Overdragelse af adgang til sikkerhedstest: omfang, konti og tilbagekaldelse
En tester, der beder om VPN-legitimationsoplysninger, har brug for en afgrænset overdragelse, ikke et ekstra login. Godkend autorisationen, navngiv målene, udsted konti, og tilbagekald derefter.
En tester beder om en gatewayadresse, interne DNS-oplysninger og VPN-legitimationsoplysninger, og anmodningen videresendes til dig med emnet »adgang nødvendig«. Anmodningen alene fortæller dig ikke, om det er en intern vurdering, en test af en applikation med autentificering eller en opgave på et offentligt websted, hvor nogen har misforstået omfanget. Kør overdragelsen som en sekvens med en port ved hvert trin, og stop ved den første port, der ikke åbner. Det gør en uklar anmodning til noget, du kan autorisere, levere og senere tilbagekalde.
Begynd med autorisationen, ikke legitimationsoplysningerne
Før nogen adresse forlader din indbakke, skal du fastslå, hvem der ejer målene, og hvem der må godkende test på dem. Verificer testeren gennem den kontaktperson på opgaven, som din organisation allerede bruger, ikke gennem personen, der videresendte e-mailen. Et kundeforhold er ikke tilladelse til at teste ethvert system, der kan nås fra en konto, og en indkøbsordre er ikke et omfangsdokument.
Skriv det godkendte mål i én sætning, og opbevar den ved siden af overdragelsen. »Vurder kundeportalenes autentificering« og »vurder det interne netværk« fører til helt forskellige pakker, og forskellen skal afklares før klargøringen, ikke efter et fund lander. Sætningen giver dig også noget at pege på, når anmodningen vokser midt i opgaven.
Hvis en hostingudbyder eller en anden tredjepart er på vejen, kommer deres krav før din bekvemmelighed. At teste andres infrastruktur uden deres tilladelse er et andet problem end at teste den applikation, der kører på den.
Navngiv synspunktet og målene
Synspunktet er det spørgsmål, vurderingen forsøger at besvare, og det bestemmer adgangspakken mere end noget værktøj, testeren planlægger at bruge. En offentlig ikke-autentificeret test kræver en URL og et tidsvindue. En autentificeret test kræver dedikerede konti til de specifikke roller i omfanget, og en intern vurdering kræver et defineret indgangspunkt med eksplicitte målområder.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Hvor en tunnel kommer ind, er ikke den samme kendsgerning som hvilken applikation, der ligger bag den, og det autoriserer bestemt ikke at undersøge indgangspunktet. Sig det eksplicit i overdragelsen, for sætningen »du gav mig adgang til det subnet« kommer hurtigt, når et fund bestrides. En skriftlig målliste er det eneste, der afgør det bagefter.
Angiv TLS-værtsnavnet sammen med URL'en. En bar IP-adresse tvinger testeren til at gætte navnet, og et gættet navn giver certifikatfejl, der rapporteres som fund i stedet for som en fejl i overdragelsen.
Udsted dedikerede identiteter med en udløbsdato
Klargør konti, der kun findes til denne opgave; lån ikke en medarbejders daglige login. Sæt netværksadgang og applikationstilladelser til de aftalte opgaver, arrangér autentificeringsregistrering gennem en understøttet vej, og vedhæft en udløbsdato med en navngivet person, der er ansvarlig for tilbagekaldelse. Lever legitimationsoplysningerne gennem en aftalt sikker kanal, adskilt fra omfangsdokumentet, som bliver videresendt rundt omkring.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Registrer, hvem der modtog hvad, og hvornår. Den registrering er forskellen mellem en kontrolleret overdragelse og en delt adgangskode, som ingen kan spore, og det er det første, alle beder om efter en hændelse. Opbevar den sammen med omfangsdokumentet i stedet for i en chat-tråd, og noter leveringskanalen ved siden af modtageren. En linje med tidsstempel slår en erindring hver gang.
Udløbsfeltet er en sikkerhedsnet, ikke planen. Nogen skal stadig fjerne netværksvejen og applikationsrollen til sidst, fordi et udløbet login på et netværk, der stadig kan nås, ikke er tilbagekaldt adgang.
Bevis, at overdragelsen virker, før vinduet åbner
Kør testerens første hop selv, fra en position så tæt på deres som muligt. Slå navnet op, kontroller certifikatets identitet, og bekræft, at vejen når den tilsigtede adresse i stedet for en naboadresse.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Hvis vejen ikke kan nå et mål, skal du stoppe og afstemme overdragelsen i stedet for at lade testeren opdage en alternativ rute. Improviseret adgang er, hvordan en vurdering stille vokser ud over sit omfang, og det bliver næsten aldrig dokumenteret bagefter.
Send den operationelle kontakt, tilladte timer, udelukkede handlinger og stopbetingelser sammen med legitimationsoplysningerne. En tester, der ikke kan nå nogen kl. 02:00, træffer en beslutning, du ikke har autoriseret, og den beslutning vil blive beskrevet i rapporten, som om den var inden for omfanget.
NIST SP 800-115 beskriver en teknisk vurdering som planlagt testning efterfulgt af analyse og afhjælpning, og det er den form, denne overdragelse følger. Portene ovenfor er redaktionelle designvalg for en supportingeniør, ikke en tjekliste citeret fra den publikation.
Afslut opgaven ved at fjerne adgangen
Tilbagekald i omvendt rækkefølge af klargøringen: applikationsroller, derefter netværksadgang, derefter selve identiteten. Bekræft hvert trin i stedet for at antage, at konsollen gjorde, hvad knappen lovede. Lås kontoen, før du dræber dens sessioner, ellers autentificerer sessionen bare igen mod den gamle vej. Kontroller derefter de etablerede forbindelser endnu en gang, før du kalder det lukket.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Afklar eventuelle tilbageholdte testdata, og følg derefter udbedringen gennem den rapporteringsproces, I aftalte i starten. Rapporten bør angive miljøet, adgangsniveauet, omfanget og begrænsningerne, fordi den registrerer fund fra én vurdering og ikke er en permanent erklæring om, at webstedet er sikkert.
Opbevar tilbagekaldelsesregistreringen sammen med overdragelsesregistreringen. Når den næste opgave åbner, vil du vide præcis, hvad der blev fjernet sidst, og hvem der godkendte det, i stedet for at genopbygge billedet fra hukommelsen.