Alcance y salvaguardas

​

Qué controla el alcance

• dominios principales y URL de la aplicación
• dominios o rutas adicionales permitidos que forman parte del mismo objetivo
• sistemas dentro del alcance que los agentes deben incluir
• sistemas fuera del alcance que los agentes deben excluir
• valores importantes de inquilino, espacio de trabajo, cuenta o entorno
• contexto de autenticación y límites de rol de las credenciales

​

Patrones de alcance comunes

​

Tipos de salvaguardas

• Rate Limiting controla el ritmo de las solicitudes del agente con los modos Auto, Aggressive, Reduced y Extreme Stealth.
• Scope almacena entradas Include y Exclude para dominios, IP, CIDR, rutas u otros límites de prueba.
• Rules almacena restricciones adicionales para el comportamiento del agente.
• Custom Values almacena el contexto específico del objetivo que los agentes deben conocer durante las pruebas.

​

Configurar el alcance

1. Abre Target Inventory.
2. Selecciona el objetivo.
3. Abre la pestaña Guardrails.
4. Configura Rate Limiting si el ritmo automático predeterminado no es adecuado.
5. Agrega entradas Include para los sistemas que los agentes deben probar.
6. Agrega entradas Exclude para los sistemas que los agentes deben evitar.
7. Agrega Rules para restricciones de comportamiento, como evitar acciones destructivas.
8. Agrega Custom Values para contexto como tenant_slug, workspace_id, organization_id o environment.
9. Guarda los cambios antes de iniciar una evaluación o un Agent.

​

Ejemplos

​

Aplicación SaaS con inquilinos

Target: https://app.example.com
Login route: https://app.example.com/login
Tenant slug: acme-security
Include: /dashboard, /settings, /api
Exclude: /billing, /admin/delete-account
Rule: Do not trigger production emails or payment flows.

​

Flujo de inicio de sesión con varios dominios

Target: https://app.example.com
Login starts at: https://login.example.com
Include domains: app.example.com, login.example.com
Expected post-login page: https://app.example.com/dashboard

​

Antes del lanzamiento

• el objetivo está verificado
• las credenciales almacenadas son cuentas de prueba dedicadas
• las instrucciones de inicio de sesión incluyen cada redirección y cada paso intermedio obligatorio
• las entradas Include y Exclude están actualizadas
• las reglas de comportamiento cubren los flujos sensibles
• la lista de permitidos del WAF está completa si tu infraestructura filtra el tráfico automatizado