Инструментальное доказательство уязвимостей без отправки разрушительных пакетов в сетевой сокет
Руководители служб безопасности нередко запрещают запускать активные сканеры на важных узлах, опасаясь случайного удаления таблиц или остановки рабочих сервисов. Программный фильтр решает эту задачу внутри самого испытателя, перехватывая любую разрушительную команду до того, как байты попадут в сетевой сокет.
При классических испытаниях на проникновение инженерам приходится выбирать между полнотой проверки и сохранностью работающих таблиц. Запуск боевых эксплойтов грозит удалением клиентских записей, порчей файловых разделов или отправкой ложных вызовов во внешние платёжные шлюзы, тогда как пассивный осмотр настроек пропускает ошибки разграничения доступа и внедрения кода.
Силовику и руководителю (без жаргона): Перехват «Transmit destructive SQL DDL, recursive filesystem deletion, or out-of-scope HTTP 302 redirect to live socket» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма ГОСТ Р 56939-2024 §5.8; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61 | Фильтр SEC-ZD-IB30-03 | Свидетель e703d948a15c2f83
Технократу, CTO и VC (математика): Инвариант Z3 (assert (=> (is_destructive_mutation probe_ast) (and (= (p... | FP = 0,0% | Правило IMMUNE-IB30-E703D948 (mcp-sentinel 1.1.2)1. Схема контроля и доказательства для IB30-ZHS-03
Инструментальный цикл проверки по разделу IB30-ZHS-03 (Security 3.0 Axiom III / SafeActionSandbox, In-Path Wire Interceptor): сверка инварианта правилом SEC-ZD-IB30-03 до сетевого сокета, фиксация свидетеля e703d948a15c2f83 и выпуск контракта IMMUNE-IB30-E703D948 для шлюза mcp-sentinel.
2. Математическое обоснование и инвариант решателя для IB30-ZHS-03
Комплекс INDRA снимает это противоречие за счёт трёхступенчатого программного фильтра в пути запроса (zero_damage_sandbox.py) по правилу SEC-ZD-IB30-03. До обращения к сетевому сокету операционной системы каждый проверочный пакет проходит сверку целевого адреса в модуле ScopeGuard, пошаговый контроль всех перенаправлений с кодами 301, 302, 307 и 308 в ScopedRedirectHandler и синтаксический разбор, отсекающий удаление таблиц и модификацию файлов.
Одновременно проверки на исчерпание памяти и бюджетов (DOS-RSRC и AI-DOW-10) вынесены в изолированный режим LAB_ONLY, чтобы штатный обход AUTO_SCAN не создавал нагрузки на процессор. В тестах целостности test_sandbox_integrity.py (26 из 26 опасных мутаций) и в Воротах B (7 из 7 разрушительных проб) ни один опасный пакет не покинул процесс испытателя, что зафиксировано свидетелем e703d948a15c2f83.
Код раздела: IB30-ZHS-03 (zero_harm_pentest_sandbox)
Аксиома и матрица: Security 3.0 Axiom III / SafeActionSandbox | In-Path Wire Interceptor
Нормативная привязка: ГОСТ Р 56939-2024 §5.8; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61
Режим верификации: Детерминированная проверка (AUTO_SCAN)
Проверочный вызов: POST /api/v1/sandbox/inspect {"probe":"DROP TABLE accounts; rm -rf /var/lib/pg; 302 -> https://external-sink.org","target":"localhost:8888"}
Предотвращённый ущерб: Transmit destructive SQL DDL, recursive filesystem deletion, or out-of-scope HTTP 302 redirect to live socket
Инвариант решателя Z3: (assert (=> (is_destructive_mutation probe_ast) (and (= (packets_sent_to_socket probe_ast) 0) (= (verdict probe_ast) BLOCKED_IN_PATH))))
Правило верификатора: SEC-ZD-IB30-03
Хэш свидетеля: e703d948a15c2f83
Скомпилированный фильтр: IMMUNE-IB30-E703D948 (mcp-sentinel 1.1.2)3. Применение контракта IMMUNE-IB30-E703D948 в шлюзе mcp-sentinel и квитанция ГОСТ Р 34.11-2012
На основании свидетеля e703d948a15c2f83 компилятор в автоматическом режиме формирует контракт IMMUNE-IB30-E703D948 для перехватчика mcp-sentinel. Сформированное правило удерживает границы полигона и блокирует разрушительные команды как при тестировании, так и в промышленной эксплуатации.
4. Инженерные разъяснения по разделу IB30-ZHS-03
Отличие программного фильтра в пути трафика от восстановления базы из резервной копии
Резервная копия позволяет лишь устранить последствия уже случившегося сбоя после простоя системы, тогда как фильтр в пути трафика физически не выпускает разрушительную команду в сетевой интерфейс.
Защита от увода проверочного трафика на сторонние домены через перенаправления
Перехватчик перенаправлений разбирает заголовок адреса на каждом промежуточном шаге и мгновенно разрывает соединение с генерацией исключения при попытке выхода за пределы белого списка стенда.