Segurtasun-proben sarbidearen eskualdaketa: irismena, kontuak eta ezeztapena
VPN kredentzialak eskatzen dituen probatzaileak irismen jakineko eskualdaketa behar du, ez ordezko saio-hasiera. Egiaztatu baimena, izenda itzazu helburuak, jaulki kontuak eta gero ezeztatu.
Probatzaile batek atearen helbidea, barneko DNS xehetasunak eta VPN kredentzialak eskatu ditu, eta eskaera zuregana bidaltzen da «sarbidea behar da» gaiarekin. Eskaerak berak ez dizu esaten barne-ebaluazioa den, autentifikatutako aplikazio baten proba den, edo norbaitek irismena gaizki ulertu duen webgune publiko baten lana den. Eraman eskualdaketa urratsez urrats ate bat duen sekuentzia gisa, eta gelditu irekitzen ez den lehen atean. Horrek eskaera lausoa baimendu, entregatu eta geroago ezeztatu dezakezun zerbait bihurtzen du.
Hasi baimenarekin, ez kredentzialekin
Helbide bat zure sarrera-ontzitik atera aurretik, zehaztu nork dituen helburuak eta nork onar dezakeen haien gaineko proba. Egiaztatu probatzailea zure erakundeak jada erabiltzen duen harreman-kontaktuaren bidez, ez mezu elektronikoa birbidali duen pertsonaren bidez. Bezeroarekiko harremana ez da kontu batetik irisgarri den sistema guztiak probatzeko baimena, eta erosketa-agindua ez da irismen-dokumentua.
Idatzi onartutako helburua esaldi bakarrean eta eduki eskualdaketaren ondoan. «Ebaluatu bezeroaren atariaren autentifikazioa» eta «ebaluatu barne-sarea» erabat desberdinak diren paketeetara daramate, eta aldea horniduraren aurretik konpondu behar da, ez aurkikuntza bat iritsi ondoren. Esaldiak zerbait ematen dizu seinalatzeko eskaera lanaren erdian hazten denean.
Bidean ostatatze-hornitzailea edo beste hirugarren bat badago, haien baldintzak zure erosotasunaren aurretik datoz. Beste norbaiten azpiegitura haren baimenik gabe probatzea aplikazioa probatzearen arazo desberdina da.
Izenda itzazu ikuspegia eta helburuak
Ikuspegia ebaluazioak erantzun nahi duen galdera da, eta sarbide-paketea gehiago zehazten du probatzaileak erabili nahi duen tresna edozein baino. Autentifikatu gabeko proba publiko batek URL bat eta denbora-tarte bat behar ditu. Autentifikatutako proba batek irismenean dauden rol zehatzetarako kontu dedikatuak behar ditu, eta barne-ebaluazio batek definitutako sarrera-puntu bat behar du helburu-barruti esplizituekin.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Tunelak non sartzen duen ez da haren atzean zein aplikazio dagoen egitate bera, eta inola ere ez du sarrera-puntua aztertzea baimentzen. Esan argi eskualdaketan, «azpi-sare horretarako sarbidea eman zenidan» esaldia azkar iristen baita aurkikuntza bat zalantzatan jartzen denean. Idatzizko helburu-zerrenda da hori geroago konpontzen duen gauza bakarra.
Eman TLS ostalari-izena URLarekin batera. IP helbide hutsak probatzailea izena asmatzera behartzen du, eta asmatutako izenak ziurtagiri-erroreak sortzen ditu, aurkikuntza gisa jakinarazten direnak eskualdaketa-errore gisa beharrean.
Jaulki itzazu identitate dedikatuak iraungitze-data batekin
Prestatu lan honetarako soilik existitzen diren kontuak; ez mailegatu langile baten eguneroko saio-hasiera. Ezarri sareko irisgarritasuna eta aplikazioaren baimenak adostutako zereginetara, antolatu autentifikazio-erregistroa onartutako bide batetik, eta erantsi iraungitze-data bat ezeztapenaz arduratzen den izendatutako pertsona batekin. Eman kredentzialak adostutako kanal seguru baten bidez, inguruan birbidaltzen den irismen-dokumentutik bereizita.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Erregistratu nork zer eta noiz jaso zuen. Erregistro hori kontrolatutako eskualdaketaren eta inork jarraitu ezin duen partekatutako pasahitzaren arteko aldea da, eta istilu baten ondoren edonork lehenengo eskatzen duena da. Gorde irismen-dokumentuarekin, txat-hari batean beharrean, eta ohar ezazu entrega-kanala hartzailearen ondoan. Denbora-marka duen lerro batek beti irabazten dio oroitzapenari.
Iraungitze-eremua azken babesa da, ez plana. Amaieran norbaitek sare-bidea eta aplikazioaren rola kendu behar ditu oraindik, irisgarri den sare batean iraungitako saio-hasiera ez baita ezeztatutako sarbidea.
Froga ezazu eskualdaketak funtzionatzen duela leihoa ireki aurretik
Egin probatzailearen lehen jauzia zeuk, haren posiziotik ahalik eta hurbilen dagoen lekutik. Ebatzi izena, egiaztatu ziurtagiriaren identitatea eta berretsi bideak xede-helbidera iristen duela, ez alboko batera.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Bideak helburu batera iristen ez badu, gelditu eta adostu eskualdaketa, probatzaileari bide alternatibo bat aurkitzen utzi beharrean. Bat-bateko irisgarritasuna da ebaluazio bat isilka bere irismenetik haratago hedatzen den modua, eta ia inoiz ez da geroago dokumentatzen.
Bidali harreman operatiboa, baimendutako orduak, baztertutako ekintzak eta gelditze-baldintzak kredentzialekin batera. 02:00etan inorengana iristen ez den probatzaile batek zuk baimendu ez duzun erabaki bat hartuko du, eta erabaki hori txostenean irismenaren barruan balego bezala deskribatuko da.
NIST SP 800-115 argitalpenak ebaluazio teknikoa proba planifikatu gisa markoztatzen du, ondoren analisia eta arintzea, eta hori da eskualdaketa honek jarraitzen duen forma. Goiko ateak laguntza-ingeniari bati zuzendutako diseinu-erabaki editorialak dira, ez argitalpen horretatik aipatutako kontrol-zerrenda bat.
Itxi lana sarbidea kenduz
Ezeztatu horniduraren kontrako ordenan: aplikazioaren rolak, gero sare-sarbidea, gero identitatea bera. Berretsi urrats bakoitza, botoiak agindutakoa kontsolak egin duela suposatu beharrean. Blokeatu kontua haren saioak hil baino lehen, bestela saioak bide zaharretik berrautentifikatzen baita. Gero egiaztatu ezarritako konexioak beste behin itxitzat eman aurretik.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Konpondu atxitako proba-datuak, eta gero jarraitu zuzenketa hasieran adostutako txosten-prozesuaren bidez. Txostenak ingurunea, sarbide-maila, irismena eta mugak adierazi behar ditu, ebaluazio bakarreko aurkikuntzak erregistratzen baititu eta ez baita gunea segurua dela dioen betiko adierazpena.
Gorde ezeztapen-erregistroa eskualdaketaren erregistroarekin. Hurrengo lana irekitzen denean, jakin nahi duzu zehazki zer kendu zen azken aldian eta nork onartu zuen, irudia memoriatik berreraiki beharrean.