V-Standard 2026.3

Поддерживаемые версии протокола и наборы шифров, цепочка сертификата, срок действия, сведения об отзыве, стойкость ключа и известные слабости TLS на каждой публичной точке в области проверки.

Запросы по HTTP перенаправляются на HTTPS, HSTS присутствует с достаточным сроком, и никакой контент в области проверки не отдаётся по незашифрованному каналу.

Авторитативные серверы, DNSSEC там, где применимо, «висящие» записи, допускающие захват поддомена, открытые зонные передачи и соответствие публичных записей ожидаемым.

Аутентификация отправителя для доменов продукта: синтаксис и охват SPF, подпись DKIM, политика и отчёты DMARC, MTA-STS при наличии.

Content-Security-Policy, защита от встраивания во фреймы, запрет угадывания типа контента, политика referrer, permissions policy и директивы кеширования на чувствительных ответах.

Инвентаризация сервисов, слушающих на публичном периметре, неожиданные порты управления, базы данных и брокеры сообщений, доступные из интернета.

Обнаруженные серверные программы, фреймворки и компоненты периметра сопоставляются с опубликованными записями об уязвимостях (CVE/NVD, CISA KEV, бюллетени производителей).

Панели администрирования, мониторинга и консоли управления, доступные из интернета; заводские или стандартные учётные данные на любом таком интерфейсе.

Баннеры версий, листинги каталогов, отладочные точки, папки систем контроля версий, файлы окружения, резервные копии и трассировки стека, доступные на периметре.

Атрибуты Secure, HttpOnly и SameSite на сессионных и чувствительных cookie, их область и время жизни.

Открытые перенаправления, небезопасные пути понижения протокола и ресурсы смешанного контента на страницах области проверки.

Опубликованный способ сообщить об уязвимости (security.txt или эквивалент), который доходит до ответственного лица и получает ответ.

Политика учётных данных, доступность многофакторной аутентификации, защита от перебора и подстановки утёкших паролей, безопасная обработка неудачных входов и перечисления пользователей.

Генерация идентификаторов сессии, ротация при смене привилегий, истечение, отзыв при выходе и обработка параллельных сессий.

Соблюдение ролевой модели на каждой функции и объекте: горизонтальное и вертикальное повышение привилегий, небезопасные прямые ссылки на объекты, массовое присваивание.

Разделение данных между организациями или аккаунтами в мультитенантном продукте: запросы, хранилище, кеши, фоновые задания и выгрузки.

Классы серверных инъекций — SQL, NoSQL, команды, шаблоны, обход пути, подделка серверных запросов, внешние сущности XML — на точках области проверки.

Межсайтовый скриптинг (отражённый, хранимый, DOM), подделка межсайтовых запросов, clickjacking и небезопасное клиентское хранилище.

Обработка токенов, ротация ключей, авторизация на уровне объектов и свойств для ресурсов API, контроль доступа на уровне функций.

Недокументированные и устаревшие точки, отладочные и внутренние API, доступные снаружи, избыточная выдача данных в ответах.

Лимиты на аутентификацию, рассылки, выгрузки и другие ресурсоёмкие операции; защита от автоматизированных злоупотреблений.

Проверка типа, лимиты размера, место хранения, запрет исполнения и безопасная обработка загруженного содержимого.

Ответы об ошибках не раскрывают внутренности; журналы не содержат секретов и избыточных персональных данных; сбои фиксируются.

Обход рабочего процесса, манипуляции ценой и количеством, повтор одноразовых действий и состояния гонки в ключевых сценариях области проверки.

Сброс пароля, смена email и восстановление аккаунта: стойкость токена, срок действия, одноразовость и защита от захвата.

Проверка подписи webhook, потоки OAuth, валидация callback-адресов и минимальные полномочия для подключённых сервисов.

Анализ состава ПО: прямые и транзитивные зависимости сопоставляются с опубликованными записями об уязвимостях; неподдерживаемые и снятые с поддержки компоненты.

Учётные данные, токены, ключи и сертификаты в дереве репозитория, истории коммитов, конфигурации сборки и слоях контейнеров.

Анализ исходного кода по правилам: инъекции, небезопасная десериализация, ошибки применения криптографии, небезопасные значения по умолчанию и опасные функции — с ручным разбором находок.

Машиночитаемый SBOM (CycloneDX или SPDX) существует, соответствует развёрнутой сборке и воспроизводится конвейером.

Права конвейера, обращение с секретами в заданиях, сторонние actions и образы, подпись артефактов и разделение учётных данных сборки и развёртывания.

Lock-файлы, фиксация версий, хеши целостности и контролируемые реестры для пакетов, базовых образов и инструментов сборки.

Актуальность базового образа, уязвимые пакеты, секреты в слоях, запуск от root и лишние capabilities.

Защищённые основные ветки, обязательное ревью, подписанные коммиты или подтверждённое авторство, запрет force-push.

Воспроизводимые или аттестованные сборки, подписи артефактов и их проверка перед развёртыванием.

Корневые и административные учётные записи, обязательная MFA, охват ролей, долгоживущие ключи и межаккаунтное доверие в облачных аккаунтах области проверки.

Объектные хранилища, снимки, базы данных и файловые ресурсы, доступные без аутентификации или с избыточными политиками.

Группы безопасности, сетевые ACL, приватные подсети для хранилищ данных, доступ через bastion и ограничения горизонтального трафика.

Централизованное хранение секретов, ротация, аудит доступа и отсутствие секретов в файлах конфигурации, образах и дампах окружения.

Определённый ритм обновлений, отслеживание опубликованных уязвимостей для используемого стека и подтверждение, что критические исправления применяются в заявленный срок.

Значимые для безопасности события журналируются централизованно с хранением, оповещения об аномалиях аутентификации и административных действиях, защита журналов от подмены.

Охват продуктивных данных резервными копиями, их шифрование, копии вне площадки, тесты восстановления и целевое время восстановления.

Конфигурация ОС и сервисов по задокументированному базовому профилю, отключённые лишние сервисы, ограниченный административный доступ.

Шифрование баз данных, объектных хранилищ, резервных копий и дисков с данными клиентов; алгоритмы и владение ключами.

Шифрование внутреннего трафика между сервисами, подключений к базам данных и административных каналов, а не только публичного края.

Генерация, хранение, ротация, разделение обязанностей и отзыв криптографических ключей и материалов для подписи.

Периодический пересмотр того, у кого есть доступ к продакшену, своевременное отключение при смене роли или уходе, инвентаризация административных учётных записей.

Письменный план с ролями, контактами, определениями серьёзности, правилами уведомления клиентов и подтверждением хотя бы одного учения или разбора реального инцидента.

Приём внешних сообщений, разбор, назначение серьёзности, сроки устранения и обратная связь сообщившему.

Изменения продакшена проходят ревью, тестирование, утверждение и могут быть откачены; экстренные изменения фиксируются.

Инвентаризация субпроцессоров и критичных поставщиков, их доступы, договорные обязательства по безопасности и периодический пересмотр.

Определённые сроки хранения, работающее удаление по запросу клиента, удаление из резервных копий в заявленный срок.

Прямые и косвенные инъекции через пользовательский ввод, извлечённые документы и результаты инструментов; разделение инструкций и данных.

Каждое действие агента привязано к правам пользователя, от имени которого он действует, с подтверждением необратимых операций.

Вывод модели считается недоверенным: отрисовка, исполнение кода, доступ к файлам и сети ограничены.

Системные промпты, данные других пользователей и секреты невозможно извлечь через модель; контекст ограничен пользователем.

Источники извлечения соблюдают права запрашивающего пользователя; данные обучения и дообучения управляются и не содержат секретов клиентов.

Происхождение моделей, весов, промптов и плагинов; фиксация версий и ревью изменений.

Лимиты на токены, вызовы инструментов и стоимость на пользователя; выявление автоматизированных злоупотреблений.

Действия агента журналируются и атрибутируются; действия с высоким влиянием проходят контрольную точку человека; пользователь видит, что было сделано от его имени.