Prieigos perdavimas saugumo testavimui: apimtis, paskyros ir atšaukimas

Testuotojas prašo tinklo vartų adreso, vidinio DNS duomenų ir VPN prisijungimo duomenų, o prašymas perduodamas jums su tema „reikia prieigos“. Vien prašymas nepasako, ar tai vidinis vertinimas, autentifikuotos programos testas, ar viešos svetainės darbas, kuriame kas nors neteisingai suprato apimtį. Atlikite perdavimą kaip seką su vartais kiekviename žingsnyje ir sustokite prie pirmųjų vartų, kurie neatsiveria. Tai paverčia neaiškų prašymą tuo, ką galite patvirtinti, perduoti ir vėliau atšaukti.

Pradėkite nuo leidimo, o ne nuo prisijungimo duomenų

Prieš bet kuriam adresui paliekant jūsų pašto dėžutę, nustatykite, kam priklauso taikiniai ir kas gali patvirtinti jų testavimą. Patikrinkite testuotoją per projekto kontaktą, kurį jūsų organizacija jau naudoja, o ne per asmenį, persiuntusį laišką. Kliento santykiai nėra leidimas testuoti kiekvieną sistemą, pasiekiamą iš paskyros, o pirkimo užsakymas nėra apimties dokumentas.

Užrašykite patvirtintą tikslą vienu sakiniu ir laikykite jį šalia perdavimo. „Įvertinkite kliento portalo autentifikavimą“ ir „įvertinkite vidinį tinklą“ veda prie visiškai skirtingų paketų, o skirtumas turi būti išspręstas prieš paruošimą, o ne po to, kai atsiranda radinys. Sakinys taip pat duoda jums tai, į ką galite parodyti, kai prašymas išauga darbo viduryje.

Jei kelyje yra hostingo tiekėjas ar kita trečioji šalis, jų reikalavimai eina prieš jūsų patogumą. Testuoti svetimą infrastruktūrą be leidimo yra atskira problema nuo programos, kuri joje veikia, testavimo.

Įvardykite požiūrį ir taikinius

Požiūris yra klausimas, į kurį vertinimas bando atsakyti, ir jis labiau nei bet koks įrankis, kurį testuotojas planuoja naudoti, lemia prieigos paketą. Viešam neautentifikuotam testui reikia URL ir laiko lango. Autentifikuotam testui reikia specialių paskyrų konkretiems apimties vaidmenims, o vidiniam vertinimui reikia apibrėžto įėjimo taško su aiškiais taikinių intervalais.

Tai, kur įeina tunelis, nėra tas pats faktas kaip tai, kokia programa yra už jo, ir tai tikrai neleidžia tirti įėjimo taško. Pasakykite tai aiškiai perdavime, nes sakinys „tu davei man prieigą prie to potinklio“ ateina greitai, kai tik radinys užginčijamas. Rašytinis taikinių sąrašas yra vienintelis dalykas, kuris tai išsprendžia vėliau.

Nurodykite TLS mazgo vardą kartu su URL. Plikas IP adresas verčia testuotoją spėlioti vardą, o spėtas vardas sukelia sertifikato klaidas, kurios pranešamos kaip radiniai, o ne kaip perdavimo klaida.

Išduokite specialias tapatybes su galiojimo terminu

Paruoškite paskyras, kurios egzistuoja tik šiam darbui; neskolinkite darbuotojo kasdienio prisijungimo. Nustatykite tinklo pasiekiamumą ir programos leidimus pagal sutartas užduotis, sutvarkykite autentifikavimo registraciją palaikomu keliu ir pridėkite galiojimo terminą su įvardytu asmeniu, atsakingu už atšaukimą. Perduokite prisijungimo duomenis sutartu saugiu kanalu, atskirai nuo apimties dokumento, kuris persiunčiamas aplinkui.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Užregistruokite, kas ką gavo ir kada. Šis įrašas yra skirtumas tarp kontroliuojamo perdavimo ir bendro slaptažodžio, kurio niekas negali atsekti, ir tai yra pirmas dalykas, kurio kas nors prašo po incidento. Laikykite jį prie apimties dokumento, o ne pokalbių eilutėje, ir pažymėkite pristatymo kanalą prie gavėjo. Eilutė su laiko žyma visada nugali prisiminimą.

Galiojimo termino laukas yra paskutinė apsauga, o ne planas. Kažkas vis tiek turi pašalinti tinklo kelią ir programos vaidmenį pabaigoje, nes pasibaigęs prisijungimas vis dar pasiekiamame tinkle nėra atšaukta prieiga.

Įrodykite, kad perdavimas veikia, prieš atsidarant langui

Atlikite pirmąjį testuotojo šuolį patys, iš kuo arčiau jo esančios pozicijos. Išspręskite vardą, patikrinkite sertifikato tapatybę ir patvirtinkite, kad kelias pasiekia numatytą adresą, o ne gretimą.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Jei kelias negali pasiekti taikinio, sustokite ir suderinkite perdavimą, užuot leidę testuotojui atrasti alternatyvų maršrutą. Improvizuotas pasiekiamumas yra būdas, kuriuo vertinimas tyliai išsiplėčia už savo apimties, ir tai beveik niekada neįforminama vėliau.

Išsiųskite operatyvų kontaktą, leidžiamas valandas, neįtrauktus veiksmus ir sustabdymo sąlygas kartu su prisijungimo duomenimis. Testuotojas, kuris 02:00 negali nieko pasiekti, priims sprendimą, kurio neleidote, ir tas sprendimas bus aprašytas ataskaitoje taip, tarsi jis būtų buvęs apimtyje.

NIST SP 800-115 apibūdina techninį vertinimą kaip suplanuotą testavimą, po kurio atliekama analizė ir švelninimas, ir būtent šią formą atkartoja šis perdavimas. Aukščiau pateikti vartai yra redakciniai dizaino sprendimai palaikymo inžinieriui, o ne patikros sąrašas, cituotas iš to leidinio.

Uždarykite darbą pašalindami prieigą

Atšaukite atvirkštine tvarka nei paruošimas: programos vaidmenys, tada tinklo prieiga, tada pati tapatybė. Patvirtinkite kiekvieną žingsnį, užuot manę, kad konsolė padarė tai, ką žadėjo mygtukas. Užrakinkite paskyrą prieš žudydami jos sesijas, kitaip sesija tiesiog iš naujo autentifikuosis senu keliu. Tada dar kartą patikrinkite užmegztus ryšius, prieš paskelbdami tai uždarytu.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Sutvarkykite bet kokius pasiliktuosius testo duomenis, tada stebėkite taisymą per pradžioje sutartą ataskaitų teikimo procesą. Ataskaitoje turi būti nurodyta aplinka, prieigos lygis, apimtis ir apribojimai, nes ji fiksuoja vieno vertinimo radinius ir nėra nuolatinis teiginys, kad svetainė yra saugi.

Laikykite atšaukimo įrašą kartu su perdavimo įrašu. Kai atsidarys kitas darbas, norėsite tiksliai žinoti, kas praėjusį kartą buvo pašalinta ir kas tai patvirtino, o ne atkurti vaizdą iš atminties.