Lliurament d’accés per a proves de seguretat: abast, comptes i revocació
Un provador que demana credencials VPN necessita un lliurament amb abast definit, no un inici de sessió de recanvi. Valideu l’autorització, anomeneu els objectius, emeteu comptes i després revoqueu.
Un provador demana una adreça de passarel·la, detalls de DNS intern i credencials VPN, i la sol·licitud us arriba amb l’assumpte «cal accés». La sol·licitud per si sola no us diu si és una avaluació interna, una prova d’aplicació autenticada o un encàrrec sobre un lloc web públic on algú ha entès malament l’abast. Executeu el lliurament com una seqüència amb una porta a cada pas i atureu-vos a la primera porta que no s’obri. Això converteix una sol·licitud vaga en una cosa que podeu autoritzar, lliurar i després revocar.
Comenceu per l’autorització, no per les credencials
Abans que cap adreça surti de la vostra bústia, establiu qui posseeix els objectius i qui pot aprovar proves sobre ells. Verifiqueu el provador mitjançant el contacte d’encàrrec que la vostra organització ja utilitza, no mitjançant la persona que ha reenviat el correu. Una relació amb un client no és permís per provar tots els sistemes accessibles des d’un compte, i una ordre de compra no és un document d’abast.
Escriviu l’objectiu aprovat en una frase i manteniu-la al costat del lliurament. «Avalueu l’autenticació del portal del client» i «avaluable la xarxa interna» porten a paquets completament diferents, i la diferència s’ha de resoldre abans del proveïment, no després que arribi una troballa. La frase també us dona una cosa a assenyalar quan la sol·licitud creix enmig de l’encàrrec.
Si hi ha un proveïdor d’allotjament o una altra tercera part en el camí, els seus requisits van abans que la vostra comoditat. Provar la infraestructura d’algú altre sense el seu permís és un problema diferent de provar l’aplicació que hi corre.
Anomeneu el punt de vista i els objectius
El punt de vista és la pregunta que l’avaluació intenta respondre, i determina el paquet d’accés més que qualsevol eina que el provador pensi utilitzar. Una prova pública no autenticada necessita una URL i una finestra temporal. Una prova autenticada necessita comptes dedicats per als rols concrets dins l’abast, i una avaluació interna necessita un punt d’entrada definit amb rangs d’objectius explícits.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
On entra un túnel no és el mateix fet que quina aplicació hi ha al darrere, i sens dubte no autoritza sondejar el punt d’entrada. Digueu-ho explícitament al lliurament, perquè la frase «em vas donar accés a aquella subxarxa» arriba de pressa quan es discuteix una troballa. Una llista escrita d’objectius és l’única cosa que ho resol després.
Doneu el nom d’amfitrió TLS al costat de la URL. Una adreça IP nua obliga el provador a endevinar el nom, i un nom endevinat produeix errors de certificat que es reporten com a troballes en lloc d’un error de lliurament.
Emeteu identitats dedicades amb una caducitat
Proveïu comptes que només existeixin per a aquest encàrrec; no presteu l’inici de sessió diari d’un empleat. Fixeu la connectivitat de xarxa i els permisos de l’aplicació a les tasques acordades, organitzeu l’enrolament d’autenticació per una via suportada i adjunteu una data de caducitat amb una persona nomenada responsable de la revocació. Lliureu les credencials per un canal segur acordat, per separat del document d’abast que es reenvia pertot arreu.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Registreu qui va rebre què i quan. Aquest registre és la diferència entre un lliurament controlat i una contrasenya compartida que ningú pot rastrejar, i és la primera cosa que tothom demana després d’un incident. Guardeu-lo amb el document d’abast en lloc d’un fil de xat, i anoteu el canal de lliurament al costat del destinatari. Una línia amb marca horària guanya sempre a un record.
El camp de caducitat és una última barrera, no el pla. Algú encara ha de retirar el camí de xarxa i el rol de l’aplicació al final, perquè un inici de sessió caducat en una xarxa encara accessible no és accés revocat.
Demostreu que el lliurament funciona abans que s’obri la finestra
Feu el primer salt del provador vosaltres mateixos, des d’una posició tan propera com pugueu a la seva. Resoleu el nom, comproveu la identitat del certificat i confirmeu que el camí arriba a l’adreça prevista i no a una de veïna.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Si el camí no pot arribar a un objectiu, atureu-vos i reconcilieu el lliurament en lloc de deixar que el provador descobreixi una ruta alternativa. L’accessibilitat improvisada és com una avaluació s’estén silenciosament més enllà del seu abast, i gairebé mai no es documenta després.
Envieu el contacte operatiu, les hores permeses, les accions excloses i les condicions d’aturada amb les credencials. Un provador que no pot contactar amb ningú a les 02:00 prendrà una decisió que no heu autoritzat, i aquesta decisió es descriurà a l’informe com si fos dins l’abast.
NIST SP 800-115 emmarca una avaluació tècnica com a proves planificades seguides d’anàlisi i mitigació, que és la forma que segueix aquest lliurament. Les portes anteriors són decisions editorials de disseny per a un enginyer de suport, no una llista de verificació citada d’aquella publicació.
Tanqueu l’encàrrec retirant l’accés
Revogueu en l’ordre invers al proveïment: rols de l’aplicació, després accés de xarxa, i finalment la identitat mateixa. Confirmeu cada pas en lloc de suposar que la consola ha fet el que el botó prometia. Bloquegeu el compte abans de matar les seves sessions, o la sessió simplement es reautenticarà pel camí antic. Després comproveu les connexions establertes una vegada més abans de donar-ho per tancat.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Resoleu les dades de prova retingudes i després seguiu la remediació pel procés d’informes que vau acordar al començament. L’informe ha d’indicar l’entorn, el nivell d’accés, l’abast i les limitacions, perquè registra troballes d’una avaluació i no és una declaració permanent que el lloc sigui segur.
Guardeu el registre de revocació amb el registre del lliurament. Quan s’obri el proper encàrrec, voleu saber exactament què es va retirar l’última vegada i qui ho va signar, en lloc de reconstruir la imatge de memòria.