Engagement Manager

Engagement Manager आक्रामक सुरक्षा एंगेजमेंट्स को ट्रैक करने के लिए एक वेब एप्लिकेशन है। इसमें Next.js, Prisma, और PostgreSQL के साथ बनाया गया एक आधुनिक UI है। ऐप में एक कैलेंडर, एंगेजमेंट्स, क्लाइंट्स, कॉन्टैक्ट्स, फाइंडिंग्स, और ऑपरेटर्स शामिल हैं।

• Lee Baird @discoverscripts
• Jay "L1ghtn1ng" Townsend @jay_townsend1

स्क्रीनशॉट्स

विषय-सूची

• स्क्रीनशॉट्स
• फाइंडिंग्स लिखना और PDF रिपोर्ट तैयार करना
  • रिपोर्टिंग सुरक्षा और परिनियोजन
  • सत्यापन
• पूर्वापेक्षाएँ
• पर्यावरण कॉन्फ़िगरेशन
• डेटाबेस सेटअप
  • डेवलपमेंट
  • प्रोडक्शन
• इंस्टॉलेशन
  • स्वचालित सेटअप (Ubuntu)
    • हार्डन्ड सेटअप और बैकअप के लिए अपग्रेड नोट्स
  • मैनुअल सेटअप
• एप्लिकेशन चलाना
• प्रोडक्शन परिनियोजन
  • आवश्यकताएँ
  • परिनियोजन चरण
  • प्रोडक्शन चेकलिस्ट
• डिफ़ॉल्ट क्रेडेंशियल्स
• सर्वर माइग्रेशन (बैकअप / रिस्टोर / रीसेट)
• कार्यान्वयन योजना और आर्किटेक्चर
  • टेक्नोलॉजी स्टैक
  • डेटाबेस स्कीमा
  • नए फ़ील्ड जोड़ना
  • सुरक्षा आर्किटेक्चर

फाइंडिंग्स लिखना और PDF रिपोर्ट तैयार करना

• राइटिंग वर्कस्पेस: Markdown संपादन और सुरक्षित पूर्वावलोकन के लिए किसी फाइंडिंग के Write & review लिंक को खोलें। निजी ड्राफ़्ट 15 सेकंड की निष्क्रियता के बाद या मांग पर सहेजे जाते हैं; वे सर्वर पर संग्रहीत होते हैं, ब्राउज़र के लोकल स्टोरेज में नहीं। दोबारा खोलने के बाद किसी ड्राफ़्ट को स्पष्ट रूप से पुनर्प्राप्त करें। परस्पर विरोधी सेव एडिटर के टेक्स्ट को सुरक्षित रखती हैं और वर्तमान रिवीज़न के साथ तुलना की आवश्यकता होती है। टेक्स्ट रिवीज़न का निरीक्षण और पुनर्स्थापन किया जा सकता है; पुनर्स्थापन हटाए गए साक्ष्य को पुनर्स्थापित नहीं करता।
• पुन: प्रयोज्य टेम्पलेट्स: शीर्षक, श्रेणी या गंभीरता के आधार पर अनुमोदित शब्दावली खोजें। उपयोगकर्ता टेम्पलेट्स प्रस्तावित कर सकते हैं; प्रशासक उन्हें क्यूरेट और अनुमोदित करते हैं। किसी टेम्पलेट को लागू करने से खाली अवलोकनों, प्रभावित होस्ट्स और साक्ष्य के साथ एक स्वतंत्र एंगेजमेंट फाइंडिंग बनती है, जिससे किसी अन्य एंगेजमेंट के प्रमाण का आकस्मिक पुन: उपयोग रोका जाता है।
• साक्ष्य: अधिकतम चार PNG/JPEG छवियाँ एक साथ अपलोड या पेस्ट करें, कैप्शन जोड़ें, और राइटिंग वर्कस्पेस में कैप्शन/क्रम संपादित करें। छवियों को डिकोड किया जाता है, मेटाडेटा हटाया जाता है, अधिकतम 2000 × 2000 पिक्सेल तक आकार बदला जाता है, और PNG के रूप में सहेजा जाता है। यदि मूल बाइट्स या मेटाडेटा आवश्यक हो तो मूल फ़ॉरेंसिक साक्ष्य अलग से रखें।
• समीक्षा: पूर्ण फाइंडिंग्स को Draft/Changes Requested से Ready पर भेजें। वर्तमान लेखक के अलावा एक नियुक्त समीक्षक या प्रशासक अनुमोदन या परिवर्तन का अनुरोध कर सकता है। प्रशासक समीक्षक नियुक्त करते हैं। टेक्स्ट, साक्ष्य और पुनर्स्थापित-रिवीज़न परिवर्तन अनुमोदन को रद्द कर देते हैं। समीक्षा कतार, टिप्पणियाँ, तैयारी चेकलिस्ट और रिवीज़न इतिहास हैंड-ऑफ का समर्थन करते हैं।
• PDF रिपोर्ट्स: Reports में एक एंगेजमेंट चुनें, उसका कार्यकारी सारांश लिखें, फाइंडिंग्स चुनें/क्रमित करें और सेटिंग्स सहेजें। ड्राफ़्ट PDF स्पष्ट रूप से चिह्नित होते हैं। केवल प्रशासक ही अंतिम PDF जारी कर सकते हैं, और प्रत्येक चयनित फाइंडिंग अनुमोदित होनी चाहिए और तैयारी जाँच पास करनी चाहिए। प्रत्येक जारी किया गया संस्करण अपना PDF, स्पष्ट सामग्री स्नैपशॉट और SHA-256 डाइजेस्ट संग्रहीत करता है; बाद के संपादन इसे पुन: उत्पन्न नहीं करते। पैरेंट एंगेजमेंट को हटाने पर मौजूदा लाइफसाइकल के माध्यम से उसकी रिपोर्ट्स भी हट जाती हैं।
• स्कैनर इम्पोर्ट्स: किसी एक्सपोर्ट का पूर्वावलोकन करें, फाइंडिंग्स चुनें, फिर पुष्टि करें। इम्पोर्ट्स कभी स्कैन निष्पादित नहीं करते या लक्ष्यों से संपर्क नहीं करते। सर्वर-साइड फिंगरप्रिंटिंग उसी एंगेजमेंट में मेल खाती फाइंडिंग्स को छोड़ देती है; सभी नए रिकॉर्ड Draft के रूप में शुरू होते हैं और एक ऑपरेटर द्वारा जाँचे जाने चाहिए।

स्कैनर/एक्सपोर्ट परिवार	स्वीकृत एक्सपोर्ट
Burp Suite	Issues XML, जिसमें निष्क्रिय आंतरिक स्कीमा DTD भी शामिल है
Nessus / Tenable	Nessus v2 XML (.nessus)
Nmap	XML; खुले पोर्ट और उनका स्क्रिप्ट आउटपुट सूचनात्मक अवलोकन बनते हैं, अनुमानित भेद्यताएँ नहीं
OpenVAS / Greenbone	नेटिव XML रिपोर्ट या GMP get_reports_response
OWASP ZAP	साइट्स और अलर्ट्स के साथ पारंपरिक JSON रिपोर्ट
Nuclei	JSON Lines (-jsonl)
Qualys	स्कैन-परिणाम XML (SCAN/IP संरचना), अलग होस्ट-डिटेक्शन API प्रारूप नहीं
Semgrep / CodeQL और अन्य SARIF उत्पादक	SARIF JSON रन, नियम और परिणाम

एक्सपोर्ट्स प्रति इम्पोर्ट 2 MB और 500 फाइंडिंग्स तक सीमित हैं, प्रति-उपयोगकर्ता पूर्वावलोकन और पुष्टि दर सीमाओं के साथ। एप्लिकेशन कुल मिलाकर अधिकतम 10,000 फाइंडिंग्स और मैनुअल निर्माण, टेम्पलेट्स और स्कैनर इम्पोर्ट्स में एक एंगेजमेंट के लिए 500 स्वीकार करता है। वैश्विक Findings सूची प्रति पृष्ठ 100 पंक्तियाँ लोड करती है, और एंगेजमेंट/रिपोर्ट फाइंडिंग क्वेरीज़ उसी प्रति-एंगेजमेंट सीमा से सीमित हैं। अज्ञात लेआउट स्पष्ट रूप से विफल होते हैं बजाय चुपचाप एक सफल इम्पोर्ट के रूप में माने जाने के। स्कैनर गंभीरताएँ सुझाव हैं: अनुमोदन से पहले उनके संदर्भ की समीक्षा करें। संदर्भित URLs, HTML और एम्बेडेड रिमोट छवियाँ न तो फ़ेच की जाती हैं न निष्पादित की जाती हैं।

रिपोर्ट्स 1–100 फाइंडिंग्स, अधिकतम 100 साक्ष्य छवियाँ (प्रत्येक 5 MB, कुल इनपुट 20 MB), 500 पृष्ठ और 25 MB आउटपुट की अनुमति देती हैं। जारी करना प्रति एंगेजमेंट 50 संस्करणों और पूरे एप्लिकेशन में 1 GB जारी किए गए PDFs तक सीमित है। पूर्वावलोकन और जारी करने की प्रति-उपयोगकर्ता दर सीमाएँ हैं, और एक समय में प्रति एप्लिकेशन प्रक्रिया केवल एक PDF रेंडर स्वीकार किया जाता है। फाइंडिंग्स अधिकतम 1000 रिवीज़न और 500 टिप्पणियाँ बनाए रखती हैं; सीमा तक पहुँचने पर इतिहास को अधिलेखित किए बिना विफल हो जाता है। DejaVu फ़ॉन्ट्स और उनका पुनर्वितरण लाइसेंस assets/fonts में शामिल हैं; परिनियोजन को इन एसेट्स को बनाए रखना चाहिए (Next आउटपुट ट्रेसिंग उन्हें शामिल करती है)।

Next.js Server Actions साक्ष्य अपलोड के लिए एक ही 25mb बॉडी साइज़ सीमा (जो next.config.ts में सेट है) साझा करते हैं। लॉगिन प्रमाणीकरण या डेटाबेस कार्य से पहले 4 KB स्ट्रीमिंग सीमा के साथ एक समर्पित समान-मूल URL-एन्कोडेड रूट का उपयोग करता है।

रिपोर्टिंग सुरक्षा और परिनियोजन

यह मौजूदा साझा प्रमाणित वर्कस्पेस को संरक्षित रखता है, न कि एक नया प्रति-क्लाइंट टेनेंसी मॉडल। सभी नए पृष्ठ, क्रियाएँ और PDF डाउनलोड एक वर्तमान डेटाबेस-समर्थित सत्र की जाँच करते हैं। ड्राफ़्ट उनके स्वामी तक सीमित हैं; समीक्षा, टेम्पलेट अनुमोदन और जारी करने की अनुमतियाँ सर्वर-साइड लागू की जाती हैं। गोपनीय PDF प्रतिक्रियाएँ private/no-store हैं। अंतिम PDFs में केवल एक स्पष्ट रिपोर्ट फ़ील्ड allowlist होती है, कभी भी निजी ड्राफ़्ट, समीक्षा टिप्पणियाँ या असंबंधित एंगेजमेंट्स नहीं।