Trosglwyddo mynediad ar gyfer profion diogelwch: cwmpas, cyfrifon ac adalw

Mae profwr yn gofyn am gyfeiriad porth, manylion DNS mewnol a chymwysterau VPN, ac mae’r cais yn cael ei anfon ymlaen atoch gyda’r llinell bwnc «angen mynediad». Nid yw’r cais ar ei ben ei hun yn dweud wrthych ai asesiad mewnol yw hwn, prawf ar raglen â dilysiad, neu waith ar wefan gyhoeddus lle mae rhywun wedi camddeall y cwmpas. Cyflawnwch y trosglwyddo fel dilyniant â phorth ym mhob cam, a stopiwch wrth y porth cyntaf nad yw’n agor. Mae hynny’n troi cais annelwig yn rhywbeth y gallwch ei awdurdodi, ei ddanfon a’i adalw’n ddiweddarach.

Dechreuwch gyda’r awdurdodiad, nid y cymwysterau

Cyn i unrhyw gyfeiriad adael eich blwch derbyn, sefwch pwy sy’n berchen ar y targedau a phwy sy’n cael cymeradwyo profion arnynt. Gwirio’r profwr drwy gysylltiad yr ymgyrch y mae eich sefydliad yn ei ddefnyddio’n barod, nid drwy’r person a anfonodd yr e-bost ymlaen. Nid yw perthynas â chwsmer yn ganiatâd i brofi pob system y gellir ei chyrraedd o gyfrif, ac nid yw archeb brynu’n ddogfen gwmpas.

Ysgrifennwch yr amcan a gymeradwywyd mewn un frawddeg a’i chadw wrth ymyl y trosglwyddo. Mae «aseswch ddilysiad porth y cwsmer» a «aseswch y rhwydwaith mewnol» yn arwain at becynnau hollol wahanol, a rhaid setlo’r gwahaniaeth cyn darparu yn hytrach nag ar ôl i ganfyddiad gyrraedd. Mae’r frawddeg hefyd yn rhoi rhywbeth i chi bwyntio ato pan fydd y cais yn tyfu yng nghanol yr ymgyrch.

Os oes darparwr lletya neu drydydd parti arall ar y llwybr, daw eu gofynion o flaen eich cyfleustra. Mae profi seilwaith rhywun arall heb ei ganiatâd yn broblem ar wahân i brofi’r rhaglen sy’n rhedeg arno.

Enwch y safbwynt a’r targedau

Y safbwynt yw’r cwestiwn y mae’r asesiad yn ceisio’i ateb, ac mae’n pennu’r pecyn mynediad yn fwy nag unrhyw offeryn y mae’r profwr yn bwriadu ei ddefnyddio. Mae prawf cyhoeddus heb ddilysiad angen URL a ffenestr amser. Mae prawf â dilysiad angen cyfrifon pwrpasol ar gyfer y rolau penodol yn y cwmpas, ac mae asesiad mewnol angen pwynt mynediad diffiniedig gydag ystodau targed clir.

Nid yw lle mae twnnel yn mynd i mewn yr un ffaith â pha raglen sydd y tu ôl iddo, ac yn sicr nid yw’n awdurdodi archwilio’r pwynt mynediad. Dywedwch hynny’n glir yn y trosglwyddo, oherwydd daw’r frawddeg «fe roddais fynediad i mi at y subnet hwnnw» yn gyflym unwaith y bydd canfyddiad yn cael ei herio. Rhestr dargedau ysgrifenedig yw’r unig beth sy’n setlo hynny wedyn.

Rhowch enw gwesteiwr TLS ochr yn ochr â’r URL. Mae cyfeiriad IP noeth yn gorfodi’r profwr i ddyfalu’r enw, ac mae enw a ddyfalwyd yn cynhyrchu gwallau tystysgrif a adroddir fel canfyddiadau yn hytrach nag fel camgymeriad trosglwyddo.

Cyflwynwch hunaniaethau pwrpasol â dyddiad dod i ben

Darparwch gyfrifon sy’n bodoli ar gyfer yr ymgyrch hon yn unig; peidiwch â benthyca mewngofnod beunyddiol aelod o staff. Gosodwch gyrhaeddiad rhwydwaith a chaniatadau’r rhaglen i’r tasgau a gytunwyd, trefnwch gofrestriad dilysu drwy lwybr a gefnogir, a chymerwch ddyddiad dod i ben gyda pherson a enwir sy’n gyfrifol am adalw. Danfonwch y cymwysterau drwy sianel ddiogel a gytunwyd, ar wahân i’r ddogfen gwmpas sy’n cael ei hanfon ymlaen o gwmpas.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Cofnodwch pwy a gafodd beth, a phryd. Y cofnod hwnnw yw’r gwahaniaeth rhwng trosglwyddo dan reolaeth a chyfrinair a rennir na all neb ei olrhain, a dyma’r peth cyntaf y bydd pawb yn gofyn amdano ar ôl digwyddiad. Cadwch ef gyda’r ddogfen gwmpas yn hytrach nag mewn edefyn sgwrs, a nodwch y sianel ddanfon wrth ymyl y derbynnydd. Mae llinell â stamp amser yn curo atgof bob tro.

Mae’r maes dod i ben yn ôl-stop, nid y cynllun. Mae rhywun o hyd yn gorfod tynnu’r llwybr rhwydwaith a rôl y rhaglen ar y diwedd, oherwydd nid yw mewngofnod sydd wedi dod i ben ar rwydwaith sy’n dal yn gyrraeddadwy yn fynediad wedi’i adalw.

Profwch fod y trosglwyddo’n gweithio cyn i’r ffenestr agor

Rhedwch gam cyntaf y profwr eich hun, o safle mor agos at ei un ef ag y gallwch. Datryswch yr enw, gwiriwch hunaniaeth y dystysgrif, a chadarnhewch fod y llwybr yn cyrraedd y cyfeiriad arfaethedig yn hytrach nag un cyfagos.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Os na all y llwybr gyrraedd targed, oedwch a chysoni’r trosglwyddo yn hytrach na gadael i’r profwr ddarganfod llwybr amgen. Cyrhaeddiad byrbwyll yw sut mae asesiad yn ymledu’n ddistaw y tu hwnt i’w gwmpas, ac anaml iawn y caiff ei ddogfennu wedyn.

Anfonwch y cyswllt gweithredol, yr oriau a ganiateir, y gweithredoedd a eithrir a’r amodau stopio gyda’r cymwysterau. Bydd profwr na all gyrraedd neb am 02:00 yn gwneud penderfyniad na wnaethoch ei awdurdodi, a bydd y penderfyniad hwnnw’n cael ei ddisgrifio yn yr adroddiad fel petai o fewn y cwmpas.

NIST SP 800-115 yn fframio asesiad technegol fel profion wedi’u cynllunio ac yna dadansoddiad a lliniaru, sef y siâp y mae’r trosglwyddo hwn yn ei ddilyn. Mae’r pyrth uchod yn benderfyniadau dylunio golygyddol ar gyfer peiriannydd cymorth, nid yn rhestr wirio a ddyfynnwyd o’r cyhoeddiad hwnnw.

Caewch yr ymgyrch drwy dynnu mynediad

Adalwch yn y drefn wrthdro i’r ddarpariaeth: rolau’r rhaglen, yna mynediad rhwydwaith, yna’r hunaniaeth ei hun. Cadarnhewch bob cam yn hytrach na thybio bod y consol wedi gwneud yr hyn a addawodd y botwm. Clowch y cyfrif cyn lladd ei sesiynau, neu bydd y sesiwn yn syml yn ail-ddilysu drwy’r hen lwybr. Yna gwiriwch y cysylltiadau sefydledig unwaith eto cyn ei alw’n gaeëdig.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Setlwch unrhyw ddata prawf a gedwir, yna dilynwch y gywiriad drwy’r broses adrodd a gytunwyd ar y dechrau. Dylai’r adroddiad nodi’r amgylchedd, lefel y mynediad, y cwmpas a’r cyfyngiadau, oherwydd mae’n cofnodi canfyddiadau un asesiad ac nid yw’n ddatganiad parhaol bod y safle’n ddiogel.

Cadwch y cofnod adalw gyda chofnod y trosglwyddo. Pan fydd yr ymgyrch nesaf yn agor, rydych am wybod yn union beth a dynnwyd y tro diwethaf a phwy a’i cymeradwyodd, yn hytrach nag ailadeiladu’r darlun o’r cof.