Piekļuves nodošana drošības testam: apjoms, konti un atsaukšana

Testeris pieprasa vārtejas adresi, iekšējā DNS informāciju un VPN akreditācijas datus, un pieprasījums tiek pārsūtīts jums ar tematu «nepieciešama piekļuve». Pats pieprasījums jums nepasaka, vai tas ir iekšējs novērtējums, autentificētas lietojumprogrammas tests vai darbs pie publiskas vietnes, kur kāds ir nepareizi sapratis apjomu. Veiciet nodošanu kā secību ar vārtiem katrā solī un apstājieties pie pirmajiem vārtiem, kas neatsveras. Tas nekonkrēto pieprasījumu pārvērš par kaut ko, ko varat autorizēt, nodot un vēlāk atsaukt.

Sāciet ar autorizāciju, nevis ar akreditācijas datiem

Pirms jebkura adrese atstāj jūsu iesūtni, nosakiet, kam pieder mērķi un kam ir atļauts apstiprināt to testēšanu. Pārbaudiet testeri, izmantojot projekta kontaktu, ko jūsu organizācija jau izmanto, nevis personu, kas pārsūtīja e-pastu. Attiecības ar klientu nav atļauja testēt katru sistēmu, kas sasniedzama no konta, un pirkuma pasūtījums nav apjoma dokuments.

Uzrakstiet apstiprināto mērķi vienā teikumā un turiet to blakus nodošanai. «Novērtējiet klienta portāla autentifikāciju» un «novērtējiet iekšējo tīklu» noved pie pilnīgi atšķirīgiem paketiem, un atšķirība ir jāatrisina pirms nodrošināšanas, nevis pēc atraduma saņemšanas. Teikums jums dod arī kaut ko, uz ko norādīt, kad pieprasījums darba vidū pieaug.

Ja ceļā ir mitināšanas pakalpojumu sniedzējs vai cita trešā puse, tās prasības ir pirms jūsu ērtībām. Kāda cita infrastruktūras testēšana bez viņa atļaujas ir atsevišķa problēma no lietojumprogrammas, kas uz tās darbojas, testēšanas.

Nosauciet skatījumu un mērķus

Skatījums ir jautājums, uz ko novērtējums cenšas atbildēt, un tas nosaka piekļuves paketi vairāk nekā jebkurš rīks, ko testeris plāno izmantot. Publiskam neautentificētam testam vajag URL un laika logu. Autentificētam testam vajag īpašus kontus konkrētām apjoma lomām, un iekšējam novērtējumam vajag noteiktu ieejas punktu ar skaidriem mērķu diapazoniem.

Tas, kur tuneļa ieiet, nav tas pats fakts kā tas, kura lietojumprogramma atrodas aiz tā, un tas noteikti neļauj pētīt ieejas punktu. Sakiet to skaidri nodošanā, jo teikums «tu man devi piekļuvi tam apakštīklam» nāk ātri, tiklīdz atradums tiek apstrīdēts. Rakstisks mērķu saraksts ir vienīgais, kas to vēlāk atrisina.

Norādiet TLS resursdatora nosaukumu kopā ar URL. Kaila IP adrese liek testerim minēt nosaukumu, un minēts nosaukums rada sertifikāta kļūdas, kas tiek ziņotas kā atradumi, nevis kā nodošanas kļūda.

Izsniedziet īpašas identitātes ar derīguma termiņu

Sagatavojiet kontus, kas pastāv tikai šim darbam; neaizdodiet darbinieka ikdienas pieteikšanos. Iestatiet tīkla sasniedzamību un lietojumprogrammas atļaujas saskaņā ar vienotajiem uzdevumiem, sakārtojiet autentifikācijas reģistrāciju atbalstītā ceļā un pievienojiet derīguma termiņu ar nosauktu personu, kas atbild par atsaukšanu. Nododiet akreditācijas datus saskaņotā drošā kanālā, atsevišķi no apjoma dokumenta, kas tiek pārsūtīts apkārt.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Reģistrējiet, kas ko un kad saņēma. Šis ieraksts ir atšķirība starp kontrolētu nodošanu un kopīgu paroli, kurai neviens nevar izsekot, un tas ir pirmais, ko pēc incidenta jautā ikviens. Glabājiet to kopā ar apjoma dokumentu, nevis čata pavedienā, un atzīmējiet piegādes kanālu blakus saņēmējam. Rinda ar laikatzīmi vienmēr uzvar atmiņu.

Derīguma termiņa lauks ir pēdējā aizsardzība, nevis plāns. Kādam tomēr jānoņem tīkla ceļš un lietojumprogrammas loma beigās, jo beidzies pieteikšanās vēl sasniedzamā tīklā nav atsaukta piekļuve.

Pierādiet, ka nodošana darbojas, pirms atveras logs

Veiciet testera pirmo lēcienu paši, no pēc iespējas tuvākas pozīcijas. Atrisiniet nosaukumu, pārbaudiet sertifikāta identitāti un apstipriniet, ka ceļš sasniedz paredzēto adresi, nevis blakus esošo.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Ja ceļš nevar sasniegt mērķi, apstājieties un saskaņojiet nodošanu, tā vietā lai ļautu testerim atklāt alternatīvu maršrutu. Improvizēta sasniedzamība ir veids, kā novērtējums klusi izplešas ārpus sava apjoma, un tas gandrīz nekad netiek dokumentēts pēc tam.

Nosūtiet akreditācijas datu pavadībā operatīvo kontaktu, atļautās stundas, izslēgtās darbības un apturēšanas nosacījumus. Testeris, kas 02:00 nevar nevienu sasniegt, pieņems lēmumu, ko jūs neautorizējāt, un šis lēmums atskaitē tiks aprakstīts tā, it kā tas būtu bijis apjomā.

NIST SP 800-115 raksturo tehnisko novērtējumu kā plānotu testēšanu, kam seko analīze un mīkstināšana, un tieši šo formu atkārto šī nodošana. Iepriekš minētie vārti ir redakcionāli dizaina lēmumi atbalsta inženierim, nevis pārbaudes saraksts, kas citēts no šī izdevuma.

Aizveriet darbu, noņemot piekļuvi

Atsauciet apgrieztā secībā pret nodrošināšanu: lietojumprogrammas lomas, tad tīkla piekļuve, tad pati identitāte. Apstipriniet katru soli, tā vietā lai pieņemtu, ka konsole izdarīja to, ko solīja poga. Bloķējiet kontu pirms tā sesiju nogalināšanas, citādi sesija vienkārši atkārtoti autentificējas pa veco ceļu. Pēc tam vēlreiz pārbaudiet izveidotos savienojumus, pirms to nosaukt par aizvērtu.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Nokārtot visus aizturētos testa datus, tad izsekojiet labojumam caur sākumā saskaņoto atskaišu procesu. Atskaitei jānorāda vide, piekļuves līmenis, apjoms un ierobežojumi, jo tā reģistrē viena novērtējuma atradumus un nav pastāvīgs apgalvojums, ka vietne ir droša.

Glabājiet atsaukšanas ierakstu kopā ar nodošanas ierakstu. Kad atveras nākamais darbs, jūs gribat precīzi zināt, kas pagājušajā reizē tika noņemts un kas to apstiprināja, nevis rekonstruēt ainu no atmiņas.