Անվտանգության թեստի հասանելիության հանձնում՝ շրջանակ, հաշիվներ և չեղարկում
VPN հավատարմագրեր խնդրող թեստավորողին պետք է սահմանված շրջանակով հանձնում, ոչ թե պահուստային մուտք։ Հաստատեք լիազորումը, նշեք թիրախները, թողարկեք հաշիվներ, ապա չեղարկեք։
Թեստավորողը խնդրում է դարպասի հասցե, ներքին DNS-ի մանրամասներ և VPN հավատարմագրեր, և հարցումը ձեզ է ուղարկվում «հասանելիություն է պետք» թեմայով։ Հարցումն ինքնին ձեզ չի ասում՝ դա ներքին գնահատում է, նույնականացմամբ հավելվածի թեստ, թե հանրային կայքի աշխատանք, որտեղ ինչ-որ մեկը սխալ է հասկացել շրջանակը։ Իրականացրեք հանձնումը որպես հաջորդականություն՝ յուրաքանչյուր քայլում մեկ դարպասով, և կանգ առեք առաջին դարպասի մոտ, որը չի բացվում։ Դա անորոշ հարցումը վերածում է մի բանի, որը կարող եք լիազորել, հանձնել և հետո չեղարկել։
Սկսեք լիազորումից, ոչ թե հավատարմագրերից
Մինչև որևէ հասցե ձեր փոստարկղից դուրս գա, պարզեք, թե ով է տիրապետում թիրախներին և ով իրավունք ունի հաստատել դրանց վրա թեստավորումը։ Ստուգեք թեստավորողին ձեր կազմակերպության արդեն օգտագործած նախագծի կոնտակտի միջոցով, ոչ թե էլ. նամակը փոխանցած անձի միջոցով։ Հաճախորդի հետ հարաբերությունը հաշվից հասանելի յուրաքանչյուր համակարգ թեստավորելու թույլտվություն չէ, իսկ գնման պատվերը շրջանակի փաստաթուղթ չէ։
Հաստատված նպատակը գրեք մեկ նախադասությամբ և պահեք այն հանձնման կողքին։ «Գնահատեք հաճախորդի պորտալի նույնականացումը» և «գնահատեք ներքին ցանցը» տանում են բոլորովին տարբեր փաթեթների, և տարբերությունը պետք է լուծվի մատակարարումից առաջ, ոչ թե հայտնաբերումից հետո։ Նախադասությունը ձեզ տալիս է նաև մի բան, որին կարող եք մատնանշել, երբ հարցումը մեծանում է աշխատանքի կեսին։
Եթե ուղու վրա կա հոսթինգի մատակարար կամ այլ երրորդ կողմ, նրանց պահանջները գալիս են ձեր հարմարավետությունից առաջ։ Ուրիշի ենթակառուցվածքը առանց նրա թույլտվության թեստավորելը առանձին խնդիր է դրա վրա աշխատող հավելվածը թեստավորելուց։
Նշեք տեսանկյունը և թիրախները
Տեսանկյունը այն հարցն է, որին փորձում է պատասխանել գնահատումը, և այն ավելի շատ է որոշում հասանելիության փաթեթը, քան ցանկացած գործիք, որը թեստավորողը նախատեսում է օգտագործել։ Հանրային չնույնականացված թեստին պետք է URL և ժամանակային պատուհան։ Նույնականացված թեստին պետք են հատուկ հաշիվներ շրջանակում գտնվող կոնկրետ դերերի համար, իսկ ներքին գնահատմանը՝ սահմանված մուտքի կետ՝ հստակ թիրախային միջակայքերով։
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Թե որտեղ է մտնում թունելը, նույն փաստը չէ, թե որ հավելվածն է դրա հետևում, և դա ամենևին չի լիազորում հետազոտել մուտքի կետը։ Ասեք դա հստակ հանձնման մեջ, որովհետև «դու ինձ հասանելիություն տվեցիր այդ ենթացանցին» նախադասությունը արագ է գալիս, հենց որ հայտնաբերումը վիճարկվի։ Գրավոր թիրախների ցանկն այն միակ բանն է, որ հետո լուծում է դա։
Տվեք TLS հյուրընկալողի անունը URL-ի հետ միասին։ Մերկ IP հասցեն ստիպում է թեստավորողին գուշակել անունը, իսկ գուշակված անունը ստեղծում է վկայագրի սխալներ, որոնք հաղորդվում են որպես հայտնաբերումներ, ոչ թե որպես հանձնման սխալ։
Թողարկեք հատուկ ինքնություններ՝ ժամկետով
Տրամադրեք հաշիվներ, որոնք գոյություն ունեն միայն այս աշխատանքի համար. մի վարկ տվեք աշխատակցի առօրյա մուտքը։ Սահմանեք ցանցային հասանելիությունը և հավելվածի թույլտվությունները համաձայնեցված առաջադրանքներին, կազմակերպեք նույնականացման գրանցումը աջակցվող ուղով, և կցեք ժամկետ՝ նշված անձով, ով պատասխանատու է չեղարկման համար. Հավատարմագրերը հանձնեք համաձայնեցված անվտանգ ալիքով՝ առանձին շրջանակի փաստաթղթից, որը փոխանցվում է շուրջը։
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Գրանցեք, թե ով ինչ ստացավ և երբ։ Այդ գրառումը տարբերությունն է վերահսկվող հանձնման և ոչ ոքի կողմից չհետևվող ընդհանուր գաղտնաբառի միջև, և դա առաջին բանն է, որ ցանկացած մեկը հարցնում է միջադեպից հետո։ Պահեք այն շրջանակի փաստաթղթի հետ, ոչ թե զրույցի թելում, և նշեք առաքման ալիքը ստացողի կողքին։ Ժամանակի նշումով տողը միշտ հաղթում է հիշողությանը։
Ժամկետի դաշտը վերջին ցանցն է, ոչ թե ծրագիրը։ Ինչ-որ մեկը դեռ պետք է վերջում հանի ցանցային ուղին և հավելվածի դերը, որովհետև դեռ հասանելի ցանցում ժամկետանց մուտքը չեղարկված հասանելիություն չէ։
Ապացուցեք, որ հանձնումն աշխատում է, մինչև պատուհանը բացվի
Ինքներդ կատարեք թեստավորողի առաջին թռիչքը՝ նրա դիրքին հնարավորինս մոտ դիրքից։ Լուծեք անունը, ստուգեք վկայագրի ինքնությունը և հաստատեք, որ ուղին հասնում է նախատեսված հասցեին, ոչ թե հարևանին։
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Եթե ուղին չի կարող հասնել թիրախին, կանգ առեք և հարմարեցրեք հանձնումը, փոխարենը թողնելով, որ թեստավորողը գտնի այլընտրանքային ուղի։ Իմպրովիզացված հասանելիությունը այն ձևն է, որով գնահատումը լուռ դուրս է գալիս իր շրջանակից, և դա գրեթե երբեք հետո չի փաստաթղթավորվում։
Հավատարմագրերի հետ ուղարկեք գործառնական կոնտակտը, թույլատրված ժամերը, բացառված գործողությունները և կանգառի պայմանները։ Թեստավորողը, ով 02:00-ին ոչ մեկին չի հասնում, կկայացնի որոշում, որը դուք չեք լիազորել, և այդ որոշումը հաշվետվության մեջ կնկարագրվի այնպես, կարծես այն եղել է շրջանակում։
NIST SP 800-115 տեխնիկական գնահատումը ձևակերպում է որպես պլանավորված թեստավորում, որին հաջորդում են վերլուծություն և մեղմացում, և հենց այդ ձևին է հետևում այս հանձնումը։ Վերևի դարպասները խմբագրական ձևավորման ընտրություններ են աջակցության ինժեների համար, ոչ թե այդ հրապարակումից մեջբերված ստուգաթերթ։
Փակեք աշխատանքը՝ հեռացնելով հասանելիությունը
Չեղարկեք մատակարարման հակառակ հերթականությամբ՝ հավելվածի դերեր, ապա ցանցային հասանելիություն, ապա ինքնությունը։ Հաստատեք յուրաքանչյուր քայլը, փոխարենը ենթադրելու, որ կոնսոլը արեց այն, ինչ խոստացել էր կոճակը։ Կողպեք հաշիվը նախքան դրա սեսիաները սպանելը, հակառակ դեպքում սեսիան պարզապես նորից նույնականացվում է հին ուղով։ Ապա ևս մեկ անգամ ստուգեք հաստատված կապերը նախքան այն փակ հայտարարելը։
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Կարգավորեք պահված թեստային տվյալները, ապա հետևեք ուղղումը սկզբում համաձայնեցված հաշվետվության գործընթացով։ Հաշվետվությունը պետք է նշի միջավայրը, հասանելիության մակարդակը, շրջանակը և սահմանափակումները, որովհետև այն գրանցում է մեկ գնահատման հայտնաբերումներ և կայքի անվտանգության մշտական հայտարարություն չէ։
Պահեք չեղարկման գրառումը հանձնման գրառման հետ։ Երբ բացվի հաջորդ աշխատանքը, դուք ուզում եք իմանալ ճշգրիտ, թե ինչ հեռացվեց նախորդ անգամ և ով հաստատեց, ոչ թե հիշողությունից վերակառուցել պատկերը։