Hozzáférés-átadás biztonsági teszthez: hatókör, fiókok és visszavonás
A VPN-hitelesítő adatokat kérő tesztelőnek hatókörrel rendelkező átadás kell, nem tartalék bejelentkezés. Engedélyezze a jóváhagyást, nevezze meg a célokat, adjon ki fiókokat, majd vonja vissza.
Egy tesztelő átjárócímet, belső DNS-adatokat és VPN-hitelesítő adatokat kér, és a kérést „hozzáférés szükséges” tárggyal továbbítják Önhöz. A kérés önmagában nem mondja meg, hogy belső értékelésről, hitelesített alkalmazástesztről vagy egy nyilvános webhelyre szóló megbízásról van szó, ahol valaki félreértette a hatókört. Vezesse végig az átadást lépések sorozataként, minden lépésnél egy kapuval, és álljon meg az első kapunál, amely nem nyílik ki. Ez a homályos kérést olyasmivé alakítja, amit engedélyezni, átadni és később visszavonni tud.
Az engedélyezéssel kezdje, nem a hitelesítő adatokkal
Mielőtt bármely cím elhagyná a postaládáját, tisztázza, ki birtokolja a célokat, és ki jogosult azokon tesztelést jóváhagyni. A tesztelőt a szervezete által már használt megbízási kapcsolaton keresztül ellenőrizze, ne az e-mailt továbbító személyen keresztül. Az ügyfélkapcsolat nem felhatalmazás minden fiókból elérhető rendszer tesztelésére, a beszerzési megrendelés pedig nem hatóköri dokumentum.
Írja le a jóváhagyott célt egy mondatban, és tartsa az átadás mellett. Az „értékelje az ügyfélportál hitelesítését” és az „értékelje a belső hálózatot” teljesen különböző csomagokhoz vezet, és a különbséget a kiépítés előtt kell tisztázni, nem azután, hogy megérkezik egy megállapítás. A mondat arra is alkalmas, hogy rámutasson, amikor a kérés a megbízás közepén megnő.
Ha egy tárhelyszolgáltató vagy más harmadik fél van az útvonalon, az ő követelményeik megelőzik az Ön kényelmét. Más infrastruktúrájának engedély nélküli tesztelése külön probléma a rajta futó alkalmazás tesztelésétől.
Nevezze meg a nézőpontot és a célokat
A nézőpont az a kérdés, amelyre az értékelés válaszolni próbál, és jobban meghatározza a hozzáférési csomagot, mint bármely eszköz, amelyet a tesztelő használni tervez. Egy nyilvános, hitelesítés nélküli teszt URL-t és időablakot igényel. Egy hitelesített teszt a hatókörben lévő konkrét szerepkörökhöz dedikált fiókokat igényel, egy belső értékelés pedig meghatározott belépési pontot kifejezett célterületekkel.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Az, hogy hol lép be egy alagút, nem ugyanaz a tény, mint hogy melyik alkalmazás áll mögötte, és biztosan nem engedélyezi a belépési pont vizsgálatát. Mondja ki ezt egyértelműen az átadásban, mert a „hozzáférést adtál nekem ahhoz az alhálózathoz” mondat gyorsan megérkezik, amint egy megállapítást vitatnak. Az írásos cél lista az egyetlen, ami ezt utólag eldönti.
Adja meg a TLS-gazdanevet az URL-lel együtt. A csupasz IP-cím találgatásra kényszeríti a tesztelőt, a találgatott név pedig tanúsítványhibákat okoz, amelyeket megállapításként jelentenek, nem átadási hibaként.
Adjon ki dedikált identitásokat lejárati dátummal
Olyan fiókokat biztosítson, amelyek csak erre a megbízásra léteznek; ne adja kölcsön egy munkatárs mindennapi bejelentkezését. Állítsa a hálózati elérhetőséget és az alkalmazásengedélyeket a megállapodott feladatokra, rendezze a hitelesítési regisztrációt támogatott úton, és csatoljon lejárati dátumot egy megnevezett, a visszavonásért felelős személlyel. Adja át a hitelesítő adatokat megállapodott biztonságos csatornán, elkülönítve a körbe-körbe továbbított hatóköri dokumentumtól.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Jegyezze fel, ki mit kapott, és mikor. Ez a nyilvántartás a különbség a kontrollált átadás és egy megosztható jelszó között, amelyet senki sem tud visszakövetni, és ez az első dolog, amit bárki egy incidens után kér. Tartsa a hatóköri dokumentumnál, ne egy csevegésszálban, és jegyezze fel az átadási csatornát a címzett mellé. Az időbélyeggel ellátott sor mindig legyőzi az emlékezetet.
A lejárati mező védőháló, nem a terv. Valakinek a végén mégiscsak el kell távolítania a hálózati útvonalat és az alkalmazás szerepkörét, mert egy lejárt bejelentkezés egy továbbra is elérhető hálózaton nem visszavont hozzáférés.
Bizonyítsa, hogy az átadás működik, mielőtt az ablak kinyílik
Végezze el a tesztelő első ugrását saját maga, a lehető legközelebbi pozícióból az övéhez. Oldja fel a nevet, ellenőrizze a tanúsítvány identitását, és erősítse meg, hogy az útvonal a szándékolt címre érkezik, nem egy szomszédosra.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Ha az útvonal nem ér el egy célt, álljon meg és hangolja össze az átadást, ahelyett hogy a tesztelő alternatív útvonalat fedezne fel. Az improvizált elérhetőség az, ahogyan egy értékelés csendesen túlnő a hatókörén, és ezt utólag szinte soha nem dokumentálják.
Küldje el a működési kapcsolattartót, az engedélyezett órákat, a kizárt műveleteket és a leállítási feltételeket a hitelesítő adatokkal együtt. Az a tesztelő, aki 02:00-kor senkit sem ér el, olyan döntést hoz, amelyet Ön nem engedélyezett, és azt a döntést a jelentés úgy írja le, mintha a hatókörön belül lett volna.
NIST SP 800-115 a technikai értékelést tervezett tesztelésként, majd elemzésként és mérséklésként keretezi, és ez az a forma, amelyet ez az átadás követ. A fenti kapuk egy támogatási mérnök szerkesztői tervezési döntései, nem az adott kiadványból idézett ellenőrzőlista.
Zárja le a megbízást a hozzáférés eltávolításával
Fordított sorrendben vonja vissza a kiépítéshez képest: alkalmazásszerepkörök, majd hálózati hozzáférés, majd maga az identitás. Minden lépést erősítsen meg, ahelyett hogy feltételezné, a konzol megtette, amit a gomb ígért. Zárja le a fiókot, mielőtt leállítja a munkameneteit, különben a munkamenet egyszerűen újra hitelesít a régi útvonalon. Ezután még egyszer ellenőrizze a létrejött kapcsolatokat, mielőtt lezártnak nyilvánítja.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Rendezze a visszatartott tesztadatokat, majd kövesse a javítást a kezdetben megállapodott jelentési folyamaton keresztül. A jelentésnek meg kell adnia a környezetet, a hozzáférési szintet, a hatókört és a korlátokat, mert egyetlen értékelés megállapításait rögzíti, és nem állandó kijelentés arról, hogy a webhely biztonságos.
Tartsa a visszavonási nyilvántartást az átadási nyilvántartással együtt. Amikor a következő megbízás megnyílik, tudni akarja, pontosan mi lett legutóbb eltávolítva és ki hagyta jóvá, ahelyett hogy emlékezetből építené újra a képet.