सुरक्षा परीक्षण के लिए एक्सेस हैंडऑफ़: दायरा, खाते और निरसन
VPN क्रेडेंशियल मांगने वाले परीक्षक को दायरे वाला हैंडऑफ़ चाहिए, अतिरिक्त लॉगिन नहीं। अनुमति को गेट करें, लक्ष्यों के नाम लें, खाते जारी करें, फिर निरसित करें।
एक परीक्षक गेटवे पता, आंतरिक DNS विवरण और VPN क्रेडेंशियल मांगता है, और अनुरोध «एक्सेस चाहिए» विषय के साथ आपको भेजा जाता है। अनुरोध अकेले आपको यह नहीं बताता कि यह आंतरिक आकलन है, प्रमाणित एप्लिकेशन परीक्षण है, या किसी सार्वजनिक वेबसाइट का काम है जिसमें किसी ने दायरा गलत समझा है। हैंडऑफ़ को हर चरण पर एक गेट के साथ क्रम के रूप में चलाएँ, और पहले ऐसे गेट पर रुकें जो नहीं खुलता। यह अस्पष्ट अनुरोध को ऐसी चीज़ में बदल देता है जिसे आप अनुमत कर सकते हैं, दे सकते हैं और बाद में निरसित कर सकते हैं।
क्रेडेंशियल से नहीं, अनुमति से शुरू करें
आपके इनबॉक्स से कोई भी पता निकलने से पहले तय करें कि लक्ष्यों का स्वामी कौन है और उन पर परीक्षण स्वीकृत करने की अनुमति किसे है। परीक्षक को उस जुड़ाव संपर्क से सत्यापित करें जो आपका संगठन पहले से उपयोग करता है, ईमेल अग्रेषित करने वाले व्यक्ति से नहीं। ग्राहक संबंध किसी खाते से पहुँचने योग्य हर सिस्टम का परीक्षण करने की अनुमति नहीं है, और क्रय आदेश दायरा दस्तावेज़ नहीं है।
स्वीकृत उद्देश्य को एक वाक्य में लिखें और उसे हैंडऑफ़ के पास रखें। «ग्राहक पोर्टल का प्रमाणीकरण आँकें» और «आंतरिक नेटवर्क आँकें» पूरी तरह भिन्न पैकेजों की ओर ले जाते हैं, और अंतर प्रावधान से पहले तय होना चाहिए, निष्कर्ष आने के बाद नहीं। यह वाक्य आपको वह भी देता है जिसकी ओर इशारा करें जब जुड़ाव के बीच में अनुरोध बढ़े।
यदि मार्ग में कोई होस्टिंग प्रदाता या अन्य तृतीय पक्ष है, तो उसकी आवश्यकताएँ आपकी सुविधा से पहले आती हैं। उसकी अनुमति के बिना किसी और के अधोसंरचना का परीक्षण उस पर चलने वाले एप्लिकेशन के परीक्षण से अलग समस्या है।
दृष्टिकोण और लक्ष्यों के नाम लें
दृष्टिकोण वह प्रश्न है जिसका उत्तर आकलन देना चाहता है, और यह उन सभी उपकरणों से अधिक एक्सेस पैकेज तय करता है जिन्हें परीक्षक उपयोग करने की योजना बनाता है। सार्वजनिक अप्रमाणित परीक्षण के लिए एक URL और एक समय-खिड़की चाहिए। प्रमाणित परीक्षण के लिए दायरे में मौजूद विशिष्ट भूमिकाओं हेतु समर्पित खाते चाहिए, और आंतरिक आकलन के लिए स्पष्ट लक्ष्य-सीमाओं वाला परिभाषित प्रवेश बिंदु चाहिए।
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
सुरंग कहाँ प्रवेश करती है, यह उस तथ्य से भिन्न है कि उसके पीछे कौन-सा एप्लिकेशन है, और यह निश्चित रूप से प्रवेश बिंदु की जाँच की अनुमति नहीं देता। हैंडऑफ़ में यह स्पष्ट कहें, क्योंकि कोई निष्कर्ष विवादित होते ही «तुमने मुझे उस सबनेट में एक्सेस दिया» वाक्य जल्दी आ जाता है। लिखित लक्ष्य सूची ही एकमात्र चीज़ है जो बाद में इसे तय करती है।
URL के साथ TLS होस्टनाम दें। केवल IP पता परीक्षक को नाम का अनुमान लगाने पर विवश करता है, और अनुमानित नाम प्रमाणपत्र त्रुटियाँ पैदा करता है जो हैंडऑफ़ त्रुटि के बजाय निष्कर्ष के रूप में सूचित होती हैं।
समाप्ति के साथ समर्पित पहचानें जारी करें
केवल इस जुड़ाव के लिए मौजूद खाते प्रावधान करें; किसी कर्मचारी का रोज़मर्रा का लॉगिन उधार न दें। सहमत कार्यों के लिए नेटवर्क पहुँच और एप्लिकेशन अनुमतियाँ सेट करें, समर्थित मार्ग से प्रमाणीकरण नामांकन व्यवस्थित करें, और निरसन के लिए ज़िम्मेदार नामित व्यक्ति के साथ समाप्ति तिथि जोड़ें। क्रेडेंशियल को सहमत सुरक्षित चैनल से दें, उस दायरा दस्तावेज़ से अलग जो चारों ओर अग्रेषित होता है।
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
कौन क्या और कब प्राप्त करता है, यह दर्ज करें। वह अभिलेख नियंत्रित हैंडऑफ़ और ऐसे साझा पासवर्ड के बीच अंतर है जिसे कोई ट्रेस नहीं कर सकता, और किसी घटना के बाद सबसे पहले यही मांगा जाता है। इसे चैट थ्रेड में नहीं, दायरा दस्तावेज़ के साथ रखें, और प्राप्तकर्ता के पास डिलीवरी चैनल लिखें। समय-मुद्रा वाली एक पंक्ति हर बार स्मृति से जीतती है।
समाप्ति फ़ील्ड अंतिम सुरक्षा है, योजना नहीं। अंत में किसी को नेटवर्क मार्ग और एप्लिकेशन भूमिका हटानी ही होगी, क्योंकि अभी भी पहुँच वाले नेटवर्क पर समाप्त लॉगिन निरसित एक्सेस नहीं है।
खिड़की खुलने से पहले सिद्ध करें कि हैंडऑफ़ काम करता है
परीक्षक का पहला कदम स्वयं चलाएँ, उसके जितना निकट संभव स्थिति से। नाम हल करें, प्रमाणपत्र की पहचान जाँचें, और पुष्टि करें कि मार्ग पड़ोसी के बजाय इच्छित पते तक पहुँचता है।
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
यदि मार्ग किसी लक्ष्य तक नहीं पहुँच सकता, तो रुकें और हैंडऑफ़ को सामंजस्य दें, परीक्षक को वैकल्पिक मार्ग खोजने देने के बजाय। तत्काल पहुँच ही वह तरीका है जिससे आकलन चुपचाप अपने दायरे से आगे बढ़ता है, और बाद में यह लगभग कभी प्रलेखित नहीं होता।
क्रेडेंशियल के साथ परिचालन संपर्क, अनुमत घंटे, बहिष्कृत क्रियाएँ और रोक शर्तें भेजें। जो परीक्षक 02:00 बजे किसी तक नहीं पहुँच सकता वह ऐसा निर्णय लेगा जिसे आपने अनुमत नहीं किया, और उस निर्णय को रिपोर्ट में ऐसे वर्णित किया जाएगा जैसे वह दायरे के भीतर था।
NIST SP 800-115 तकनीकी आकलन को नियोजित परीक्षण और उसके बाद विश्लेषण व शमन के रूप में तैयार करता है, और यह हैंडऑफ़ उसी आकार का पालन करता है। ऊपर के गेट सहायता अभियंता के लिए संपादकीय डिज़ाइन निर्णय हैं, उस प्रकाशन से उद्धृत जाँच-सूची नहीं।
एक्सेस हटाकर जुड़ाव बंद करें
प्रावधान के उल्टे क्रम में निरसित करें: एप्लिकेशन भूमिकाएँ, फिर नेटवर्क एक्सेस, फिर पहचान स्वयं। हर चरण की पुष्टि करें, यह मानने के बजाय कि कंसोल ने वह किया जो बटन ने वादा किया। सत्रों को मारने से पहले खाता लॉक करें, वरना सत्र पुराने मार्ग से फिर प्रमाणित हो जाता है। फिर बंद घोषित करने से पहले स्थापित कनेक्शन एक बार और जाँचें।
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
रोके गए परीक्षण डेटा का निपटान करें, फिर शुरुआत में सहमत रिपोर्टिंग प्रक्रिया से सुधार को ट्रैक करें। रिपोर्ट में परिवेश, एक्सेस स्तर, दायरा और सीमाएँ बताई जानी चाहिए, क्योंकि यह एक आकलन के निष्कर्ष दर्ज करती है और साइट के सुरक्षित होने का स्थायी बयान नहीं है।
निरसन अभिलेख को हैंडऑफ़ अभिलेख के साथ रखें। अगला जुड़ाव खुलने पर आप जानना चाहेंगे कि पिछली बार ठीक क्या हटाया गया और किसने उसे स्वीकृत किया, स्मृति से चित्र फिर बनाने के बजाय।