Agentic BAS - Security Center - Centre de documentation Alibaba Cloud

Qu'est-ce qu'Agentic BAS ?

Agentic BAS est un service intelligent de simulation d'intrusion fourni par Security Center. Fondé sur la collaboration multi-agents, il se concentre sur la validation de l'efficacité de votre système de sécurité, évalue en continu les capacités d'atténuation de ce système par des moyens intelligents et améliore la construction du système de sécurité ainsi que l'efficacité des opérations de sécurité. La fonctionnalité offre les capacités principales suivantes :

Multi-Agent Human-Like Role Collaboration : plusieurs agents IA se partagent le travail et simulent les chemins de pénétration et les techniques d'attaque d'attaquants réels.
Raisonnement et prise de décision autonomes : les agents ajustent dynamiquement leurs stratégies d'attaque en fonction de l'environnement cible, sans s'appuyer sur une bibliothèque de règles fixes.
Validation continue 24 h/24 et 7 j/7 : prend en charge l'exécution immédiate ou la planification horaire pour couvrir en permanence les angles morts de la sécurité.
Cost-Effective, Secure, and Stable Operations : la méthode de facturation à l'utilisation pour les Credits réduit considérablement les coûts de validation par rapport aux tests de pénétration manuels traditionnels.

Périmètre

Autorisation des ressources : les ressources cibles à tester doivent être des adresses IP ou des noms de domaine que vous êtes légalement autorisé à tester.
Ressources cibles prises en charge :
- Security Center Assets : ressources gérées par Security Center (instances ECS disposant d'une adresse IP publique). Vous pouvez afficher les ressources ECS connectées dans le volet de navigation de gauche sous Asset Center > Host.
- Attack Surface Assets : ressources découvertes par l'analyse Attack Management et inventoriées en tant que ressources Attributed. Le service Attack Management doit être activé. Si le service n'est pas activé, ce pool de ressources n'est pas visible et aucune adresse IP ni aucun nom de domaine n'apparaît dans la liste. Le processus de découverte et d'attribution est décrit dans la rubrique Gestion de la surface d'attaque.
- Custom Assets : noms de domaine uniquement, sans http://, https://, numéros de port ni chemins. Le nom de domaine doit passer la vérification du domaine avant que vous puissiez lui assigner une tâche.

Types de détection de vulnérabilités pris en charge :

Type de vulnérabilité

Description

Unauthorized Access

Détecte les vulnérabilités d'élévation de privilèges ou d'accès non autorisé dans le système.

Cross-Site Scripting (XSS)

Injecte des scripts malveillants pour voler les données des utilisateurs.

SQL Injection

Détecte les vulnérabilités d'injection SQL.

Cross-Site Request Forgery (CSRF)

Falsifie les requêtes des utilisateurs pour effectuer des opérations non autorisées.

Common Vulnerabilities

Détecte d'autres vulnérabilités de sécurité Web courantes.

Acheter et activer Agentic BAS

Accédez à la console Security Center - Risk Governance - Agentic BAS. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Agentic BAS.
Cliquez sur Chinese Mainland pour accéder à la page d'achat.

Vous pouvez également accéder directement à la page d'achat pour effectuer l'achat.
Sur la page d'achat, sélectionnez la Durée de l'abonnement, cliquez sur Acheter maintenant et effectuez le paiement.
Revenez à la page d'accueil d'Agentic BAS. Dans la section Outside Chinese Mainland, vous pouvez consulter les Buy Now.

Après l'achat, vous recevez par défaut 1 000 000 de Credits, qui expirent mensuellement. Lorsque les Credits inclus sont épuisés, la facturation à l'utilisation pour les Credits est automatiquement activée, comme décrit dans les règles de facturation de cette rubrique.

Ajouter à la liste d'autorisation

Si un pare-feu d'application Web (WAF), Cloud Firewall ou une autre politique de contrôle d'accès de sécurité est déployée dans votre environnement réseau, ajoutez l'adresse IP du scanner à la liste d'autorisation d'accès du serveur cible pour éviter que les requêtes d'analyse ne soient bloquées.

Agentic BAS : 8.219.211.171
Credits Used / Remaining : 8.133.212.119, 121.40.209.82

Créer une tâche Agentic BAS

Accédez à la console Security Center - Risk Governance - Agentic BAS. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Plan Credits ou Outside Chinese Mainland.
Dans le coin supérieur droit de la page, cliquez sur Chinese Mainland.

Dans le panneau Chinese Mainland, configurez les paramètres suivants.

Paramètre	Description
Outside Chinese Mainland	Un nom de tâche personnalisé pouvant contenir jusqu'à 128 caractères.
Create Penetration Test Task	Notes supplémentaires concernant ce test de pénétration, jusqu'à 1 000 caractères.
Create Penetration Test Task	Sélectionnez les types de vulnérabilités à détecter. Vous pouvez sélectionner plusieurs types. Les types disponibles incluent : Task Name, Task Description, Select Vulnerabilities, Unauthorized Access, Cross-Site Scripting (XSS).
SQL Injection	Décrivez en langage naturel les exigences supplémentaires de test de pénétration ou les zones à cibler.
Cross-Site Request Forgery (CSRF)	Sélectionnez la source des cibles de détection. Les trois sources suivantes sont prises en charge : Common Vulnerabilities : ressources gérées par Security Center (instances ECS avec adresses IP publiques). Vous pouvez afficher les ressources ECS connectées sous Penetration Requirements > Target Selection à gauche. Security Center Assets : ressources Asset Center qui ont été découvertes par l'analyse de la surface d'attaque et inventoriées (Host). Pour plus d'informations, consultez la rubrique Découverte des ressources de périmètre. Attack Surface Assets : seuls les noms de domaine sont pris en charge, à l'exclusion de http://, https://, des ports ou des chemins. Cliquez sur l'image à droite de la zone de saisie de la ressource personnalisée, saisissez le nom de domaine et effectuez la vérification. Pour plus d'informations, consultez la rubrique Configuration avancée - Configurer les ressources personnalisées.
Attack Management (facultatif)	Utilisés pour l'authentification de connexion et les tests d'élévation de privilèges. Vous pouvez configurer des identifiants pour des identités disposant de différentes autorisations afin de garantir l'exhaustivité du test de pénétration, comme décrit dans la rubrique Configuration avancée - Configurer les identifiants d'accès. Remarque Si vous n'ajoutez pas d'informations d'identification, la tâche de pénétration s'exécute sans authentification d'identité.
Attributed (facultatif)	Lorsque vous activez ce paramètre, la tâche s'arrête automatiquement lorsque l'utilisation des Credits dépasse le maximum configuré, et un rapport est généré sur la base des résultats déjà détectés. Faites glisser le curseur (plage de 0 à 5 000 000, valeur par défaut 500) ou saisissez la valeur directement. Remarque L'utilisation des Credits varie selon l'étape d'exécution, de sorte que la consommation réelle peut légèrement dépasser l'utilisation maximale des Credits configurée.
Custom Assets	Sélectionnez le mode d'exécution de la tâche : Access Credentials : démarre le test de pénétration immédiatement après la création de la tâche. Max Credits Usage : démarre le test de pénétration une fois automatiquement à l'heure spécifiée.
Execution Mode	Requis lorsque vous sélectionnez Run Now. L'heure d'exécution ne peut pas être antérieure à l'heure actuelle.

Après avoir confirmé que la configuration est correcte, cliquez sur Run Once on Schedule. Une tâche Agentic BAS prend beaucoup de temps à s'exécuter et peut dépasser 1 heure. Veuillez patienter.

Important
Si une tâche s'exécute pendant plus de 12 heures, le système arrête automatiquement la tâche et modifie son statut en Timeout. Les données analysées sont conservées et les Credits consommés ne sont pas remboursés.

Traiter et vérifier les vulnérabilités

Afficher et traiter les vulnérabilités

Dans la liste des tâches, cliquez sur le nom de la tâche cible, ou cliquez sur Execution Time dans la colonne Run Once on Schedule.
Dans l'onglet OK, affichez la liste des vulnérabilités détectées par la tâche actuelle.
Dans la colonne Agentic BAS d'une vulnérabilité, cliquez sur Details pour télécharger les détails de la vulnérabilité, tels que l'endpoint, l'heure de découverte, le processus de détection de la vulnérabilité et le plan de correction.
Corrigez manuellement la vulnérabilité en suivant le plan de correction indiqué dans le rapport.

Remarque

Agentic BAS ne prend pas en charge la correction directe des vulnérabilités dans la console.

Vérifier la correction des vulnérabilités

Une fois la correction manuelle terminée, revenez à la liste des vulnérabilités pour vérifier si la vulnérabilité est entièrement corrigée.

Important

Chaque vérification consomme des Credits, et cette consommation est comptabilisée séparément des Credits consommés par l'exécution de la tâche. Si un résultat Actions est dû à une erreur réseau, à une interruption temporaire ou à un autre facteur empêchant une vérification complète, les Credits déjà consommés ne sont pas remboursés.

Déclencher la vérification

Dans la liste des tâches, cliquez sur le nom de la tâche cible, ou cliquez sur Vulnerabilities dans la colonne Actions.
Dans l'onglet Download Report, cliquez sur Not Exploitable dans la colonne Details de la vulnérabilité cible.
Sur la page des détails de la vérification, cliquez sur Actions dans le coin supérieur droit.

Le statut d'efficacité de la vulnérabilité passe à Vulnerabilities, les agents lancent la vérification de reproduction et les journaux de vérification sont écrits en temps réel.

Résultats de la vérification

Une fois la vérification terminée, un enregistrement est ajouté à l'historique Verify, et les Credits consommés sont ajoutés à la consommation totale de vérification de la vulnérabilité. Les statuts de vérification sont les suivants :

Actions : le processus de vérification s'est déroulé sans erreur, la vulnérabilité est reproductible et exploitable, et le résultat de la vérification est inscrit dans le journal.
Verify : la vulnérabilité est corrigée ou isolée après vérification et ne peut pas être reproduite. Utilisez le journal de vérification pour confirmer davantage le résultat de la correction.

Confirmer le résultat de la correction et conserver les journaux

Dans la zone de sortie CONSOLE de la section Verifying, affichez le journal du processus de vérification. Le résultat de la correction est généralement imprimé sur la dernière ligne, par exemple Retest conclusion ### Vulnerability status: Vulnerable, ce qui indique que la vulnérabilité peut toujours être reproduite.
Pour conserver une copie locale du journal, cliquez sur Verification History dans le coin supérieur droit de la zone de sortie CONSOLE de la section Exploitable.

Consulter ou télécharger le Not Exploitable

Dans la liste des tâches, cliquez sur le nom de la tâche cible, ou cliquez sur Verification Logs dans la colonne Download Logs.
Sous l'onglet Verification Logs, consultez le rapport en ligne. Pour enregistrer le rapport localement, cliquez sur Agentic BAS Report dans le coin supérieur droit.

Gérer les tâches Agentic BAS

Gérer une seule tâche : Dans la liste des tâches, cliquez sur l'icône dans la colonne Actions de la tâche cible pour effectuer les opérations suivantes :

Opération

État de tâche applicable

Description

Agentic BAS Report

Download Report

Exécute immédiatement la tâche actuelle.

Agentic BAS

Actions

Arrête la tâche Start en cours d'exécution. Une tâche arrêtée ne peut pas être reprise. Vous devez créer une nouvelle tâche.

To Be Started

Non en cours d'exécution

Supprime la tâche Stop et ses données de résultats. La suppression est irréversible.

Opérations par lot : Sélectionnez plusieurs tâches ayant le même état et effectuez des opérations groupées.
1. Sur la page de la liste des tâches Running, sélectionnez plusieurs tâches ayant le même état.
2. Dans le coin inférieur droit de la liste, cliquez sur Agentic BAS, Delete ou Agentic BAS.
  
  Une opération par lot s'applique uniquement aux tâches ayant le même état.

Consulter la consommation de crédits

Consulter la consommation par tâche

Consulter la consommation d'une seule tâche :
1. Dans la liste des tâches, cliquez sur le nom de la tâche cible, ou cliquez sur Agentic BAS dans la colonne Start.
2. Dans la section Stop de l'onglet Delete, consultez la valeur Details.
Consulter la consommation globale : Dans la section Actions de la page d'accueil Task Overview, consultez le pourcentage de consommation et le montant restant des Task Details.

Consulter la consommation liée à la vérification des vulnérabilités

Les crédits consommés par la vérification des vulnérabilités sont comptabilisés séparément des crédits consommés par l'exécution des tâches.

Dans la liste des tâches, cliquez sur le nom de la tâche cible, ou cliquez sur Credits Consumed dans la colonne Credits Used / Remaining.
Sous l'onglet Agentic BAS, cliquez sur Plan Credits dans la colonne Details de la vulnérabilité cible pour accéder à la page des détails de la vérification.
Dans la section Actions, consultez la valeur Vulnerabilities.

Vous pouvez également consulter la consommation totale de vérification dans la colonne Verify de la page de liste des vulnérabilités.
Dans la section Actions, consultez la valeur Verification Records de chaque vérification individuelle sous l'enregistrement correspondant.

Configuration avancée (facultative)

Configurer des ressources personnalisées

Pour exécuter un test d'intrusion sur une ressource personnalisée, saisissez manuellement le nom de domaine et procédez à la vérification du domaine. Une fois la vérification réussie, la ressource est ajoutée à la bibliothèque de ressources personnalisées et vous pouvez lui assigner des tâches de manière récurrente.

Dans la section Total Credits Consumed du panneau Credits Used for Verification, sous l'onglet Verification History, cliquez sur l'icône située à droite du champ de ressource personnalisée.
Dans le panneau Credits Consumed, saisissez le nom de domaine de la ressource à vérifier et cliquez sur Target Selection.

Remarque
Saisissez uniquement le nom de domaine, sans http://, https://, numéros de port ni chemins d'accès.
Configurez la vérification du domaine. Les méthodes Create Penetration Test Task et Custom Assets sont prises en charge. Suivez la procédure de la méthode choisie dans les onglets suivants. Les informations de vérification générées ont une durée de validité. Effectuez la vérification avant leur expiration.

Remarque
Si les informations de vérification ont expiré, cliquez sur Create Custom Asset and Verify et utilisez les nouvelles informations de vérification pour compléter la vérification du domaine.

Authenticate Asset

Procédure

Connectez-vous au site de résolution de noms de domaine : recherchez l'entrée pour la résolution de noms de domaine, la résolution DNS ou les enregistrements de résolution, puis sélectionnez le nom de domaine que vous souhaitez vérifier. Si la résolution du nom de domaine est hébergée dans Alibaba Cloud DNS, connectez-vous plutôt à la console Alibaba Cloud DNS. Si vous ne trouvez pas l'entrée, contactez votre administrateur de nom de domaine.
Créez et complétez un enregistrement TXT : sur la page Add Record ou Add Resolution, renseignez chaque champ en fonction du DNS TXT Verification (TXT), du File Verification et de la Re-verify Asset fournis par la console. Pour un exemple champ par champ, consultez l'exemple de configuration DNS dans cet onglet.
Enregistrez l'enregistrement et attendez qu'il prenne effet : cliquez sur OK ou Save, et conservez cet enregistrement.

Remarque
La résolution DNS ne prend pas effet immédiatement. Le temps d'attente dépend du fournisseur de service DNS et de la configuration TTL.
Une fois l'enregistrement actif, retournez dans le panneau DNS TXT Verification et cliquez sur Record Type.

Exemple de configuration DNS

Cet exemple utilise un nom de domaine dont la résolution est hébergée dans Alibaba Cloud DNS. Si la résolution de votre nom de domaine est hébergée chez un autre fournisseur de service DNS, ajoutez l'enregistrement avec les mêmes paramètres sur la page des paramètres de résolution de ce fournisseur.

Utilisez le compte Alibaba Cloud du propriétaire du nom de domaine pour vous connecter à la console Alibaba Cloud DNS.

Dans la liste des noms de domaine, repérez le nom de domaine cible et cliquez sur Hostname / Name dans la colonne Record Value pour accéder à la page des paramètres de résolution.

Sur la page des paramètres de résolution, cliquez sur Create Custom Asset and Verify et renseignez les champs suivants.

Paramètre

Description

Verify and Save Asset

Sélectionnez TXT.

Settings

Collez la valeur Actions fournie par le panneau Add Record.

Type

Collez la valeur Host Record fournie par le panneau Hostname / Name.

Laissez les autres paramètres, tels que la source de la demande de résolution et le TTL, à leurs valeurs par défaut.

Une fois tous les champs renseignés, cliquez sur OK.

Create Custom Asset and Verify

Procédure

Important

Les valeurs Record Value, Record Value et Create Custom Asset and Verify fournies par le panneau File Verification font autorité. Chaque chemin indiqué dans cet onglet est fourni à titre d'exemple uniquement. Si un exemple diffère des valeurs du panneau, suivez les indications du panneau.

Téléchargez ou créez le fichier de vérification : Cliquez sur Upload Path / File Name pour enregistrer le fichier localement. Vous pouvez également créer le fichier manuellement en vous basant sur le File Content et le Verification URL fournis par la console.

Important
Le nom du fichier et son contenu doivent être strictement identiques à ceux fournis par la console. Ne renommez pas le fichier, n'ajoutez ni ne supprimez de contenu, et n'ajoutez pas d'espaces.
Créez le chemin d'accès au répertoire : Connectez-vous à votre serveur web, à votre stockage d'objets ou à l'interface de gestion de votre site web. Créez ensuite le chemin d'accès au répertoire .well-known/pki-validation/ sous le répertoire racine web, comme spécifié dans le champ File Content. Si le chemin existe déjà, ignorez cette étape.
Placez le fichier : Téléchargez le fichier de vérification vers le chemin correspondant à la valeur Create Custom Asset and Verify indiquée dans le panneau. Pour un exemple complet utilisant Nginx (Linux) déployé sur une instance ECS Alibaba Cloud, consultez l'exemple de configuration de téléchargement de fichier dans cet onglet.
Vérifiez l'URL de vérification dans un navigateur : Copiez l'Download Verification File fournie par la console et ouvrez-la dans une fenêtre de navigation privée.

Important
Vous devez pouvoir voir le contenu du fichier de vérification sans vous connecter. Si une erreur 404, une erreur 403, une page de connexion ou une page de redirection s'affiche, ajustez d'abord l'emplacement du fichier ou les autorisations d'accès.
Une fois que vous avez confirmé que le contenu affiché dans le navigateur est strictement identique au Upload Path / File Name fourni par la console, cliquez sur File Content.

Important
Ne supprimez ni ne modifiez le fichier avant que la vérification ne soit réussie. Sinon, la vérification pourrait échouer.

Exemple de configuration de téléchargement de fichier

Cet exemple utilise Nginx (Linux) déployé sur une instance Elastic Compute Service (ECS) Alibaba Cloud. Si votre site web est déployé sur un autre serveur ou dans un stockage d'objets, placez le fichier à l'emplacement correspondant à la valeur Upload Path / File Name de la même manière.

Connectez-vous à l'instance ECS. Pour plus d'informations, consultez la rubrique Se connecter à une instance ECS.
Créez le répertoire : exécutez les commandes suivantes séquentiellement pour créer le répertoire niveau par niveau sous le répertoire racine web du serveur (/var/www/html/ par défaut pour Nginx), en vous basant sur la valeur Verification URL fournie par le panneau File Content. Si le répertoire existe déjà, ignorez cette étape. Les commandes suivantes utilisent .well-known/pki-validation/ comme exemple de chemin. Remplacez-le par le chemin fourni par le panneau.
```
cd /var/www/html mkdir -p.well-known/pki-validation
```
Téléchargez le fichier de vérification : vous pouvez utiliser la fonctionnalité de téléchargement de fichiers d'un outil de connexion à distance tel que WinSCP ou Xshell pour télécharger le fichier de vérification dans le répertoire créé à l'étape précédente, comme décrit dans la rubrique Télécharger des fichiers.
Ouvrez l'Verify and Save Asset fournie par le panneau dans une fenêtre de navigation privée et confirmez que vous pouvez accéder directement au contenu du fichier de vérification. L'URL combine le chemin de vérification avec le nom du fichier, par exemple https://domain-name/.well-known/aibas-site-verification/file-name.txt. Ouvrez toujours l'URL exactement telle qu'elle est fournie par le panneau.

Configurer les identifiants d'accès

Pour utiliser l'authentification par connexion et les tests d'élévation de privilèges, configurez des identifiants d'accès pour des identités disposant de différentes autorisations afin de garantir l'exhaustivité du test d'intrusion. Chaque identité ne nécessite qu'un seul type d'identifiant d'accès. Si vous changez de type d'identifiant, seul l'identifiant actuellement sélectionné est soumis. Complétez les sections suivantes dans l'ordre : sélectionnez un type d'identifiant, obtenez le contenu de l'identifiant pour le type choisi, puis saisissez les informations d'identité et le contenu de l'identifiant dans le panneau Upload Path / File Name.

Sélection du type d'identifiant

Sélectionnez le type d'identifiant en fonction de la méthode de connexion des utilisateurs au site cible.

Type d'identifiant

Scénario

Emplacement courant

Upload Path / File Name

Le site prend en charge l'authentification via un formulaire de connexion standard.

Fourni par le propriétaire du compte de test.

Cookie

Vous êtes déjà connecté dans un navigateur ou un outil proxy et souhaitez réutiliser directement l'état de connexion.

Outils de développement du navigateur, Burp, curl.

Local Storage

Le jeton ou les informations d'identité sont persistés dans le stockage local du navigateur.

DevTools > Application > Local Storage.

Session Storage

Le jeton est stocké uniquement dans la session actuelle du navigateur.

DevTools > Application > Session Storage.

Create Custom Asset and Verify

Le site transmet le jeton, le locataire ou les informations d'identité dans des en-têtes de requête fixes.

DevTools > Network > Request Headers.

Recommandations de configuration

Utilisez des identifiants temporaires disposant du principe de moindre privilège et pouvant être révoqués à tout moment. N'utilisez pas votre compte personnel quotidien ni un compte de production disposant de privilèges élevés.
Dès la fin du test, désactivez le compte temporaire, faites tourner le mot de passe ou révoquez le jeton, et effacez les états de connexion devenus inutiles.
Tests d'élévation de privilèges multi-identités : pour exécuter des tests d'élévation de privilèges horizontaux ou verticaux, préparez au moins deux identités temporaires aux permissions différentes. Par exemple :
- Utilisateur standard A : permissions métier standards.
- Utilisateur standard B : périmètre de données différent de celui de l'utilisateur A, utilisé pour vérifier les élévations de privilèges horizontales.
- Administrateur : utilisé pour comparer le comportement des identités à haut et bas privilèges.

Remarque

Si un état de connexion dépend de plusieurs types de données côté client, sélectionnez le type d'identifiant principal capable de restaurer l'état de connexion de manière autonome. Chaque identité ne soumet actuellement qu'un seul type d'identifiant.

Obtenir le contenu de l'identifiant

L'emplacement du contenu de l'identifiant varie selon le type d'identifiant. Connectez-vous d'abord au site cible avec un compte de test autorisé, puis récupérez le contenu correspondant en fonction du type d'identifiant sélectionné.

Nom d'utilisateur et mot de passe

Pour Verification URL, le propriétaire du compte de test fournit un compte de test autorisé. Vous devez saisir à la fois le nom du compte et le mot de passe. Utilisez un compte de test temporaire à faible risque, doté du principe de moindre privilège et pouvant être désactivé à tout moment. Ne saisissez pas de compte de production à privilèges élevés.

Si le processus de connexion dépend d'un CAPTCHA manuel, d'une authentification multifacteur ou d'une autre opération interactive, connectez-vous d'abord via un navigateur, puis utilisez Cookie, Local Storage ou Session Storage pour réutiliser l'état de connexion existant.

Cookie

Connectez-vous au site cible avec le compte de test.
Ouvrez les outils de développement du navigateur.
Dans Network, sélectionnez une requête déjà authentifiée et recherchez Cookie dans Request Headers. Vous pouvez également afficher les cookies existants du site dans Application > Cookies.

Copiez le texte du cookie. Les formats suivants sont courants :

Cookie sur une seule ligne :

Cookie: SESSION=abc123; tenant_id=tenant-a

Texte Set-Cookie avec attributs :

Set-Cookie: SESSION=abc123; Domain=.example.com; Path=/; Secure; HttpOnly; SameSite=Lax

Plusieurs groupes, un groupe par ligne :

Cookie: SESSION=abc123; tenant_id=tenant-a Cookie: locale=zh-CN

Assurez-vous que le texte du cookie copié respecte les exigences de format suivantes :
- Utilisez = entre le nom du cookie et sa valeur, et séparez les différents cookies par un point-virgule (;).
- Vous pouvez conserver le préfixe Cookie: ou Set-Cookie:.
- Les attributs Domain, Path, SameSite, Secure et HttpOnly sont reconnus.
- Collez uniquement le texte du cookie ou de Set-Cookie. Ne collez pas la requête HTTP complète.

Remarque

Les cookies ont une durée de validité. Si l'état de connexion ne peut pas être maintenu pendant l'exécution de la tâche, reconnectez-vous et récupérez le dernier cookie.

Local Storage

Connectez-vous au site cible avec le compte de test.
Ouvrez les outils de développement du navigateur et accédez à Application > Local Storage.
Sélectionnez l'origine correspondant au site cible.

Copiez chaque clé et valeur liées à l'authentification et saisissez-les dans les champs Key/Value de l'identifiant. Exemple :

Key

Value (exemple)

auth_token

<temporary-token>

user_profile

{"role":"viewer"}

Session Storage

Le stockage de session est généralement lié à la session actuelle. Après une reconnexion, la fermeture de la session ou l'expiration de l'identifiant, les valeurs d'origine peuvent devenir invalides et vous devrez les récupérer à nouveau.

Connectez-vous au site cible avec le compte de test et maintenez la session de l'onglet actuel active.
Ouvrez les outils de développement du navigateur et accédez à Application > Session Storage.
Sélectionnez l'origine correspondant au site cible.
Copiez chaque clé et valeur liées à l'authentification. La méthode de saisie est identique à celle de Local Storage.

Additional headers

Connectez-vous au site cible avec le compte de test.
Ouvrez les outils de développement du navigateur et accédez à Network.

Sélectionnez une requête authentifiée et confirmez les en-têtes de requête fixes utilisés pour l'authentification ou l'identification du locataire dans Request Headers. Exemple de saisie :

Key

Value (exemple)

Authorization

Bearer <temporary-token>

X-Tenant-Id

tenant-a

Important

Saisissez uniquement les en-têtes fixes. Les champs de signature dynamiques tels que les horodatages, les nonces, les jetons à usage unique et les digests du corps de la requête sont générés par le site lui-même. Ne les saisissez pas comme en-têtes fixes.

Étapes de configuration

Dans le panneau Create Penetration Test Task, cliquez sur Username/Password dans la section Additional Headers (Advanced) pour configurer les identifiants d'accès pour les identités disposant de permissions différentes.

Dans la boîte de dialogue Username/Password, configurez les paramètres suivants et cliquez sur Create Penetration Test Task.

Paramètre

Description

Add Identity

Obligatoire. Un nom d'identité personnalisé, tel qu'administrateur, utilisateur standard ou utilisateur de test. Le nom prend en charge jusqu'à 32 caractères et doit être unique au sein de la même tâche.

Access Credentials

Facultatif. Description supplémentaire des caractéristiques des permissions de l'identité, par exemple « une identité de test autorisée disposant de permissions en lecture seule ». La description prend en charge jusqu'à 200 caractères.

Add Credential

Obligatoire. Sélectionnez l'un des cinq types d'identifiants suivants :Save Identity, Cookie, Local Storage, Session Storage et Identity Name. Pour obtenir des conseils de sélection, consultez Sélection du type d'identifiant.

Contenu de l'identifiant

Saisissez les informations d'identifiant en fonction du type d'identifiant sélectionné. Les méthodes pour obtenir chaque type d'identifiant et les exigences de saisie sont décrites dans Obtenir le contenu de l'identifiant.

Pour configurer plusieurs identités, cliquez à nouveau sur Identity Description et continuez à ajouter des identités.

Messages de validation courants et procédures de résolution

Message ou symptôme

Procédure de résolution

Le nom de l'identité existe déjà

Modifiez le nom pour en choisir un qui soit unique au sein de la même tâche.

Aucun cookie valide n'est analysé

Vérifiez le format name=value et les séparateurs points-virgules. Ajoutez le préfixe Cookie: et réessayez.

Saisissez au moins une paire clé-valeur valide

Vérifiez si les clés et les valeurs de Local Storage, Session Storage ou Headers sont complètes.

La tâche s'exécute toujours en tant qu'utilisateur non authentifié

Vérifiez si l'identifiant a expiré, si le domaine et le chemin du cookie correspondent, si le type de stockage et l'origine sont corrects, et si la casse de la clé est cohérente.

Les permissions de locataire ou métier sont toujours manquantes après la connexion

Vérifiez si un en-tête de locataire fixe est également requis, ou si le compte de test actuel dispose des permissions cibles.

Facturation

Éléments de facturation

Agentic BAS utilise un modèle de facturation hybride combinant un abonnement au service de base avec une consommation de Credits en paiement à l'utilisation.

Remarque

Chaque tâche de test d'intrusion consomme un certain nombre de Credits en fonction de sa complexité. Pour les estimations, consultez la section de référence d'utilisation ci-dessous.

Élément de facturation	Méthode de facturation	Description
Frais d'abonnement au service de base	Abonnement	6 000 USD par mois Important Après l'activation du service, 1 000 000 de Credits sont accordés à l'avance et expirent mensuellement. Une fois le quota accordé épuisé, vous êtes facturé pour le nombre réel de Credits consommés selon la méthode de facturation en paiement à l'utilisation.
Credits excédentaires	Paiement à l'utilisation	0 002 USD par Credit

Référence d'utilisation

Dans les scénarios de test d'intrusion web, la consommation de Credits dépend de facteurs tels que l'échelle des endpoints web, la complexité métier et l'état de sécurité. Les estimations de Credits suivantes sont fournies à titre indicatif uniquement. L'utilisation réelle des Credits est basée sur les statistiques collectées après la fin de la tâche de pénétration. Vous pouvez vérifier l'utilisation réelle comme décrit dans Afficher la consommation de Credits. Utilisez le niveau correspondant à votre cible pour définir la valeur Select Credential Type d'une tâche.

Niveau

Nombre de sous-liens

Volume de code JavaScript côté client

Référence d'utilisation des Credits

Petit

< 20

< 150 lignes / < 50 Ko

50 000 à 350 000

Moyen

20 à 50

150 à 3 000 lignes / 50 à 300 Ko

150 000 à 750 000

Grand

> 50

> 3 000 lignes / > 300 Ko

500 000 à 3 000 000

Expiration ou résiliation

Après l'expiration ou la résiliation du service, toutes les fonctionnalités Username/Password s'arrêtent immédiatement, et la facturation en paiement à l'utilisation pour les Credits excédentaires cesse également. Les impacts spécifiques sont les suivants :

Fonctionnalités désactivées : Vous ne pouvez pas créer de nouvelles tâches Additional Headers (Advanced), et les tâches existantes cessent de s'exécuter.
Arrêt de la facturation : La facturation en paiement à l'utilisation pour les Credits excédentaires prend fin immédiatement, et aucune nouvelle facture post-payée ne sera générée.

Expiration

Rappel d'expiration : Sept jours avant l'expiration du service, le système envoie des rappels d'expiration par SMS et par e-mail. Pour éviter toute interruption de service, renouvelez rapidement le service dans la console Expenses and Costs.
Gestion des Credits :
- Après l'expiration du service, les 1 000 000 de Credits accordés avec le forfait sont automatiquement supprimés. Ils ne peuvent pas être prolongés ni transférés, et les Credits non consommés avant l'expiration ne sont pas remboursés.
- Les frais pour les Credits excédentaires générés à la date d'expiration apparaissent dans une facture en paiement à l'utilisation le lendemain.
Nettoyage des données : Après l'expiration du service, les données des tâches de pénétration sont conservées pendant 15 jours. Au-delà de 15 jours, l'instance est libérée et les données historiques sont définitivement supprimées. Si vous rachetez le service dans un délai de 15 jours, les données historiques des tâches de pénétration peuvent être restaurées. Si vous ne renouvelez pas dans les 15 jours, les données seront définitivement supprimées et ne pourront pas être récupérées.

Résiliation

Agentic BAS ne prend pas en charge la résiliation automatique. Si vous souhaitez résilier, contactez votre gestionnaire de compte pour effectuer la résiliation manuellement.

FAQ

La désactivation du commutateur de protection élastique dans Security Center affecte-t-elle la facturation en paiement à l'utilisation de Add Identity ?

Non. Une fois les Credits de Max Credits Usage épuisés, la facturation en paiement à l'utilisation est activée automatiquement. Il s'agit d'une logique de facturation indépendante qui n'est pas contrôlée par le commutateur de protection élastique.
Agentic BAS prend-il en charge la désactivation distincte du mode Credits en paiement à l'utilisation ?

Non.
Quelle est la durée d'exécution d'une tâche Agentic BAS ?

Une tâche unique prend généralement beaucoup de temps à s'exécuter et peut dépasser 1 heure. La durée exacte dépend de l'échelle, de la complexité métier et de l'état de sécurité de la cible de pénétration. Une fois la tâche terminée, consultez les résultats sur la page des détails de la tâche.
Une analyse Agentic BAS affecte-t-elle mon activité ?

Agentic BAS utilise une méthode de détection non destructive et n'entraîne pas d'impacts destructeurs sur le fonctionnement normal du système cible. Toutefois, si un WAF, Cloud Firewall ou une autre politique de sécurité est déployé dans l'environnement réseau, ajoutez l'adresse IP du scanner à la liste d'autorisation à l'avance pour empêcher le blocage des requêtes d'analyse, ce qui pourrait affecter les résultats du test d'intrusion.
Que faire si les Credits accordés sont insuffisants ?

Une fois les 1 000 000 de Credits accordés épuisés, le système active automatiquement le mode Credits en paiement à l'utilisation. Aucune activation manuelle n'est requise et le service n'est pas interrompu. Vous pouvez consulter la consommation de Credits sur la page d'accueil de Agentic BAS.
Puis-je corriger directement un problème dès qu'il est détecté lors d'un test d'intrusion ?

Non. Agentic BAS fournit uniquement la détection des vulnérabilités et le téléchargement des rapports. Corrigez les problèmes manuellement en suivant le plan de correction indiqué dans le rapport.