უსაფრთხოების ტესტის წვდომის გადაცემა: მოცულობა, ანგარიშები და გაუქმება
VPN-ის მონაცემებს მთხოვნელ ტესტერს სჭირდება მოცულობით განსაზღვრული გადაცემა და არა სარეზერვო შესვლა. გაატარეთ ავტორიზაცია ჭიშკარზე, დაასახელეთ სამიზნეები, გასცეთ ანგარიშები და შემდეგ გააუქმეთ.
ტესტერი ითხოვს კარიბჭის მისამართს, შიდა DNS-ის დეტალებსა და VPN-ის მონაცემებს, და მოთხოვნა თქვენთან გადმოდის სათაურით «წვდომა საჭიროა». მოთხოვნა თავისთავად არ გეუბნებათ, შიდა შეფასებაა ეს, ავთენტიფიცირებული აპლიკაციის ტესტი თუ საჯარო ვებსაიტზე მუშაობა, სადაც ვიღაცამ მოცულობა არასწორად გაიგო. შეასრულეთ გადაცემა როგორც თანმიმდევრობა ყოველ საფეხურზე ჭიშკრით, და გაჩერდით პირველ ჭიშკარზე, რომელიც არ იღება. ეს ბუნდოვან მოთხოვნას აქცევს იმად, რისი ავტორიზებაც, გადაცემაც და მოგვიანებით გაუქმებაც შეგიძლიათ.
დაიწყეთ ავტორიზაციით და არა მონაცემებით
სანამ რომელიმე მისამართი თქვენს ყუთს დატოვებს, დაადგინეთ, ვის ეკუთვნის სამიზნეები და ვის აქვს მათზე ტესტირების დამტკიცების უფლება. გადაამოწმეთ ტესტერი იმ პროექტის კონტაქტით, რომელსაც თქვენი ორგანიზაცია უკვე იყენებს და არა იმ პირით, ვინც წერილი გადმოგზავნა. მომხმარებელთან ურთიერთობა ანგარიშიდან მისაწვდომი ყველა სისტემის ტესტირების ნებართვა არ არის, ხოლო შესყიდვის შეკვეთა მოცულობის დოკუმენტი არ არის.
დაწერეთ დამტკიცებული მიზანი ერთი წინადადებით და შეინახეთ გადაცემის გვერდით. «შეაფასეთ მომხმარებლის პორტალის ავთენტიფიკაცია» და «შეაფასეთ შიდა ქსელი» სრულიად განსხვავებულ პაკეტებამდე მიდის, და განსხვავება მომზადებამდე უნდა გაირკვეს და არა მას შემდეგ, რაც დაკვირვება მოვა. წინადადება ასევე გაძლევთ იმას, რაზეც მიუთითებთ, როცა მოთხოვნა სამუშაოს შუაში გაიზრდება.
თუ გზაზე ჰოსტინგის პროვაიდერი ან სხვა მესამე მხარეა, მისი მოთხოვნები თქვენს კომფორტზე ადრე მოდის. სხვისი ინფრასტრუქტურის ტესტირება მისი ნებართვის გარეშე ცალკე პრობლემაა მასზე მომუშავე აპლიკაციის ტესტირებისგან.
დაასახელეთ თვალსაზრისი და სამიზნეები
თვალსაზრისი არის კითხვა, რომელზეც შეფასება ცდილობს პასუხის გაცემას, და ის განსაზღვრავს წვდომის პაკეტს უფრო მეტად, ვიდრე ნებისმიერი ხელსაწყო, რომლის გამოყენებასაც ტესტერი გეგმავს. საჯარო არაავთენტიფიცირებულ ტესტს სჭირდება URL და დროის ფანჯარა. ავთენტიფიცირებულ ტესტს სჭირდება გამოყოფილი ანგარიშები მოცულობაში არსებული კონკრეტული როლებისთვის, ხოლო შიდა შეფასებას — განსაზღვრული შესვლის წერტილი ცხადი სამიზნე დიაპაზონებით.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
სად შედის გვირაბი, ის არ არის იგივე ფაქტი, რაც რომელი აპლიკაცია დგას მის უკან, და ეს ნამდვილად არ იძლევა შესვლის წერტილის გამოკვლევის ნებას. თქვით ეს ცხადად გადაცემაში, რადგან წინადადება «შენ მაგ ქვექსელზე წვდომა მომეცი» სწრაფად მოდის, როგორც კი დაკვირვება სადავო გახდება. წერილობითი სამიზნეების სია ერთადერთია, რაც ამას შემდეგ წყვეტს.
მიეცით TLS-ის ჰოსტის სახელი URL-თან ერთად. შიშველი IP მისამართი ტესტერს აიძულებს სახელის გამოცნობას, ხოლო გამოცნობილი სახელი წარმოქმნის სერტიფიკატის შეცდომებს, რომლებიც დაკვირვებად რეპორტდება და არა როგორც გადაცემის შეცდომა.
გასცეთ გამოყოფილი იდენტობები ვადის გასვლით
უზრუნველყავით ანგარიშები, რომლებიც მხოლოდ ამ სამუშაოსთვის არსებობს; ნუ გასესხებთ თანამშრომლის ყოველდღიურ შესვლას. დააყენეთ ქსელური ხელმისაწვდომობა და აპლიკაციის ნებართვები შეთანხმებულ ამოცანებზე, მოაწყვეთ ავთენტიფიკაციის რეგისტრაცია მხარდაჭერილი გზით, და დაურთეთ ვადის გასვლის თარიღი გაუქმებაზე პასუხისმგებელი დასახელებული პირით. გადასცემეთ მონაცემები შეთანხმებული უსაფრთხო არხით, ცალკე იმ მოცულობის დოკუმენტისგან, რომელიც გარშემო გადაფორვარდება.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
ჩაწერეთ, ვინ რა მიიღო და როდის. ეს ჩანაწერი განსხვავებაა კონტროლირებულ გადაცემასა და ისეთ საერთო პაროლს შორის, რომელსაც ვერავინ თვალს ვერ ადევნებს, და ეს არის პირველი, რასაც ინციდენტის შემდეგ ყველა ითხოვს. შეინახეთ იგი მოცულობის დოკუმენტთან და არა ჩატის ძაფში, და ჩაწერეთ მიწოდების არხი მიმღების გვერდით. დროის ნიშნის მქონე ხაზი ყოველთვის სჯობს მეხსიერებას.
ვადის ველი ბოლო დაცვაა და არა გეგმა. ბოლოს მაინც ვიღაცამ უნდა მოხსნას ქსელური გზა და აპლიკაციის როლი, რადგან ჯერ კიდევ მისაწვდომ ქსელში ვადაგასული შესვლა გაუქმებული წვდომა არ არის.
დაამტკიცეთ, რომ გადაცემა მუშაობს, სანამ ფანჯარა გაიხსნება
თავად შეასრულეთ ტესტერის პირველი ნახტომი, მის პოზიციასთან შეძლებისდაგვარად ახლო ადგილიდან. ამოხსენით სახელი, შეამოწმეთ სერტიფიკატის იდენტობა და დაადასტურეთ, რომ გზა მისდევს განზრახ მისამართს და არა მეზობელს.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
თუ გზა ვერ აღწევს სამიზნეს, გაჩერდით და შეათანხმეთ გადაცემა იმის ნაცვლად, რომ ტესტერს ალტერნატიული მარშრუტი იპოვოს. იმპროვიზებული ხელმისაწვდომობა ის გზაა, რომლითაც შეფასება ჩუმად სცდება საკუთარ მოცულობას, და ეს შემდეგ თითქმის არასდროს დოკუმენტირდება.
გაუგზავნეთ მონაცემებთან ერთად ოპერატიული კონტაქტი, ნებადართული საათები, გამორიცხული ქმედებები და შეჩერების პირობები. ტესტერი, რომელიც 02:00-ზე ვერავის უკავშირდება, მიიღებს გადაწყვეტილებას, რომელიც თქვენ არ ავტორიზებით, და ეს გადაწყვეტილება ანგარიშში ისე აღიწერება, თითქოს მოცულობაში იყო.
NIST SP 800-115 ტექნიკურ შეფასებას განსაზღვრავს როგორც დაგეგმილ ტესტირებას, რომელსაც მოჰყვება ანალიზი და შემსუბუქება, და სწორედ ამ ფორმას მიჰყვება ეს გადაცემა. ზემოთ მოცემული ჭიშკრები სარედაქციო დიზაინის არჩევანია მხარდაჭერის ინჟინრისთვის და არა ამ პუბლიკაციიდან ციტირებული საკონტროლო სია.
დახურეთ სამუშაო წვდომის მოხსნით
გააუქმეთ მომზადების საპირისპირო რიგით: აპლიკაციის როლები, შემდეგ ქსელური წვდომა, შემდეგ თავად იდენტობა. დაადასტურეთ ყოველი ნაბიჯი იმის ნაცვლად, რომ ჩათვალოთ, კონსოლმა გააკეთა ის, რაც ღილაკმა აღუთქვა. დაბლოკეთ ანგარიში მისი სესიების მოკვლამდე, თორემ სესია უბრალოდ ძველი გზით ხელახლა ავთენტიფიცირდება. შემდეგ კიდევ ერთხელ შეამოწმეთ დამყარებული კავშირები, სანამ დახურულად გამოაცხადებთ.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
მოაგვარეთ ნებისმიერი შენახული სატესტო მონაცემი, შემდეგ თვალს ადევნეთ გამოსწორებას დასაწყისში შეთანხმებული რეპორტინგის პროცესით. ანგარიშმა უნდა მიუთითოს გარემო, წვდომის დონე, მოცულობა და შეზღუდვები, რადგან ის ერთი შეფასების დაკვირვებებს აღრიცხავს და არ არის მუდმივი განაცხადი საიტის უსაფრთხოებაზე.
შეინახეთ გაუქმების ჩანაწერი გადაცემის ჩანაწერთან. როცა შემდეგი სამუშაო გაიხსნება, გინდათ ზუსტად იცოდეთ, რა მოიხსნა წინა ჯერზე და ვინ დაამტკიცა, და არა მეხსიერებიდან აღადგინოთ სურათი.