Turbe testimise juurdepääsu üleandmine: ulatus, kontod ja tühistamine
Testijale, kes küsib VPN-i mandaate, on vaja piiritletud üleandmist, mitte varukontot. Kontrollige volitust, nimetage sihtmärgid, väljastage kontod ja tühistage need seejärel.
Testija küsib lüüsi aadressi, sisemise DNS-i üksikasju ja VPN-i mandaate ning taotlus edastatakse teile teemaga „on vaja juurdepääsu“. Taotlus ise ei ütle, kas tegu on sisemise hindamise, autenditud rakenduse testi või avaliku veebisaidi tööga, kus keegi mõistis ulatust valesti. Viige üleandmine läbi jadana, kus igal sammul on värav, ja peatuge esimese värava juures, mis ei avane. Nii muutub ebamäärane taotlus millekski, mida saate volitada, üle anda ja hiljem tühistada.
Alustage volitusest, mitte mandaatidest
Enne kui mõni aadress teie postkastist lahkub, tehke kindlaks, kellele sihtmärgid kuuluvad ja kes tohib nende testimist heaks kiita. Kontrollige testijat läbi selle töö kontaktisiku, keda teie organisatsioon juba kasutab, mitte läbi e-kirja edastanud isiku. Kliendisuhe ei ole luba testida iga kontolt ligipääsetavat süsteemi ja ostutellimus ei ole ulatusdokument.
Kirjutage kinnitatud eesmärk ühe lausega ja hoidke seda üleandmise kõrval. „Hinnake kliendiportaali autentimist“ ja „hinnake sisevõrku“ viivad täiesti erinevate pakettideni ning vahe tuleb selgitada enne ressursi eraldamist, mitte pärast leiule saabumist. Lause annab teile ka millegi, millele osutada, kui taotlus töö keskel kasvab.
Kui teel on majutusteenuse pakkuja või muu kolmas osapool, käivad nende nõuded teie mugavusest ette. Kellegi teise taristu testimine ilma tema loata on eraldi probleem sellest, kui testida rakendust, mis sellel töötab.
Nimetage vaatepunkt ja sihtmärgid
Vaatepunkt on küsimus, millele hindamine püüab vastata, ja see määrab juurdepääsupaketi rohkem kui ükskõik milline tööriist, mida testija kavatseb kasutada. Avalik autentimata test vajab URL-i ja ajavahemikku. Autenditud test vajab sihtotstarbelisi kontosid ulatuses olevate konkreetsete rollide jaoks ning sisemine hindamine vajab määratletud sisenemispunkti koos selgete sihtmärkide vahemikega.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
See, kuhu tunnel siseneb, ei ole sama fakt kui see, milline rakendus selle taga on, ja see ei anna kindlasti luba sisenemispunkti sondeerida. Öelge seda üleandmises selgelt, sest lause „sa andsid mulle juurdepääsu sellele alamsvõrgule“ tuleb kiiresti, kui leidu vaidlustatakse. Kirjalik sihtmärkide loend on ainus, mis selle hiljem lahendab.
Andke TLS-i hostinimi koos URL-iga. Paljas IP-aadress sunnib testijat nime oletama ja oletatud nimi tekitab sertifikaadivigu, mida raporteeritakse leidudena, mitte üleandmise veana.
Väljastage sihtotstarbelised identiteedid aegumiskuupäevaga
Valmistage ette kontod, mis eksisteerivad ainult selle töö jaoks; ärge laenake töötaja igapäevast sisselogimist. Seadke võrgu kättesaadavus ja rakenduse õigused kokkulepitud ülesannetele, korraldage autentimise registreerimine toetatud tee kaudu ja lisage aegumiskuupäev koos nimetatud isikuga, kes vastutab tühistamise eest. Andke mandaadid üle kokkulepitud turvalise kanali kaudu, eraldi ulatusdokumendist, mida ringi edastatakse.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Registreerige, kes mida ja millal sai. See kirje on vahe kontrollitud üleandmise ja jagatud parooli vahel, mida keegi ei suuda jälgida, ja see on esimene asi, mida pärast juhtumit küsitakse. Hoidke seda ulatusdokumendi juures, mitte vestluslõimes, ja märkige üleandmise kanal adressaadi kõrvale. Ajatempliga rida võidab mälestuse iga kord.
Aegumisväli on turvavõrk, mitte plaan. Lõpuks peab keegi ikkagi eemaldama võrgutee ja rakenduse rolli, sest aegunud sisselogimine veel kättesaadavas võrgus ei ole tühistatud juurdepääs.
Tõestage, et üleandmine toimib, enne kui aken avaneb
Tehke testija esimene hüpe ise, võimalikult tema lähedalt positsioonilt. Lahendage nimi, kontrollige sertifikaadi identiteeti ja kinnitage, et tee jõuab kavandatud aadressile, mitte naaberaadressile.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Kui tee ei jõua sihtmärgini, peatuge ja sobitage üleandmine, selle asemel et lasta testijal avastada alternatiivne marsruut. Improviseeritud kättesaadavus on see, kuidas hindamine vaikselt oma ulatusest välja kasvab, ja seda ei dokumenteerita hiljem peaaegu kunagi.
Saatke koos mandaatidega operatiivne kontakt, lubatud tunnid, välistatud tegevused ja peatamistingimused. Testija, kes ei saa kell 02:00 kelleni jõuda, teeb otsuse, mida te ei volitanud, ja seda otsust kirjeldatakse aruandes nii, nagu oleks see olnud ulatuses.
NIST SP 800-115 kirjeldab tehnilist hindamist kui kavandatud testimist, millele järgnevad analüüs ja leevendamine, ja just seda vormi järgib käesolev üleandmine. Ülaltoodud väravad on tugiinseneri toimetuslikud disainiotsused, mitte sellest väljaandest tsiteeritud kontroll-loend.
Sulgege töö juurdepääsu eemaldamisega
Tühistage ettevalmistamise vastupidises järjekorras: rakenduse rollid, seejärel võrgu juurdepääs, seejärel identiteet ise. Kinnitage iga samm, selle asemel et eeldada, et konsool tegi seda, mida nupp lubas. Lukustage konto enne selle sessioonide tapmist, muidu sessioon lihtsalt autendib end uuesti vana tee kaudu. Seejärel kontrollige loodud ühendusi veel kord, enne kui nimetate selle suletuks.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Lahendage kõik kinni hoitud testandmed, seejärel jälgige parandust alguses kokku lepitud aruandlusprotsessi kaudu. Aruanne peaks märkima keskkonna, juurdepääsutaseme, ulatuse ja piirangud, sest see registreerib ühe hindamise leide ega ole püsiv väide, et sait on turvaline.
Hoidke tühistamise kirje üleandmise kirje juures. Kui järgmine töö avaneb, tahate täpselt teada, mis eelmisel korral eemaldati ja kes selle heaks kiitis, selle asemel et pilti mälust taastada.