Iwwergabe vum Zougang fir Sécherheetstester: Ëmfang, Konten an Zeréckzuch

En Tester freet eng Gateway-Adress, intern DNS-Detailer an VPN-Umeldungsdaten un, an d'Ufro gëtt mat dem Sujet „Zougang néideg“ un Iech virugeschéckt. D'Ufro eleng seet Iech net, ob et eng intern Bewäertung, en Test vun enger authentifizéierter Applikatioun oder eng Aarbecht op enger ëffentlecher Websäit ass, wou een den Ëmfang falsch verstanen huet. Féiert d'Iwwergabe als eng Sequenz mat enger Paart op all Schrëtt duerch a stoppt bei der éischter Paart, déi sech net opmécht. Domat gëtt aus enger vaager Ufro eppes, wat Dir autoriséiere, ausliwweren a spéider zeréckzéien kënnt.

Fänkt mat der Autorisatioun un, net mat den Umeldungsdaten

Éier eng Adress Äre Postkass verléisst, stellt fest, wiem d'Ziler gehéieren a wien d'Testen drop approuvéiere kann. Verifizéiert den Tester iwwer de Projetkontakt, deen Är Organisatioun schonn notzt, net iwwer d'Persoun, déi d'E-Mail virugeschéckt huet. Eng Client-Relatioun ass keng Erlaabnes, all System ze testen, deen iwwer e Konto erreechbar ass, an eng Bestellung ass keen Ëmfangsdokument.

Schreift dat approuvéiert Zil an engem Saz op a haalt en nieft der Iwwergabe. „D'Authentifizéierung vum Clientportal bewäerten“ an „den internen Netz bewäerten“ féieren zu komplett ënnerschiddleche Paketen, an den Ënnerscheed muss virun der Bereetstellung gekläert ginn, net nodeems eng Entdeckung ukënnt. De Saz gëtt Iech och eppes, op dat Dir weise kënnt, wann d'Ufro mëttlerweil an der Aarbecht wiisst.

Wann en Hosting-Provider oder en aneren Drëtten um Wee ass, kommen seng Ufuerderungen virun Ärer Bequemlechkeet. D'Infrastruktur vun engem aneren ouni seng Erlaabnes ze testen ass eng aner Fro wéi d'Applikatioun ze testen, déi drop leeft.

Nennt de Bléckwinkel an d'Ziler

De Bléckwinkel ass d'Fro, déi d'Bewäertung probéiert ze beäntweren, an hie bestëmmt de Zougangspaket méi wéi all Instrument, dat den Tester plangt ze benotzen. En ëffentlechen net-authentifizéierte Test brauch eng URL an eng Zäitfenster. En authentifizéierte Test brauch dedizéiert Konten fir déi spezifesch Rollen am Ëmfang, an eng intern Bewäertung brauch en definéierten Entréespunkt mat explizite Zielberäicher.

Wou en Tunnel erakënnt, ass net déiselwecht Tatsaach wéi wéi eng Applikatioun hannert him läit, an et erlaabt sécherlech net, den Entréespunkt z'ënnersichen. Soet dat explizit an der Iwwergabe, well de Saz „du hues mir Zougang zu deem Subnet ginn“ kënnt séier, soubal eng Entdeckung diskutéiert gëtt. Eng schrëftlech Zillëscht ass dat eenzegt, wat dat duerno kläert.

Gitt den TLS-Hostnumm zesumme mat der URL. Eng bloß IP-Adress zwéngt den Tester, den Numm ze roden, an en geroden Numm produzéiert Zertifikatsfeeler, déi als Entdeckungen amplaz als Iwwergabefehler gemellt ginn.

Stellt dedizéiert Identitéite mat engem Ofleefdatum aus

Stellt Konten bereet, déi nëmmen fir dës Aarbecht existéieren; verléit net den alldeegleche Login vun engem Mataarbechter. Setzt d'Netzerreechbarkeet an d'Applikatiounsrechter op déi vereinbart Aufgaben, organiséiert d'Authentifizéierungsregistrierung iwwer e ënnerstëtzte Wee, a bäit e Ofleefdatum mat enger genannter Persoun, déi fir den Zeréckzuch verantwortlech ass. Iwwergitt d'Umeldungsdaten iwwer e vereinbart séchere Kanal, getrennt vum Ëmfangsdokument, dat ronderëm weidergeleet gëtt.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Notéiert, wien wat a wéini kritt huet. Dës Notiz ass den Ënnerscheed tëscht enger kontrolléierter Iwwergabe an engem gedeelte Passwuert, deem een net nofuere kann, an et ass dat Éischt, wat jiddereen no engem Tëschefall freet. Halt se beim Ëmfangsdokument amplaz an engem Chat-Thread, a notéiert de Liwwerkanal nieft dem Empfänger. Eng Linn mat Zäitstempel gewënnt all Kéier géint d'Erënnerung.

D'Ofleefdatumfeld ass e Sécherheetsnetz, net de Plang. Een muss um Enn nach de Netzwee an d'Applikatiounsroll ewechhuelen, well en ofgelaufene Login op engem nach erreechbaren Netz ass keen zeréckgezunnenen Zougang.

Beweist, datt d'Iwwergabe funktionéiert, éier d'Fënster opgeet

Maacht den éischten Hopp vum Tester selwer, vun enger Positioun sou no wéi méiglech bei senger. Léist den Numm op, kontrolléiert d'Identitéit vum Zertifikat a bestätegt, datt de Wee déi virgesinn Adress erreecht an net eng Nopeschadress.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Wann de Wee keen Zil erreeche kann, stoppt a versöhnt d'Iwwergabe, amplaz den Tester eng Alternativroute entdecken ze loossen. Improviséiert Erreechbarkeet ass de Wee, wéi eng Bewäertung stëll iwwer hiren Ëmfang eraus wiisst, an et gëtt duerno bal ni dokumentéiert.

Schéckt den operationellen Kontakt, déi erlaabten Stonnen, déi ausgeschloss Aktiounen an d'Stoppbedingungen zesumme mat den Umeldungsdaten. En Tester, deen um 02:00 keen erreecht, hëlt eng Entscheedung, déi Dir net autoriséiert hutt, an déi Entscheedung gëtt am Rapport beschriwwen, wéi wann se am Ëmfang wier.

NIST SP 800-115 ënnersträicht eng technesch Bewäertung als geplangten Test gefollegt vun Analys a Milderung, an dat ass d'Form, déi dës Iwwergabe suivéiert. D'Parten hei uewen sinn editoriell Designentscheedungen fir en Support-Ingenieur, keng Checklist, déi aus där Publikatioun zitéiert ass.

Schliss d'Aarbecht of, andeems Dir den Zougang ewechhëlt

Zitt a géigendeeler Reihenfolg vun der Bereetstellung zeréck: Applikatiounsrollen, duerno Netzzougang, duerno d'Identitéit selwer. Bestätegt all Schrëtt, amplaz unzehuelen, d'Konsole hätt gemaach, wat de Knäppchen versprach huet. Spärt de Konto, éier Dir seng Sessiounen ëmbréngt, anescht authentifizéiert sech d'Sessioun einfach iwwer den ale Wee. Préift duerno d'etabléiert Verbindungen eng Kéier méi, éier Dir et als zou bezeechent.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Kläert all zréckgehalen Testdaten an suivéiert duerno d'Korrektur iwwer de Rapportsprozess, deen Dir um Ufank vereinbart hutt. De Rapport soll d'Ëmfeld, den Zougangsniveau, den Ëmfang an d'Limiten uginn, well en d'Entdeckunge vun enger Bewäertung festhält an net eng permanent Ausso ass, datt d'Säit sécher ass.

Halt d'Zeréckzuchsnotiz bei der Iwwergabsnotiz. Wann déi nächst Aarbecht opgeet, wëllt Dir genee wëssen, wat lescht Kéier ewechgeholl gouf a wien et approuvéiert huet, amplaz d'Bild aus dem Gediechtnes erëm opzebauen.