Təhlükəsizlik testinə girişin təhvil verilməsi: əhatə dairəsi, hesablar və ləğv

Tester şlüz ünvanı, daxili DNS detalları və VPN məlumatları istəyir və sorğu sizə “giriş lazımdır” mövzusu ilə yönləndirilir. Sorğunun özü bunun daxili qiymətləndirmə, autentifikasiyalı tətbiq testi, yoxsa əhatəni səhv başa düşən kimsənin iştirak etdiyi açıq veb-sayt işi olduğunu demir. Təhvili hər addımda bir qapı olan ardıcıllıq kimi icra edin və açılmayan ilk qapıda dayanın. Bu, qeyri-müəyyən sorğunu səlahiyyət verə, təqdim edə və sonra ləğv edə biləcəyiniz bir şeyə çevirir.

Məlumatlarla deyil, səlahiyyətlə başlayın

Hər hansı ünvan poçt qutunuzdan çıxmazdan əvvəl hədəflərin kimə məxsus olduğunu və onlar üzərində testə kimin icazə verə biləcəyini müəyyənləşdirin. Testeri təşkilatınızın artıq istifadə etdiyi əlaqə şəxsi vasitəsilə yoxlayın, e-poçtu yönləndirən şəxs vasitəsilə deyil. Müştəri münasibəti hesabdan əlçatan hər sistemi test etmək icazəsi deyil, satınalma sifarişi isə əhatə sənədi deyil.

Təsdiqlənmiş məqsədi bir cümlə ilə yazın və təhvilin yanında saxlayın. “Müştəri portalının autentifikasiyasını qiymətləndir” və “daxili şəbəkəni qiymətləndir” tamamilə fərqli paketlərə aparır və fərq nəticə gəlməzdən əvvəl, təchizatdan əvvəl həll olunmalıdır. Cümlə həm də sorğu işin ortasında böyüdükdə işarə edə biləcəyiniz bir şey verir.

Əgər yolda hostinq provayderi və ya başqa üçüncü tərəf varsa, onların tələbləri sizin rahatlığınızdan əvvəl gəlir. Başqasının infrastrukturunu icazəsiz test etmək, onun üzərində işləyən tətbiqi test etməkdən ayrı bir problemdir.

Baxış nöqtəsini və hədəfləri adlandırın

Baxış nöqtəsi qiymətləndirmənin cavablandırmağa çalışdığı sualdır və giriş paketini testerin istifadə etməyi planlaşdırdığı hər hansı alətdən daha çox müəyyən edir. Açıq autentifikasiyasız test URL və vaxt pəncərəsi tələb edir. Autentifikasiyalı test əhatədəki konkret rollar üçün ayrılmış hesablar tələb edir, daxili qiymətləndirmə isə açıq hədəf diapazonları olan müəyyən giriş nöqtəsi tələb edir.

Tunelin haradan girdiyi, onun arxasında hansı tətbiqin durduğu ilə eyni fakt deyil və giriş nöqtəsini yoxlamağa qətiyyən icazə vermir. Bunu təhvildə açıq deyin, çünki “mənə o alt şəbəkəyə giriş verdin” cümləsi nəticə mübahisə olunan kimi tez gəlir. Yazılı hədəf siyahısı bunu sonradan həll edən yeganə şeydir.

URL ilə birlikdə TLS host adını verin. Sadəcə IP ünvanı testeri adı təxmin etməyə məcbur edir, təxmin edilən ad isə təhvil səhvi kimi deyil, tapıntı kimi bildirilən sertifikat xətaları yaradır.

Bitiş tarixi olan ayrılmış şəxsiyyətlər yaradın

Yalnız bu iş üçün mövcud olan hesablar təchiz edin; işçinin gündəlik girişini borc verməyin. Şəbəkə əlçatanlığını və tətbiq icazələrini razılaşdırılmış tapşırıqlara uyğun qurun, autentifikasiya qeydiyyatını dəstəklənən yol ilə təşkil edin və ləğv üçün məsul şəxsin adı ilə bitiş tarixi əlavə edin. Məlumatları razılaşdırılmış təhlükəsiz kanal ilə, ətrafa yönləndirilən əhatə sənədindən ayrı şəkildə təqdim edin.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Kimin nəyi və nə vaxt aldığını qeyd edin. Bu qeyd nəzarətli təhvil ilə izləyə heç kimin bacarmadığı ortaq parol arasındakı fərqdir və hadisədən sonra hər kəsin ilk soruşduğu şeydir. Onu söhbət zəncirində deyil, əhatə sənədi ilə birlikdə saxlayın və çatdırılma kanalını alanın yanında qeyd edin. Vaxt möhürü olan sətir hər dəfə yaddaşdan üstündür.

Bitiş sahəsi son dayaqdır, plan deyil. Sonda kimsə hələ də şəbəkə yolunu və tətbiq rolunu silməlidir, çünki hələ əlçatan şəbəkədə bitmiş giriş ləğv edilmiş giriş deyil.

Pəncərə açılmazdan əvvəl təhvilin işlədiyini sübut edin

Testerin ilk atlamasını özünüz icra edin, ona mümkün qədər yaxın mövqedən. Adı həll edin, sertifikat kimliyini yoxlayın və yolun qonşu ünvana deyil, nəzərdə tutulan ünvana çatdığını təsdiqləyin.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Yol hədəfə çata bilmirsə, dayanın və təhvili uyğunlaşdırın, testerin alternativ marşrut kəşf etməsinə imkan verməyin. Tədbirsiz əlçatanlıq qiymətləndirmənin əhatəsindən səssizcə kənara çıxmasının yoludur və sonradan demək olar ki, heç vaxt sənədləşdirilmir.

Əməliyyat əlaqə şəxsini, icazə verilən saatları, istisna edilən hərəkətləri və dayanma şərtlərini məlumatlarla birlikdə göndərin. 02:00-da heç kimə çata bilməyən tester sizin səlahiyyət vermədiyiniz qərar verəcək və o qərar hesabatda əhatə daxilindəymiş kimi təsvir olunacaq.

NIST SP 800-115 texniki qiymətləndirməni planlı test, ardınca təhlil və azaltma kimi təsvir edir; bu təhvil də bu formanı izləyir. Yuxarıdakı qapılar dəstək mühəndisi üçün redaksiya dizayn seçimləridir, o nəşrdən götürülmüş yoxlama siyahısı deyil.

İşi girişi silməklə bağlayın

Ləğvi təchizatın tərs qaydasında edin: tətbiq rolları, sonra şəbəkə girişi, sonra şəxsiyyətin özü. Hər addımı təsdiqləyin, konsolun düymənin vəd etdiyini etdiyini güman etməyin. Sessiyaları öldürməzdən əvvəl hesabı kilidləyin, əks halda sessiya sadəcə köhnə yol ilə yenidən autentifikasiya olunur. Sonra bağlandığını elan etməzdən əvvəl qurulmuş bağlantıları bir daha yoxlayın.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Saxlanılan test məlumatlarını yekunlaşdırın, sonra düzəltməni əvvəldə razılaşdığınız hesabat prosesi ilə izləyin. Hesabat mühiti, giriş səviyyəsini, əhatəni və məhdudiyyətləri göstərməlidir, çünki o bir qiymətləndirmənin nəticələrini qeyd edir və saytın təhlükəsiz olması barədə daimi bəyanat deyil.

Ləğv qeydini təhvil qeydi ilə birlikdə saxlayın. Növbəti iş açılanda keçən dəfə nəyin silindiyini və kimin təsdiqlədiyini dəqiq bilmək istəyirsiniz, mənzərəni yaddaşdan bərpa etmək deyil.