APPLICATION SECURITY OVERVIEW
Atlas Commerce / Demo workspace
Обезличенный срез реального рабочего процесса: стенды, доступность, авторизация, расписания и результаты запусков.
AUTHENTICATION FLOW
VERIFIEDPrimary customer flow
01LoginCredentials accepted→02SessionCookie established→03ProtectedRoutes accessible→04Reuse3 scanners connected
LATEST SCAN
COMPLETEProduction / Authenticated
100%
213 / 213endpoints processed- Duration
- 42m 18s
- Auth health
- Stable
- Export
- DefectDojo
BUSINESS LOGIC RESEARCH
PREVIEWResearch queue
7Hypotheses→5Tests→2Evidence
Cross-account access · Workflow bypass · Replay testing
COVERAGE
87%Protected surface
APPLICATIONS
Подключить приложение в пилоте ↗Подключённые приложения
Окружения, источники спецификаций и состояние последней проверки.
ПРОЕКТ / СТЕНДСВЯЗНОСТЬТЕСТОВЫЙ ДОСТУПAUTHСЛЕДУЮЩИЙ СКАНСОСТОЯНИЕ
Customer Webweb.atlas.demo · staging
DIRECT / PROXYДоступен / доступен
CREDENTIALSПроверены
LAST AUTHУспешно
SCHEDULEСегодня, 22:00
ГОТОВ К DASTPartner APIapi.atlas.demo/v2 · staging
DIRECT / PROXYДоступен / доступен
CREDENTIALSПолучены
LAST AUTHУспешно
SCHEDULEПт, 23:30
DAST В РАБОТЕOperations Backofficebackoffice.atlas.demo · test
DIRECT / PROXYДоступен / нет
CREDENTIALSНе требуются
LAST AUTHНет данных
SCHEDULEПосле готовности
НЕТ СВЯЗНОСТИGLSOURCE CONTROLGitLab connected
CONNECTEDРасписания, события pipeline и факты прохождения авторизации синхронизируются с реестром проектов.
APP-1042 · DEMO DATA
APPLICATION CARD
Customer Web
web.atlas.demo · staging · последний запуск #SR-0012
ГОТОВ К DAST
- Environment
- Staging
- Scope
- Web + REST API
- GitLab AppCode
- ATLAS-WEB-DEMO
- Schedule
- Daily · 22:00
- DefectDojo
- Connected
- Next scan
- Today · 22:00
✓FULL AUTH FLOWПройден полностью
Успешный вход подтверждён не только ответом формы: достигнут защищённый маршрут и сессия повторно использована сканерами.
✓Учётные данные принятыIdentity provider · success✓Callback завершёнRedirect chain · 4/4✓Сессия созданаSecure cookie · established✓Защищённая страница достигнутаGET /account/profile · 200✓Сессия передана сканерамZAP · Nuclei · Research
BUSINESS LOGIC TESTS
4 EXECUTEDПроверки последнего запуска
TESTSCENARIOOBSERVED BEHAVIORRESULTEVIDENCE
#BL-021Доступ к чужому заказуРоль Customer A получила 403 для объекта Customer BКОНТРОЛЬ РАБОТАЕТHTTP 403#BL-022Обход этапа подтвержденияПереход CREATED → PAYMENT принят без состояния APPROVEDНАРУШЕНИЕ ПОДТВЕРЖДЕНОHTTP 200 + state diff#BL-023Повторное применение купонаПовтор операции отклонён сервером как already_redeemedКОНТРОЛЬ РАБОТАЕТHTTP 409#BL-024Повышение роли через APIИзменение роли отклонено для обычного пользователяКОНТРОЛЬ РАБОТАЕТHTTP 403AUTHENTICATION INTELLIGENCE
Primary customer flow
Проверенный сценарий входа и состояние авторизованной поверхности приложения.
✓FLOW STATUSVerified and reusable
- TYPE
- SPA + OIDC
- SESSION TTL
- 45 min
- LAST VERIFIED
- 8 min ago
- COVERAGE
- 87%
01Open loginGET /auth/login200
↓02Submit identityOIDC authorization302
↓03Establish sessionSecure session cookieSET
↓04Verify protected routeGET /account/profile200
↓05Distribute sessionDAST · API · Research3/3
SCAN RUNS
Запустить на своей инфраструктуре ↗История проверок
Какие инструменты запускались, сколько работали, что успели проверить и где возникли ошибки.
#SR-0012Customer WebCustomer SSOZAPNUCLEIDALFOXKATANAHTTPX
42m 18s96%0COMPLETED#SR-0011Partner APIPartner OAuthHTTPXNUCLEIZAPDALFOX
18m 04s64%—RUNNING#SR-0010Customer WebCustomer SSONAABUHTTPXKATANAZAPNUCLEI
39m 51s93%2COMPLETED WITH WARNINGS#SR-0009Partner APIPartner OAuthHTTPXNUCLEIDALFOX
16m 22s88%0COMPLETEDCOMPLETE
COMPLETE
COMPLETE
COMPLETE
COMPLETE
COMPLETE
завершён выполняется завершён с предупреждением ожидает запуска
Ошибки инструмента показываются отдельно от подтверждённых уязвимостей и не увеличивают число находок.
BUSINESS LOGIC RESEARCH
PREVIEW / CONCEPTHypotheses → Tests → Evidence
Исследование пользовательских сценариев и нарушений бизнес-правил.
i
Развивающееся направление платформы. Этот экран показывает целевой процесс. Реализованные проверки и концептуальные возможности явно разделены.
ACCESS CONTROLCross-account order access
Проверить доступ роли Customer A к объекту Customer B.
TEST READYWORKFLOWApproval step bypass
Возможен переход к оплате до подтверждения заказа.
CONCEPTREPLAYRepeated coupon redemption
Повтор операции после успешного применения.
TEST READY#BT-042Object ownership substitution
Replay request with a foreign object identifier under the same role.
RUNNING#BT-041Transition sequence mutation
Skip state APPROVED before payment transition.
DESIGN#BT-039Operation replay
Repeat confirmed state-changing request.
COMPLETEDVERIFIED BEHAVIORCross-account response differs
GET /api/orders/1842 → 200
role: customer_a
owner: customer_bHTTP EVIDENCEEXPECTED CONTROLReplay rejected correctly
POST /api/coupon/redeem → 409
reason: already_redeemedCONTROL WORKSEXECUTED TESTS
Что система действительно проверила
#BL-021Cross-account accessЧужой объект недоступен · HTTP 403CONTROL WORKS#BL-022Workflow bypassПереход к оплате без APPROVED воспроизведёнVERIFIED ISSUE#BL-023Operation replayПовтор отклонён · HTTP 409CONTROL WORKS#BL-024Role escalationИзменение роли отклонено · HTTP 403CONTROL WORKSINTEGRATIONS
Обсудить интеграции ↗Результаты в системах заказчика
GUYVER остаётся слоем управления проверками, а задачи и события передаёт в существующий процесс AppSec.
finding_idGV-F-00281destinationDefectDojo / Atlas CommercepayloadFinding + request/response evidenceresultHTTP 201 · accepted