Afhending aðgangs fyrir öryggisprófun: umfang, reikningar og afturköllun

Prófari biður um gáttarfang, upplýsingar um innra DNS og VPN-skírteini, og beiðninni er vísað til þín með fyrirsögninni „aðgangur nauðsynlegur“. Beiðnin ein og sér segir þér ekki hvort hér sé um innra mat, prófun á auðkenndu forriti eða verk á opinberri vefsíðu að ræða þar sem einhver hefur misskilið umfangið. Framkvæmdu afhendinguna sem röð með hliði á hverju stigi og stöðvaðu við fyrsta hlið sem opnast ekki. Það gerir óljósa beiðni að einhverju sem þú getur heimilað, afhent og afturkallað síðar.

Byrjaðu á heimildinni, ekki skírteinunum

Áður en nokkur heimilisfang fer úr pósthólfinu þínu skaltu staðfesta hver á skotmörkin og hver má samþykkja prófanir á þeim. Staðfestu prófarann í gegnum tengilið verkefnisins sem fyrirtækið þitt notar þegar, ekki í gegnum manneskjuna sem áframsendi tölvupóstinn. Viðskiptasamband er ekki heimild til að prófa hvert kerfi sem næst frá reikningi, og innkaupapöntun er ekki umfangsskjal.

Skrifaðu samþykkt markmið í einni setningu og hafðu hana við hlið afhendingarinnar. „Metið auðkenningu viðskiptavinarvefsins“ og „metið innra netið“ leiða til gjörólíkra pakka, og ágreiningurinn verður að vera leystur fyrir uppsetningu, ekki eftir að niðurstaða berst. Setningin gefur þér líka eitthvað til að benda á þegar beiðnin stækkar í miðju verkefninu.

Ef hýsingaraðili eða annar þriðji aðili er á leiðinni ganga kröfur þeirra fyrir þægindum þínum. Að prófa innviði einhvers annars án leyfis hans er annað vandamál en að prófa forritið sem keyrir á þeim.

Nefndu sjónarhornið og skotmörkin

Sjónarhornið er spurningin sem matið reynir að svara og ræður aðgangspakkanum meira en nokkurt tæki sem prófarinn ætlar að nota. Opinber óauðkennd prófun þarf URL og tímaglugga. Auðkennd prófun þarf sérstaka reikninga fyrir tilteknu hlutverkin í umfanginu, og innra mat þarf skilgreindan inngangspunkt með skýrum skotmörkum.

Hvar göngin koma inn er ekki sama staðreynd og hvaða forrit stendur á bak við þau, og það heimilar alls ekki að rannsaka inngangspunktinn. Segðu þetta skýrt í afhendingunni, því setningin „þú gafst mér aðgang að þessu undirneti“ kemur fljótt þegar niðurstaða er dregin í efa. Skriflegur skotmarkalisti er það eina sem leysir það eftir á.

Gefðu TLS-hýsingarheitið ásamt URL. Bert IP-fang neyðir prófarann til að giska á heitið, og giskað heiti framleiðir skírteinisvillur sem eru tilkynntar sem niðurstöður frekar en sem villa í afhendingunni.

Gefðu út sérstök auðkenni með fyrningardagsetningu

Settu upp reikninga sem eru til eingöngu fyrir þetta verkefni; ekki lána daglegu innskráningu starfsmanns. Stilltu netaðgengi og forritsheimildir að samþykktum verkum, skipuleggðu skráningu auðkenningar um studda leið, og festu fyrningardagsetningu með nafngreindri manneskju sem ber ábyrgð á afturköllun. Afhentu skírteinin um samþykkta örugga leið, aðskilin frá umfangsskjali sem er áframsent á víðavangi.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Skráðu hver fékk hvað, og hvenær. Sú skráning er munurinn á stýrðri afhendingu og sameiginlegu lykilorði sem enginn getur rakið, og það er það fyrsta sem hver sem er biður um eftir atvik. Geymdu hana með umfangsskjalinu frekar en í spjallþræði, og skráðu afhendingarleiðina við hlið viðtakandans. Lína með tíðarstimpli vinnur alltaf yfir minnið.

Fyrningarsviðið er öryggisnet, ekki áætlunin. Einhver verður samt að fjarlægja netleiðina og forritshlutverkið í lokin, því fyrnt innskráning á neti sem enn er aðgengilegt er ekki afturkallaður aðgangur.

Sannaðu að afhendingin virki áður en glugginn opnast

Farðu sjálf(ur) fyrsta stökk prófarans, frá stöðu eins nálægt hans og kostur er. Leystu heitið, athugaðu auðkenni skírteinisins og staðfestu að leiðin nái til ætlaðs fangs frekar en nágrannafangs.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Ef leiðin nær ekki skotmarki skaltu stöðva og samræma afhendinguna frekar en að leyfa prófaranum að uppgötva aðra leið. Hugmyndalaus aðgengi er hvernig mat getur hljóðlega farið út fyrir umfang sitt, og það er næstum aldrei skjalfest eftir á.

Sendu rekstrartengiliðinn, leyfða klukkustundir, útilokuð verk og stöðvunarskilyrði með skírteinunum. Prófari sem nær ekki í neinn klukkan 02:00 mun taka ákvörðun sem þú heimilaðir ekki, og sú ákvörðun verður lýst í skýrslunni eins og hún hafi verið innan umfangs.

NIST SP 800-115 rammar tæknilegt mat inn sem skipulagða prófun sem fylgt er eftir með greiningu og mildun, og það er formið sem þessi afhending fylgir. Hliðin hér að ofan eru ritstjórnarleg hönnunarval fyrir stuðningsverkfræðing, ekki gátlisti sem vitnað er í úr þeirri útgáfu.

Ljúktu verkefninu með því að fjarlægja aðganginn

Afturkallaðu í öfugri röð við uppsetninguna: forritshlutverk, þá netaðgang, þá auðkennið sjálft. Staðfestu hvert skref í stað þess að gera ráð fyrir að stjórnborðið hafi gert það sem hnappurinn lofaði. Læstu reikninginn áður en þú drepur lotur hans, annars auðkennir lotan sig einfaldlega aftur um gömlu leiðina. Athugaðu svo tengingarnar sem eru uppi einu sinni enn áður en þú lýsir því lokuðu.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Gerðu upp öll geymd prófunargögn og fylgdu svo úrbótum í gegnum skýrslugerðarferlið sem var samþykkt í upphafi. Skýrslan á að tilgreina umhverfið, aðgangsstigið, umfangið og takmarkanirnar, því hún skráir niðurstöður eins mats og er ekki varanleg yfirlýsing um að vefurinn sé öruggur.

Geymdu afturköllunarskráninguna með afhendingarskráningunni. Þegar næsta verkefni opnast viltu vita nákvæmlega hvað var fjarlægt síðast og hver samþykkti það, frekar en að endurbyggja myndina úr minni.