Παράδοση πρόσβασης για δοκιμές ασφαλείας: εύρος, λογαριασμοί και ανάκληση
Ένας δοκιμαστής που ζητά διαπιστευτήρια VPN χρειάζεται παράδοση με καθορισμένο εύρος, όχι ένα εφεδρικό login. Περάστε την εξουσιοδότηση από πύλη, ονομάστε τους στόχους, εκδώστε λογαριασμούς και μετά ανακαλέστε.
Ένας δοκιμαστής ζητά διεύθυνση πύλης, στοιχεία εσωτερικού DNS και διαπιστευτήρια VPN, και το αίτημα προωθείται σε εσάς με θέμα «χρειάζεται πρόσβαση». Το αίτημα από μόνο του δεν σας λέει αν πρόκειται για εσωτερική αξιολόγηση, δοκιμή εφαρμογής με έλεγχο ταυτότητας ή ανάθεση σε δημόσιο ιστότοπο όπου κάποιος παρεξήγησε το εύρος. Εκτελέστε την παράδοση ως ακολουθία με πύλη σε κάθε βήμα και σταματήστε στην πρώτη πύλη που δεν ανοίγει. Έτσι ένα αόριστο αίτημα γίνεται κάτι που μπορείτε να εξουσιοδοτήσετε, να παραδώσετε και αργότερα να ανακαλέσετε.
Ξεκινήστε με την εξουσιοδότηση, όχι με τα διαπιστευτήρια
Πριν φύγει οποιαδήποτε διεύθυνση από τα εισερχόμενά σας, καθορίστε ποιος κατέχει τους στόχους και ποιος επιτρέπεται να εγκρίνει δοκιμές σε αυτούς. Επαληθεύστε τον δοκιμαστή μέσω της επαφής της ανάθεσης που χρησιμοποιεί ήδη ο οργανισμός σας, όχι μέσω του προσώπου που προώθησε το email. Μια σχέση πελάτη δεν είναι άδεια να δοκιμάζετε κάθε σύστημα προσβάσιμο από λογαριασμό, και μια εντολή αγοράς δεν είναι έγγραφο εύρους.
Γράψτε τον εγκεκριμένο στόχο σε μία πρόταση και κρατήστε την δίπλα στην παράδοση. «Αξιολογήστε τον έλεγχο ταυτότητας της πύλης πελατών» και «αξιολογήστε το εσωτερικό δίκτυο» οδηγούν σε εντελώς διαφορετικά πακέτα, και η διαφορά πρέπει να λυθεί πριν από την προετοιμασία, όχι αφού φτάσει ένα εύρημα. Η πρόταση σας δίνει επίσης κάτι στο οποίο να δείξετε όταν το αίτημα μεγαλώνει στα μέσα της ανάθεσης.
Αν υπάρχει πάροχος φιλοξενίας ή άλλος τρίτος στη διαδρομή, οι απαιτήσεις του έρχονται πριν από την άνεσή σας. Η δοκιμή υποδομής κάποιου άλλου χωρίς την άδειά του είναι ξεχωριστό πρόβλημα από τη δοκιμή της εφαρμογής που τρέχει πάνω της.
Ονομάστε την οπτική γωνία και τους στόχους
Η οπτική γωνία είναι η ερώτηση που προσπαθεί να απαντήσει η αξιολόγηση και καθορίζει το πακέτο πρόσβασης περισσότερο από οποιοδήποτε εργαλείο σχεδιάζει να χρησιμοποιήσει ο δοκιμαστής. Μια δημόσια δοκιμή χωρίς έλεγχο ταυτότητας χρειάζεται URL και χρονικό παράθυρο. Μια δοκιμή με έλεγχο ταυτότητας χρειάζεται αποκλειστικούς λογαριασμούς για τους συγκεκριμένους ρόλους στο εύρος, και μια εσωτερική αξιολόγηση χρειάζεται καθορισμένο σημείο εισόδου με ρητά εύρη στόχων.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Το πού εισέρχεται μια σήραγγα δεν είναι το ίδιο γεγονός με το ποια εφαρμογή βρίσκεται πίσω της, και σίγουρα δεν εξουσιοδοτεί τη διερεύνηση του σημείου εισόδου. Πείτε το ρητά στην παράδοση, γιατί η φράση «μου έδωσες πρόσβαση σε εκείνο το υποδίκτυο» έρχεται γρήγορα μόλις αμφισβητηθεί ένα εύρημα. Μια γραπτή λίστα στόχων είναι το μόνο που το λύνει εκ των υστέρων.
Δώστε το όνομα κεντρικού υπολογιστή TLS μαζί με το URL. Μια γυμνή διεύθυνση IP αναγκάζει τον δοκιμαστή να μαντέψει το όνομα, και ένα μαντεμένο όνομα παράγει σφάλματα πιστοποιητικού που αναφέρονται ως ευρήματα αντί ως λάθος παράδοσης.
Εκδώστε αποκλειστικές ταυτότητες με ημερομηνία λήξης
Προετοιμάστε λογαριασμούς που υπάρχουν μόνο για αυτή την ανάθεση· μη δανείζετε την καθημερινή σύνδεση ενός υπαλλήλου. Ρυθμίστε την προσβασιμότητα δικτύου και τα δικαιώματα εφαρμογής στις συμφωνημένες εργασίες, οργανώστε την εγγραφή ελέγχου ταυτότητας μέσω υποστηριζόμενης διαδρομής, και επισυνάψτε ημερομηνία λήξης με ονομαστικό υπεύθυνο πρόσωπο για την ανάκληση. Παραδώστε τα διαπιστευτήρια μέσω συμφωνημένου ασφαλούς καναλιού, χωριστά από το έγγραφο εύρους που προωθείται παντού.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Καταγράψτε ποιος έλαβε τι και πότε. Αυτό το αρχείο είναι η διαφορά ανάμεσα σε ελεγχόμενη παράδοση και σε κοινόχρηστο κωδικό που κανείς δεν μπορεί να ιχνηλατήσει, και είναι το πρώτο που ζητά οποιοσδήποτε μετά από ένα περιστατικό. Κρατήστε το μαζί με το έγγραφο εύρους και όχι σε νήμα συνομιλίας, και σημειώστε το κανάλι παράδοσης δίπλα στον παραλήπτη. Μια γραμμή με χρονική σήμανση κερδίζει πάντα μια ανάμνηση.
Το πεδίο λήξης είναι δίχτυ ασφαλείας, όχι το σχέδιο. Κάποιος πρέπει ακόμη να αφαιρέσει τη διαδρομή δικτύου και τον ρόλο της εφαρμογής στο τέλος, γιατί μια ληγμένη σύνδεση σε δίκτυο που παραμένει προσβάσιμο δεν είναι ανακλημένη πρόσβαση.
Αποδείξτε ότι η παράδοση λειτουργεί πριν ανοίξει το παράθυρο
Εκτελέστε το πρώτο άλμα του δοκιμαστή μόνοι σας, από θέση όσο πιο κοντά στη δική του γίνεται. Αναλύστε το όνομα, ελέγξτε την ταυτότητα του πιστοποιητικού και επιβεβαιώστε ότι η διαδρομή φτάνει στη σκοπούμενη διεύθυνση και όχι σε γειτονική.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Αν η διαδρομή δεν μπορεί να φτάσει σε έναν στόχο, σταματήστε και συμβιβάστε την παράδοση αντί να αφήσετε τον δοκιμαστή να ανακαλύψει εναλλακτική διαδρομή. Η αυτοσχέδια προσβασιμότητα είναι ο τρόπος με τον οποίο μια αξιολόγηση επεκτείνεται σιωπηλά πέρα από το εύρος της, και σχεδόν ποτέ δεν τεκμηριώνεται εκ των υστέρων.
Στείλτε την επιχειρησιακή επαφή, τις επιτρεπόμενες ώρες, τις εξαιρούμενες ενέργειες και τις συνθήκες διακοπής μαζί με τα διαπιστευτήρια. Ένας δοκιμαστής που δεν μπορεί να βρει κανέναν στις 02:00 θα πάρει μια απόφαση που δεν εξουσιοδοτήσατε, και αυτή η απόφαση θα περιγραφεί στην αναφορά σαν να ήταν εντός εύρους.
NIST SP 800-115 περιγράφει μια τεχνική αξιολόγηση ως σχεδιασμένη δοκιμή που ακολουθείται από ανάλυση και μετριασμό, και αυτή είναι η μορφή που ακολουθεί η παρούσα παράδοση. Οι πύλες παραπάνω είναι συντακτικές σχεδιαστικές επιλογές για μηχανικό υποστήριξης, όχι λίστα ελέγχου αντιγραμμένη από εκείνη τη δημοσίευση.
Κλείστε την ανάθεση αφαιρώντας την πρόσβαση
Ανακαλέστε με αντίστροφη σειρά από την προετοιμασία: ρόλοι εφαρμογής, μετά πρόσβαση δικτύου, μετά η ίδια η ταυτότητα. Επιβεβαιώστε κάθε βήμα αντί να υποθέσετε ότι η κονσόλα έκανε ό,τι υποσχέθηκε το κουμπί. Κλειδώστε τον λογαριασμό πριν σκοτώσετε τις συνεδρίες του, αλλιώς η συνεδρία απλώς επανα-πιστοποιείται μέσω της παλιάς διαδρομής. Έπειτα ελέγξτε ξανά τις εδραιωμένες συνδέσεις πριν το χαρακτηρίσετε κλειστό.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Τακτοποιήστε τυχόν δεδομένα δοκιμών που κρατήθηκαν και μετά παρακολουθήστε τη διόρθωση μέσα από τη διαδικασία αναφοράς που συμφωνήσατε στην αρχή. Η αναφορά πρέπει να αναφέρει το περιβάλλον, το επίπεδο πρόσβασης, το εύρος και τους περιορισμούς, γιατί καταγράφει ευρήματα μίας αξιολόγησης και δεν είναι μόνιμη δήλωση ότι ο ιστότοπος είναι ασφαλής.
Κρατήστε το αρχείο ανάκλησης μαζί με το αρχείο παράδοσης. Όταν ανοίξει η επόμενη ανάθεση, θέλετε να ξέρετε ακριβώς τι αφαιρέθηκε την προηγούμενη φορά και ποιος το ενέκρινε, αντί να ξαναχτίσετε την εικόνα από τη μνήμη.