آزمون امنیت زمانی مفید است که خطا را آشکار کند و خودش اطلاعات خصوصی را در معرض خطر نگذارد. داده ساختگی باید همان ساختار مهم مسئله واقعی را داشته باشد، اما به فرد، حساب یا سند واقعی وصل نشود. تعویض نام در یک پرونده واقعی همیشه ناشناس‌سازی کافی نیست.
روش اجرا و تصمیم‌گیری
ابتدا کنترل موردنظر را بنویسید: پنهان‌ماندن راز، رد دسترسی غیرمجاز، جلوگیری از اقدام بدون تأیید یا حذف داده از لاگ. بعد یک نمونه کوچک بسازید که فقط همان کنترل را هدف بگیرد. نشانه آزمون باید واضح و بی‌مصرف باشد؛ برای مثال عبارت «راز ساختگی آزمایش الف» به جای توکن واقعی سرویس.
در کنار ورودی دشوار، ورودی سالم هم قرار دهید. اگر همه درخواست‌ها رد شوند، ممکن است کنترل ظاهراً موفق ولی سرویس بی‌فایده باشد. برای هر مورد، انتظار دقیق بنویسید: کدام بخش پاسخ مجاز است، کدام اطلاعات نباید دیده شوند و آیا ابزار باید اجرا شود. به جای درخواست‌های مخرب علیه سایت عمومی، از ابزار بی‌اثر و محیط بسته استفاده کنید.
مجموعه آزمون را نسخه‌گذاری کنید. تغییر یک نشانه یا انتظار باید در گزارش معلوم باشد، چون مقایسه نتیجه دو نسخه برنامه با آزمون‌های متفاوت گمراه‌کننده است. پیش از اشتراک فایل با بازبین، خود فایل را برای نام، نشانی، شماره و فراداده واقعی کنترل کنید.
نمونهٔ ساختگی و قابل تکرار
فرض کنید قرار است کنترل مجوز تغییر نشانی تحویل آزمایش شود. مشتری ساختگی، سفارش بی‌اثر و ابزار آزمایشی آماده می‌شوند. مورد اول کاربر مجاز با تأیید نهایی است و انتظار ثبت تغییر در محیط نمونه است. مورد دوم همان متن با کاربر فاقد مجوز است و انتظار عدم اجراست. مورد سوم درخواست ناقص دارد و باید سؤال تکمیلی بگیرد. به این ترتیب رد درخواست غیرمجاز با ناتوانی عمومی ابزار اشتباه گرفته نمی‌شود. هیچ سفارش واقعی یا نشانی حقیقی برای این آزمایش لازم نیست.
محدودیت‌ها و خطاهای رایج
داده مصنوعی ممکن است همه تنوع زبان، فایل و رفتار واقعی را پوشش ندهد. پس از آزمون پایه، نمونه‌های واقعی فقط با مجوز، حداقل‌سازی و حفاظت مناسب بررسی شوند. نمره موفق یک مجموعه محدود را به امنیت کامل محصول یا مقاومت در برابر تمام حمله‌ها تعمیم ندهید.
کنترل پیش از استفاده
| کنترل | معیار پذیرش |
|---|---|
| بی‌خطر بودن | نشانه‌ها به حساب، شخص یا ابزار واقعی متصل نباشند. |
| معناداری | برای هر مورد، خروجی مجاز و رفتار ممنوع از قبل نوشته شوند. |
| مقایسه | نسخه فایل آزمون و نسخه برنامه کنار نتیجه ثبت باشند. |
کاربرگ همراه
این فایل فهرست مورد آزمون است. ستون انتظار ابزار را پیش از اجرا پر کنید و نتیجه واقعی را در یک ستون تازه نگه دارید. از قرار دادن متن بهره‌برداری یا شناسه سامانه عمومی در این قالب آموزشی خودداری کنید.
دریافت کاربرگ CSV این راهنما — داده‌های داخل فایل نمونهٔ ساختگی‌اند. نسخهٔ اصلی را نگه دارید و برای آزمون خودتان یک کپی بسازید.
منبع و ادامهٔ کار
OWASP: کنترل مجوز؛ NIST: مدیریت ریسک هوش مصنوعی. تاریخ بررسی منابع: ۱ نوامبر ۲۰۲۶.
اگر کاربرد شما پاسخ‌گویی به مشتری است، مسیر مرتبط اپرا را ببینید و مسئله و محدودیت‌های همین کاربرگ را برای بررسی در دمو همراه داشته باشید.