Перадача доступу для тэсціравання бяспекі: аб’ём, уліковыя запісы і адкліканне
Тэсціроўшчыку, які просіць уліковыя даныя VPN, патрэбна перадача з вызначаным аб’ёмам, а не запасны лагін. Прапусціце аўтарызацыю праз браму, назвіце мэты, выдайце ўліковыя запісы, а потым адклічце.
Тэсціроўшчык просіць адрас шлюза, звесткі пра ўнутраную DNS і ўліковыя даныя VPN, і запыт перасылаюць вам з тэмай «патрэбны доступ». Сам запыт не паведамляе, ці гэта ўнутраная ацэнка, тэст праграмы з аўтэнтыфікацыяй ці праца над публічным сайтам, дзе нехта няправільна зразумеў аб’ём. Правядзіце перадачу як паслядоўнасць з брамай на кожным кроку і спыніцеся на першай браме, якая не адкрываецца. Гэта ператварае расплывісты запыт у тое, што можна аўтарызаваць, выдаць і пазней адклікаць.
Пачніце з аўтарызацыі, а не з уліковых даных
Перш чым любы адрас пакіне вашу пошту, устанавіце, хто валодае мэтамі і каму дазволена ўхваляць на іх тэставанне. Праверце тэсціроўшчыка праз кантакт па праекце, які ваша арганізацыя ўжо выкарыстоўвае, а не праз чалавека, які пераслаў ліст. Адносіны з кліентам не даюць дазволу тэсціраваць кожную сістэму, дасяжную з уліковага запісу, а заказ на закупку не з’яўляецца дакументам аб аб’ёме.
Запішыце ўзгодненую мэту адным сказам і трымайце яе побач з перадачай. «Ацаніце аўтэнтыфікацыю кліенцкага партала» і «ацаніце ўнутраную сетку» вядуць да цалкам розных пакетаў, і розніцу трэба вырашыць да выдзялення рэсурсаў, а не пасля таго, як з’явіцца знаходка. Сказ таксама дае вам тое, на што можна паказаць, калі запыт павялічваецца пасярэдзіне працы.
Калі на шляху ёсць хостэр або іншы трэці бок, іх патрабаванні ідуць перад вашымі зручнасцямі. Тэставанне чужой інфраструктуры без іх дазволу — асобная праблема, не звязаная з тэставаннем праграмы, якая на ёй працуе.
Назвіце пункт гледжання і мэты
Пункт гледжання — гэта пытанне, на якое спрабуе адказаць ацэнка, і ён вызначае пакет доступу больш, чым любы інструмент, які плануе выкарыстаць тэсціроўшчык. Публічны тэст без аўтэнтыфікацыі патрабуе URL і акно часу. Тэст з аўтэнтыфікацыяй патрабуе вылучаных уліковых запісаў для пэўных роляў у аб’ёме, а ўнутраная ацэнка — пэўнай кропкі ўваходу з яснымі дыяпазонамі мэтаў.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Тое, дзе ўваходзіць тунель, — не той жа факт, што і праграма, якая стаіць за ім, і гэта аніяк не дае дазволу даследаваць кропку ўваходу. Скажыце гэта яўна ў перадачы, бо сказ «ты даў мне доступ да той падсеткі» прыходзіць хутка, як толькі знаходку пачынаюць аспрэчваць. Пісьмовы спіс мэтаў — адзінае, што ўладжвае гэта потым.
Дайце імя хоста TLS разам з URL. Голы IP-адрас прымушае тэсціроўшчыка згадваць імя, а згаданае імя стварае памылкі сертыфіката, якія паведамляюць як знаходкі, а не як памылку перадачы.
Выдайце вылучаныя ідэнтычнасці з тэрмінам дзеяння
Выдзеліце ўліковыя запісы, якія існуюць толькі для гэтай працы; не пазычайце штодзённы лагін супрацоўніка. Наладзьце сеткавую дасяжнасць і дазволы праграмы пад узгодненыя задачы, арганізуйце рэгістрацыю аўтэнтыфікацыі праз падтрымліваемы шлях і далучыце дату заканчэння з названай асобай, адказнай за адкліканне. Перадайце ўліковыя даныя праз узгоджаны бяспечны канал, асобна ад дакумента аб аб’ёме, які перасылаюць па крузе.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Запішыце, хто што атрымаў і калі. Гэты запіс — розніца паміж кантраляванай перадачай і агульным паролем, які ніхто не можа прасачыць, і гэта першае, што просяць пасля інцыдэнту. Трымайце яго разам з дакументам аб аб’ёме, а не ў пошце-ланцужку, і адзначце канал перадачы побач з атрымальнікам. Радок з адзнакай часу заўсёды лепш за ўспамін.
Поле тэрміну дзеяння — гэта апошняя страхоўка, а не план. Хтосьці ўсё яшчэ павінен прыбраць сеткавы шлях і ролю праграмы ў канцы, бо скончаны лагін у сетцы, якая ўсё яшчэ дасяжная, не азначае адкліканага доступу.
Дакажыце, што перадача працуе, перш чым адкрыецца акно
Прайдзіце першы крок тэсціроўшчыка самі, з як мага блізкай да яго пазіцыі. Развяжыце імя, праверце ідэнтычнасць сертыфіката і пацвердзіце, што шлях вядзе да патрэбнага адраса, а не да суседняга.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Калі шлях не можа дасягнуць мэты, спыніцеся і ўзгадніце перадачу, замест таго каб дазволіць тэсціроўшчыку знайсці альтэрнатыўны маршрут. Імправізаваная дасяжнасць — гэта тое, як ацэнка ціха выходзіць за межы аб’ёму, і гэта амаль ніколі не дакументуецца потым.
Дашліце аператыўны кантакт, дазволеныя гадзіны, выключаныя дзеянні і ўмовы спынення разам з уліковымі данымі. Тэсціроўшчык, які не можа ні да каго датэлефанавацца ў 02:00, прыме рашэнне, на якое вы не давалі дазволу, і гэта рашэнне апішуць у справаздачы так, нібы яно было ў аб’ёме.
NIST SP 800-115 апісвае тэхнічную ацэнку як планаванае тэставанне, за якім ідуць аналіз і памякчэнне, і менавіта гэтую форму мае гэтая перадача. Брамы вышэй — рэдакцыйныя рашэнні для інжынера падтрымкі, а не кантрольны спіс, цытаваны з той публікацыі.
Закрыйце працу, забраўшы доступ
Адклікайце ў адваротным парадку ад выдзялення: ролі праграмы, потым сеткавы доступ, потым сама ідэнтычнасць. Пацвярджайце кожны крок, а не мяркуйце, што кансоль зрабіла тое, што абяцала кнопка. Заблакуйце ўліковы запіс, перш чым забіваць яго сеансы, інакш сеанс проста паўторна аўтэнтыфікуецца па старым шляху. Потым яшчэ раз праверце ўсталяваныя злучэнні, перш чым назваць усё закрытым.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Уладзьце любыя пакінутыя тэставыя даныя, потым адсочвайце выпраўленне праз працэс справаздачнасці, узгоднены ў пачатку. Справаздача павінна называць асяроддзе, узровень доступу, аб’ём і абмежаванні, бо яна фіксуе знаходкі адной ацэнкі і не з’яўляецца пастаяннай заявай пра бяспеку сайта.
Трымайце запіс пра адкліканне разам з запісам пра перадачу. Калі адкрыецца наступная праца, вы хочаце дакладна ведаць, што было прыбрана ў мінулы раз і хто гэта зацвердзіў, а не аднаўляць карціну па памяці.