün sistemlere gerçekten yayıldığı nasıl kanıtlanmalıdır?

Sade dille

On kişiye adres değişikliği mesajı göndermek, on kişinin rehberini güncellediğini göstermez. Mesajın ulaştığını, işlendiğini ve eski adresin artık kullanılmadığını ayrıca kontrol etmelisiniz.

Neden önemli?

Merkezî sistem güncel görünürken bağlı uygulama, önbellek, token veya üçüncü taraf hesabı eski yetkiyi sürdürebilir. Bu görünmez fark, en tehlikeli erişim açıklarından biridir.

Karıştırma

• Gönderildi: Değişiklik hedefe yollandı.
• Alındı: Hedef isteği kabul etti.
• Uygulandı: Hedef durumu değiştirdi.
• Doğrulandı: Yeni durum geri okunarak ve eski erişim denenerek kanıtlandı.

Ne yapmalısın?

1. Her değişikliğe benzersiz olay kimliği verin.
2. Hedef sistem envanteri ve beklenen son durum oluşturun.
3. Teslim, uygulama ve geri okuma kanıtlarını ayrı kaydedin.
4. Eski erişim yolu için kontrollü olumsuz test yapın.
5. Başarısız hedefleri tekrar deneyin ve insan incelemesine çıkarın.
6. Bütün hedefler kanıtlanmadan olayı kapatmayın.

Nasıl denetlersin?

• Hedef listesi eksiksiz mi?
• Her hedefte beklenen ve gözlenen durum eşleşiyor mu?
• Başarı yalnız gönderici loguna mı dayanıyor?
• Eski token veya oturumla erişim reddediliyor mu?
• Kanıtlar aynı olay kimliği ve zaman çizelgesine bağlanmış mı?