Қауіпсіздік тестіне қатынау өткізу: ауқым, тіркелгілер және кері қайтару
VPN деректерін сұраған тестілеушіге ауқымы белгіленген өткізу керек, қосалқы кіру емес. Авторизацияны қақпадан өткізіңіз, нысандарды атаңыз, тіркелгілер беріңіз, содан кейін кері қайтарыңыз.
Тестілеуші шлюз мекенжайын, ішкі DNS мәліметтерін және VPN деректерін сұрайды, ал сұраныс сізге «қатынау қажет» тақырыбымен жіберіледі. Сұраныстың өзі бұның ішкі бағалау, аутентификацияланған қолданба тесті немесе ауқымды біреу дұрыс түсінбеген ашық веб-сайт жұмысы екенін айтпайды. Өткізуді әр қадамда қақпасы бар реттілік ретінде орындаңыз және ашылмайтын бірінші қақпада тоқтаңыз. Бұл бұлыңғыр сұранысты авторизациялауға, өткізуге және кейін кері қайтаруға болатын нәрсеге айналдырады.
Деректерден емес, авторизациядан бастаңыз
Кез келген мекенжай пошта жәшігіңізден шықпас бұрын нысандар кімге тиесілі және оларға тестілеуді кім мақұлдай алатынын анықтаңыз. Тестілеушіні ұйымыңыз бұрыннан қолданатын жоба байланысы арқылы тексеріңіз, хатты жіберген адам арқылы емес. Клиентпен қарым-қатынас тіркелгіден қолжетімді әрбір жүйені тестілеуге рұқсат емес, ал сатып алу тапсырысы ауқым құжаты емес.
Мақұлданған мақсатты бір сөйлеммен жазып, өткізудің қасында ұстаңыз. «Клиент порталының аутентификациясын бағалаңыз» және «ішкі желіні бағалаңыз» мүлде басқа пакеттерге әкеледі, ал айырмашылық дайындыққа дейін шешілуі керек, табылған нәрсе келгеннен кейін емес. Сөйлем сізге сұраныс жұмыстың ортасында өскенде нұсқайтын нәрсе де береді.
Егер жолда хостинг провайдері немесе басқа үшінші тарап болса, олардың талаптары сіздің жайлылығыңыздан бұрын келеді. Басқаның инфрақұрылымын рұқсатынсыз тестілеу оның үстінде жүретін қолданбаны тестілеуден бөлек мәселе.
Көзқарас пен нысандарды атаңыз
Көзқарас — бағалау жауап беруге тырысатын сұрақ, және ол қатынау пакетін тестілеуші қолданбақ болған кез келген құралдан артық анықтайды. Ашық аутентификацияланбаған тестке URL мен уақыт терезесі керек. Аутентификацияланған тестке ауқымдағы нақты рөлдер үшін арнайы тіркелгілер керек, ал ішкі бағалауға айқын нысан ауқымдары бар белгіленген кіру нүктесі керек.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Туннельдің қайдан кіретіні оның артында қай қолданба тұрғаны туралы факті емес, және ол кіру нүктесін зерттеуге мүлде рұқсат бермейді. Мұны өткізуде айқын айтыңыз, өйткені «сен маған сол ішкі желіге қатынау бердің» деген сөйлем табылған нәрсе дауласқанда тез келеді. Жазбаша нысандар тізімі мұны кейін шешетін жалғыз нәрсе.
URL-мен бірге TLS хост атауын беріңіз. Жалаң IP мекенжайы тестілеушіні атауды болжауға мәжбүрлейді, ал болжалған атау өткізу қатесі ретінде емес, табылым ретінде хабарланатын сертификат қателерін тудырады.
Мерзімі бар арнайы идентификаторлар беріңіз
Тек осы жұмыс үшін бар тіркелгілерді дайындаңыз; қызметкердің күнделікті кіруін қарызға бермеңіз. Желілік қолжетімділік пен қолданба рұқсаттарын келісілген тапсырмаларға сәйкес орнатыңыз, аутентификация тіркелуін қолдау көрсетілетін жолмен ұйымдастырыңыз және кері қайтаруға жауапты аталған адаммен бірге мерзімін тіркеңіз. Деректерді келісілген қауіпсіз арнамен, айнала жіберілетін ауқым құжатынан бөлек өткізіңіз.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Кімнің нені және қашан алғанын жазып отырыңыз. Бұл жазба бақыланатын өткізу мен ешкім ізіне түсе алмайтын ортақ құпиясөздің айырмашылығы, және оқиғадан кейін бәрі ең алдымен осыны сұрайды. Оны чат ағынында емес, ауқым құжатымен бірге сақтаңыз және жеткізу арнасын алушының қасына жазыңыз. Уақыт белгісі бар жол әрдайым естеліктен басым.
Мерзім өрісі — соңғы қорғаныс, жоспар емес. Соңында біреу желілік жолды және қолданба рөлін алып тастауы керек, өйткені әлі қолжетімді желідегі мерзімі өткен кіру кері қайтарылған қатынау емес.
Терезе ашылғанға дейін өткізудің жұмыс істейтінін дәлелдеңіз
Тестілеушінің бірінші секірісін өзіңіз орындаңыз, оның орнына мүмкіндігінше жақын жерден. Атауды шешіңіз, сертификаттың идентификациясын тексеріңіз және жол көршілес емес, көзделген мекенжайға жететінін растаңыз.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Егер жол нысанға жете алмаса, тоқтап, өткізуді реттеңіз, тестілеушіге балама маршрут табуға жол бермей. Дайындықсыз қолжетімділік — бағалаудың өз ауқымынан үнсіз шығу жолы, және бұл кейін тағылымдамай дерлік құжатталмайды.
Деректермен бірге операциялық байланысты, рұқсат етілген сағаттарды, алып тасталған әрекеттерді және тоқтату шарттарын жіберіңіз. 02:00-де ешкімге жете алмаған тестілеуші сіз авторизацияламаған шешім қабылдайды, және бұл шешім есепте ауқым ішінде болғандай сипатталады.
NIST SP 800-115 техникалық бағалауды жоспарланған тестілеу және одан кейінгі талдау мен жұмсарту ретінде қалыптастырады, және бұл өткізу дәл осы пішінді ұстанады. Жоғарыдағы қақпалар — қолдау инженері үшін редакциялық дизайн таңдаулары, ол басылымнан дәйексөзделген тексеру тізімі емес.
Жұмысты қатынауды алып тастаумен жабыңыз
Дайындыққа кері тәртіппен кері қайтарыңыз: қолданба рөлдері, содан кейін желілік қатынау, содан кейін идентичтің өзі. Әр қадамды растаңыз, консоль түйменің уәдесін орындады деп болжамаңыз. Сессияларын өлтірмес бұрын тіркелгіні құлыптаңыз, әйтпесе сессия ескі жолмен қайта аутентификацияланады. Содан кейін жабық деп жарияламас бұрын орнатылған байланыстарды тағы бір рет тексеріңіз.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Кез келген сақталған тест деректерін реттеңіз, содан кейін басында келісілген есептілік процесі арқылы түзетуді қадағалаңыз. Есепте орта, қатынау деңгейі, ауқым және шектеулер көрсетілуі керек, өйткені ол бір бағалаудың табылымдарын жазады және сайттың қауіпсіздігі туралы тұрақты мәлімдеме емес.
Кері қайтару жазбасын өткізу жазбасымен бірге сақтаңыз. Келесі жұмыс ашылғанда сіз өткен жолы нақты ненің алынғанын және кімнің мақұлдағанын білгіңіз келеді, бейнені естеліктен қайта құруды емес.