Oerjefte fan tagong foar feiligensstests: omfang, akkounts en yntrekking
In tester dy't VPN-bewiisstikken freget, hat in ôfbeakene oerjefte nedich, net in ekstra oanmelding. Kontrolearje de autorisaasje, neam de doelen, meitsje akkounts oan en lûk se dan yn.
In tester freget om in poarte-adres, ynterne DNS-details en VPN-bewiisstikken, en it fersyk wurdt mei it ûnderwerp „tagong nedich“ nei jo trochstjoerd. It fersyk allinich fertelt jo net oft dit in ynterne beoardieling, in test fan in autentisearre applikaasje of in opdracht op in iepenbiere webside is wêrby't immen it omfang ferkeard begrepen hat. Fier de oerjefte út as in searje mei in poarte by elke stap, en stop by de earste poarte dy't net iepenet. Dat makket fan in ûndúdlik fersyk iets dat jo autorisearje, leverje en letter yntrekke kinne.
Begjin mei de autorisaasje, net mei de bewiisstikken
Foardat in adres jo postfak ferlit, stel fêst wa't de doelen besit en wa't tastean mei om tests dêrop goed te keuren. Ferifiearje de tester fia it kontaktpersoan fan de opdracht dat jo organisaasje al brûkt, net fia de persoan dy't de e-post trochstjoerd hat. In kliïntrelaasje is gjin tastimming om elk systeem te testen dat fan in akkount berikber is, en in oankeapopdracht is gjin omfangsdokumint.
Skriuw it goedkarde doel yn ien sin en hâld dy njonken de oerjefte. „Beoardielje de autentikaasje fan it kliïntportaal“ en „beoardielje it ynterne netwurk“ liede ta hiel ferskillende pakketten, en it ferskil moat foar de tarieding besljochte wurde, net neidat in befinning binnenkomt. De sin jout jo ek wat om nei te wizen as it fersyk healwei de opdracht groeit.
As in hostingprovider of in oare tredde partij yn 'e wei is, komme har easken foar jo gemak. It testen fan jins infrastruktuer fan in oar sûnder tastimming is in apart probleem fan it testen fan 'e applikaasje dy't derop draait.
Neam it eachpunt en de doelen
It eachpunt is de fraach dy't de beoardieling besiket te beäntwurdzjen, en it bepaalt it tagongspakket mear as hokker ark de tester ek fan plan is te brûken. In iepenbiere net-autentisearre test hat in URL en in tiidfinster nedich. In autentisearre test hat tawijde akkounts nedich foar de spesifike rollen yn it omfang, en in ynterne beoardieling hat in definiearre yngongspunt nedich mei eksplisite doelberikken.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Wêr't in tunnel ynkomt is net itselde feit as hokker applikaasje der efter sit, en it jout grif gjin tastimming om it yngongspunt te ûndersykjen. Sis dat eksplisyt yn 'e oerjefte, want de sin „do hast my tagong jûn ta dat subnet“ komt fluch sadree't in befinning betwiste wurdt. In skriftlike doellist is it iennige dat it efterôf besljochtet.
Jou de TLS-hostnamme njonken de URL. In keale IP-adres twingt de tester de namme te rieden, en in retten namme smyt sertifikaatflaters op dy't as befinningen rapportearre wurde ynstee fan as in flater yn 'e oerjefte.
Jou tawijde identiteiten út mei in ferfaldatum
Meitsje akkounts oan dy't allinnich foar dizze opdracht besteane; lienst net de deistige oanmelding fan in meiwurker út. Stel netwurkberikberens en applikaasjerjochten yn op 'e ôfsprutsen taken, regel autentikaasjeregistraasje fia in stipe paad, en heakje in ferfaldatum oan mei in neamde persoan dy't ferantwurdlik is foar it yntrekken. Leverje de bewiisstikken fia in ôfsprutsen feilich kanaal, apart fan it omfangsdokumint dat rûnom trochstjoerd wurdt.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Registrearje wa't wat krige, en wannear. Dat register is it ferskil tusken in kontrolearre oerjefte en in dield wachtwurd dat nimmen weromfine kin, en it is it earste dat immen nei in ynsidint freget. Hâld it by it omfangsdokumint ynstee fan yn in petearrige, en notearje it leverkanaal njonken de ûntfanger. In rigel mei tiidstimpel wint elk kear fan in oantinken.
It ferfaldatumfjild is in efterfangnet, net it plan. Immen moat oan 'e ein dochs it netwurkpaad en de applikaasjerol fuorthelje, want in ferfallen oanmelding op in netwurk dat noch berikber is, is gjin yntrokken tagong.
Bewiisje dat de oerjefte wurket foardat it finster iepenet
Fier de earste sprong fan 'e tester sels út, fan in posysje sa ticht by syn as mooglik. Los de namme op, kontrolearje de sertifikaatidentiteit en befêstigje dat it paad it bedoelde adres berikt ynstee fan in neistlizzend adres.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
As it paad in doel net berikke kin, stopje en ferienigje de oerjefte, ynstee fan de tester in alternatyf paad ûntdekke te litten. Ymprovisearre berikberens is hoe't in beoardieling stilwei bûten syn omfang groeit, en it wurdt dêrnei hast nea dokumintearre.
Stjoer it operasjonele kontakt, de tastiene oeren, de útsletten aksjes en de stopbetingsten mei de bewiisstikken. In tester dy't om 02:00 gjinien berikke kin, nimt in beslút dat jo net autorisearre hawwe, en dat beslút sil yn it rapport beskreaun wurde as wie it binnen it omfang.
NIST SP 800-115 beskreaut in technyske beoardieling as plande tests folge troch analyze en mitigaasje, en dat is de foarm dy't dizze oerjefte folget. De poarten hjirboppe binne redaksjonele ûntwerpkarren foar in stipe-yngenieur, gjin kontrôlelist dy't út dy publikaasje sitearre is.
Slút de opdracht ôf troch de tagong fuort te heljen
Lûk yn yn 'e omkearde oarder fan 'e tarieding: applikaasjerollen, dan netwurktagong, dan de identiteit sels. Befêstigje elke stap ynstee fan oan te nimmen dat de konsole die wat de knop beloofde. Skot it akkount foar't jo syn sesjes deadzje, oars autentisearret it sesje him gewoan wer fia it âlde paad. Kontrolearje dan de fêstige ferbiningen noch ien kear foar't jo it sletten neame.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Regelje alle efterholden testgegevens, en folgje dan de ferbettering fia it rapportaazjeproses dat jo by de start ôfsprutsen hawwe. It rapport moat de omjouwing, it tagongsnivo, it omfang en de beheiningen neame, want it registrearret befinningen fan ien beoardieling en is gjin permaninte ferklearring dat de side feilich is.
Hâld it yntrekkingsregister by it oerjefteregister. As de folgjende opdracht iepenet, wolle jo krekt witte wat ferline kear fuorthelle waard en wa't it goedkarde, ynstee fan it byld út it ûnthâld wer op te bouwen.