Предавање на пристап за безбедносно тестирање: обем, сметки и отповикување

Тестер бара адреса на порта, детали за внатрешен DNS и VPN акредитиви, а барањето се препраќа до вас со наслов „потребен е пристап“. Барањето само по себе не ви кажува дали тоа е внатрешна проценка, тест на апликација со автентикација или работа на јавна веб-страница каде некој погрешно го разбрал обемот. Спроведете го предавањето како низа со порта на секој чекор и застанете на првата порта што не се отвора. Тоа го претвора нејасното барање во нешто што можете да го авторизирате, доставите и подоцна да го отповикате.

Започнете со авторизацијата, а не со акредитивите

Пред која било адреса да ја напушти вашата пошта, утврдете кој ги поседува целите и кој смее да одобри тестирање на нив. Проверете го тестерот преку контактот за проектот што вашата организација веќе го користи, а не преку лицето што ја препратило е-поштата. Односот со клиент не е дозвола да се тестира секој систем достапен од сметка, а нарачката за купување не е документ за обем.

Запишете ја одобрената цел во една реченица и чувајте ја до предавањето. „Проценете ја автентикацијата на клиентскиот портал“ и „проценете ја внатрешната мрежа“ водат кон сосема различни пакети, а разликата мора да се реши пред обезбедувањето, а не откако ќе пристигне наод. Реченицата ви дава и нешто на што да покажете кога барањето расте среде работата.

Ако на патот има хостинг провајдер или друга трета страна, нивните барања доаѓаат пред вашата удобност. Тестирањето на туѓа инфраструктура без нивна дозвола е одделен проблем од тестирањето на апликацијата што работи на неа.

Именувајте го гледиштето и целите

Гледиштето е прашањето на кое проценката се обидува да одговори и го одредува пакетот за пристап повеќе од кој било алат што тестерот планира да го користи. На јавниот тест без автентикација му треба URL и временски прозорец. На тестот со автентикација му требаат посебни сметки за конкретните улоги во обемот, а на внатрешната проценка ѝ треба дефинирана влезна точка со јасни опсези на цели.

Каде влегува тунелот не е истиот факт како која апликација стои зад него, и тоа никако не дозволува испитување на влезната точка. Кажете го тоа експлицитно во предавањето, бидејќи реченицата „ти ми даде пристап до таа подмрежа“ доаѓа брзо штом наодот ќе се оспори. Писмениот список на цели е единственото што го решава тоа потоа.

Дајте го името на TLS домаќинот заедно со URL. Голата IP-адреса го тера тестерот да го погоди името, а погоденото име произведува грешки со сертификатот што се пријавуваат како наоди, а не како грешка во предавањето.

Издајте посебни идентитети со рок на важност

Обезбедете сметки што постојат само за оваа работа; не позајмувајте секојдневна најава на вработен. Поставете ја мрежната достапност и дозволите на апликацијата според договорените задачи, уредете ја регистрацијата за автентикација преку поддржан пат и приложете рок на важност со именувано лице одговорно за отповикувањето. Доставете ги акредитивите преку договорен безбеден канал, одделно од документот за обем што се препраќа наоколу.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Забележете кој што примил и кога. Тој запис е разликата меѓу контролирано предавање и споделена лозинка што никој не може да ја следи, и тоа е првото нешто што секој го бара по инцидент. Чувајте го со документот за обем, а не во нишка за разговор, и забележете го каналот за достава до примачот. Ред со временска ознака победува сеќавање секој пат.

Полето за рок на важност е последна заштита, не планот. Некој сепак мора да ја отстрани мрежната патека и улогата на апликацијата на крајот, бидејќи истечена најава на се уште достапна мрежа не е отповикан пристап.

Докажете дека предавањето работи пред да се отвори прозорецот

Изведете го првиот скок на тестерот сами, од позиција што е можно поблиску до неговата. Решете го името, проверете го идентитетот на сертификатот и потврдете дека патеката стигнува до предвидената адреса, а не до соседна.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Ако патеката не може да стигне до цел, застанете и усогласете го предавањето, наместо да му дозволите на тестерот да најде алтернативна рута. Импровизираната достапност е начинот на кој проценката тивко излегува надвор од својот обем, и тоа речиси никогаш не се документира потоа.

Испратете го оперативниот контакт, дозволените часови, исклучените дејства и условите за запирање заедно со акредитивите. Тестер што во 02:00 не може да стигне до никого ќе донесе одлука што не сте ја авторизирале, а таа одлука во извештајот ќе биде опишана како да била во обемот.

NIST SP 800-115 ја рамкира техничката проценка како планирано тестирање по кое следат анализа и ублажување, и токму таа форма ја следи ова предавање. Портитите погоре се уреднички дизајнерски одлуки за инженер за поддршка, а не контролен список цитиран од таа публикација.

Затворете ја работата со отстранување на пристапот

Отповикајте по обратен редослед од обезбедувањето: улоги на апликацијата, потоа мрежен пристап, потоа самиот идентитет. Потврдете го секој чекор наместо да претпоставите дека конзолата го направила тоа што го ветило копчето. Заклучете ја сметката пред да ги убиете нејзините сесии, инаку сесијата едноставно повторно се автентицира по старата патека. Потоа уште еднаш проверете ги воспоставените врски пред да го прогласите за затворено.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Решете ги сите задржани тест-податоци, потоа следете го поправањето преку процесот за известување договорен на почетокот. Извештајот треба да ги наведе околината, нивото на пристап, обемот и ограничувањата, зашто ги запишува наодите од една проценка и не е трајна изјава дека страницата е безбедна.

Чувајте го записот за отповикување со записот за предавање. Кога ќе се отвори следната работа, сакате точно да знаете што било отстрането минатиот пат и кој го одобрил, наместо да ја реконструирате сликата по сеќавање.