Turvatestauksen käyttöoikeuden luovutus: laajuus, tilit ja peruutus

Testaaja pyytää yhdyskäytävän osoitetta, sisäisen DNS:n tietoja ja VPN-tunnuksia, ja pyyntö välitetään sinulle otsikolla ”käyttöoikeutta tarvitaan”. Pyyntö yksinään ei kerro, onko kyseessä sisäinen arviointi, todentava sovellustesti vai julkinen verkkosivutyö, jossa joku on ymmärtänyt laajuuden väärin. Suorita luovutus vaiheittain niin, että jokaisessa vaiheessa on portti, ja pysähdy ensimmäiseen porttiin, joka ei avaudu. Näin epämääräisestä pyynnöstä tulee jotain, jonka voit valtuuttaa, luovuttaa ja myöhemmin peruuttaa.

Aloita valtuutuksesta, älä tunnuksista

Ennen kuin yksikään osoite lähtee postilaatikostasi, selvitä, kuka omistaa kohteet ja kuka saa hyväksyä niiden testaamisen. Varmista testaaja sen toimeksiannon yhteyshenkilön kautta, jota organisaatiosi jo käyttää, älä sähköpostin välittäneen henkilön kautta. Asiakassuhde ei ole lupa testata jokaista tilistä saavutettavaa järjestelmää, eikä ostotilaus ole laajuusasiakirja.

Kirjoita hyväksytty tavoite yhdellä lauseella ja pidä se luovutuksen vieressä. ”Arvioi asiakasportaalin todennus” ja ”arvioi sisäverkko” johtavat täysin erilaisiin paketteihin, ja ero on ratkaistava ennen valmistelua, ei vasta löydöksen saavuttua. Lause antaa sinulle myös jotain, mihin osoittaa, kun pyyntö kasvaa kesken toimeksiannon.

Jos polulla on hosting-palvelun tarjoaja tai muu kolmas osapuoli, sen vaatimukset tulevat ennen mukavuuttasi. Toisen infrastruktuurin testaaminen ilman tämän lupaa on eri ongelma kuin sillä ajettavan sovelluksen testaaminen.

Nimeä näkökulma ja kohteet

Näkökulma on kysymys, johon arviointi pyrkii vastaamaan, ja se määrittää käyttöoikeuspaketin enemmän kuin mikään työkalu, jota testaaja aikoo käyttää. Julkinen todentamaton testi tarvitsee URL-osoitteen ja aikakehyksen. Todennettu testi tarvitsee erilliset tilit laajuuden tietyille rooleille, ja sisäinen arviointi tarvitsee määritellyn aloituspisteen ja selkeät kohdealueet.

Se, mistä tunneli tulee sisään, ei ole sama tosiasia kuin mikä sovellus on sen takana, eikä se todellakaan oikeuta aloituspisteen tutkimista. Sano se suoraan luovutuksessa, sillä lause ”annoit minulle pääsyn siihen aliverkkoon” tulee nopeasti, kun löydöstä kiistellään. Kirjallinen kohdeluettelo on ainoa asia, joka ratkaisee sen jälkeenpäin.

Anna TLS-isäntänimi URL-osoitteen ohella. Pelkkä IP-osoite pakottaa testaajan arvaamaan nimen, ja arvattu nimi tuottaa varmennevirheitä, jotka raportoidaan löydöksinä eikä luovutusvirheenä.

Myönnä erilliset identiteetit vanhenemispäivällä

Valmistele tilit, jotka ovat olemassa vain tätä toimeksiantoa varten; älä lainaa työntekijän jokapäiväistä kirjautumista. Aseta verkon tavoitettavuus ja sovelluksen käyttöoikeudet sovittuihin tehtäviin, järjestä todennuksen rekisteröinti tuetun polun kautta ja liitä vanhenemispäivä ja nimetty henkilö, joka vastaa peruutuksesta. Luovuta tunnukset sovittua turvallista kanavaa pitkin erillään laajuusasiakirjasta, jota välitetään eteenpäin.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Kirjaa, kuka sai mitä ja milloin. Tämä kirjaus on ero hallitun luovutuksen ja jaetun salasanan välillä, jota kukaan ei voi jäljittää, ja se on ensimmäinen asia, jota kuka tahansa pyytää tapahtuman jälkeen. Säilytä se laajuusasiakirjan yhteydessä äläkä chat-ketjussa, ja merkitse luovutuskanava vastaanottajan viereen. Aikaleimalla varustettu rivi voittaa muistikuvan joka kerta.

Vanhenemiskenttä on turvaverkko, ei suunnitelma. Jonkun on silti poistettava verkkopolku ja sovellusrooli lopussa, koska vanhentunut kirjautuminen yhä saavutettavassa verkossa ei ole peruutettu käyttöoikeus.

Todista, että luovutus toimii ennen kuin aikakehys avautuu

Tee testaajan ensimmäinen hyppy itse mahdollisimman läheltä hänen asemaansa. Selvitä nimi, tarkista varmenteen identiteetti ja varmista, että polku saavuttaa aiotun osoitteen eikä viereistä.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Jos polku ei saavuta kohdetta, pysähdy ja sovita luovutus sen sijaan, että annat testaajan löytää vaihtoehtoisen reitin. Improvisoitu tavoitettavuus on se, miten arviointi hiljaa laajenee laajuutensa ulkopuolelle, eikä sitä lähes koskaan dokumentoida jälkeenpäin.

Lähetä tunnusten mukana operatiivinen yhteyshenkilö, sallitut tunnit, poissuljetut toimet ja pysäytysehdot. Testaaja, joka ei tavoita ketään kello 02:00, tekee päätöksen, jota et valtuuttanut, ja se päätös kuvataan raportissa ikään kuin se olisi ollut laajuudessa.

NIST SP 800-115 kehystää teknisen arvioinnin suunnitelluksi testaukseksi, jota seuraa analyysi ja lieventäminen, ja juuri tätä muotoa tämä luovutus noudattaa. Yllä olevat portit ovat tukipäällikön toimituksellisia suunnitteluratkaisuja, eivät kyseisestä julkaisusta lainattu tarkistuslista.

Sulje toimeksianto poistamalla käyttöoikeus

Peruuta valmistelun käänteisessä järjestyksessä: sovellusroolit, sitten verkkoyhteys, sitten itse identiteetti. Vahvista jokainen vaihe sen sijaan, että olettaisit konsolin tehneen sen, mitä painike lupasi. Lukitse tili ennen sen istuntojen lopettamista, muuten istunto yksinkertaisesti todentaa itsensä uudelleen vanhaa polkua pitkin. Tarkista sitten muodostetut yhteydet vielä kerran ennen kuin kutsut sitä suljetuksi.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Selvitä mahdolliset säilytetyt testitiedot ja seuraa sitten korjausta alussa sovitun raportointiprosessin kautta. Raportin tulee kertoa ympäristö, käyttöoikeustaso, laajuus ja rajoitukset, koska se kirjaa yhden arvioinnin löydökset eikä ole pysyvä väite siitä, että sivusto on turvallinen.

Säilytä peruutuskirjaus luovutuskirjauksen yhteydessä. Kun seuraava toimeksianto avautuu, haluat tietää tarkalleen, mitä viime kerralla poistettiin ja kuka sen hyväksyi, sen sijaan että rakentaisit kuvan muistista.