Mise sur liste blanche de domaines dans les scans mobiles
En mettant des domaines sur liste blanche, vous gardez un scan mobile dans son périmètre : seules les URL qui correspondent à vos expressions régulières sont testées, et les cibles hors périmètre ne sont pas touchées.
Cette vidéo explique comment créer un scan mobile avec des domaines sur liste blanche.
Allez sur report.ostorlab.co
1. Cliquez sur "New Scan"
Cliquez sur l'icône New Scan dans la barre supérieure.
2. Sélectionnez le type d'actif
Choisissez la provenance de l'application, par exemple PlayStore, AppStore, Android App ou iOS App (un fichier que vous importez), ou iOS TestFlight. Pour cet exemple, nous sélectionnerons PlayStore.
3. Sélectionnez l'application
Recherchez l'application par son nom ou son nom de package, choisissez-la dans les résultats, puis cliquez sur Continue. L'étape Extra Context qui suit est facultative ; cliquez de nouveau sur Continue pour la passer.
4. Choisissez un profil de scan
Sélectionnez un profil de scan, par exemple Full Scan, puis cliquez sur Continue.
5. Ajoutez des identifiants de test (facultatif)
Ajoutez des identifiants de test si l'application nécessite une connexion, ou cliquez sur Continue pour passer cette étape.
6. Indiquez les domaines à mettre sur liste blanche
Dans Advanced Settings, saisissez les domaines à tester dans le champ Scope URLs regexes. Chaque entrée est une expression régulière ; ajoutez-en une par ligne. Elles apparaissent sous Scope Filters dans le résumé Scan Settings, à droite.
Par exemple, pour ne tester que vulnbank.org et son API :
^https?://(www\.)?vulnbank\.org(/.*)?$
^https?://api\.vulnbank\.org(/.*)?$
7. Cliquez sur "Start scan"
Cliquez sur Start scan pour créer le scan. Les étapes restantes (Prompts, Custom Checks et Tags) sont facultatives.
8. Le scan est créé
La page du scan s'ouvre avec le message Scan created. Vous retrouverez ensuite le scan depuis l'icône Scans dans la barre supérieure.
9. Liste des scans
Le scan apparaît dans le tableau des scans. Il est d'abord mis en file d'attente, puis s'exécute.
Cette vidéo a montré comment créer un scan mobile avec des domaines sur liste blanche, afin que seules les cibles dans le périmètre soient testées.