सुरक्षा चाचणीसाठी प्रवेश हस्तांतरण: व्याप्ती, खाती आणि रद्दीकरण
VPN क्रेडेन्शियल मागणाऱ्या चाचणीकर्त्याला व्याप्ती असलेले हस्तांतरण हवे, अतिरिक्त लॉगिन नाही। अनुमती गेट करा, लक्ष्ये नावे द्या, खाती जारी करा आणि नंतर रद्द करा।
एक चाचणीकर्ता गेटवे पत्ता, अंतर्गत DNS तपशील आणि VPN क्रेडेन्शियल मागतो, आणि विनंती «प्रवेश हवा» या विषयासह तुमच्याकडे पाठवली जाते। विनंती एकटी तुम्हाला सांगत नाही की हे अंतर्गत मूल्यांकन आहे, प्रमाणित अनुप्रयोग चाचणी आहे, की अशी सार्वजनिक वेबसाइटची कामगिरी आहे जिची व्याप्ती कोणीतरी चुकीची समजली आहे। हस्तांतरण प्रत्येक टप्प्यावर गेटसह क्रम म्हणून चालवा आणि उघडत नसलेल्या पहिल्या गेटवर थांबा। त्यामुळे अस्पष्ट विनंती अशा गोष्टीत बदलते जी तुम्ही अनुमती देऊ शकता, देऊ शकता आणि नंतर रद्द करू शकता।
क्रेडेन्शियलनी नाही, अनुमतीने सुरुवात करा
तुमच्या इनबॉक्समधून कोणताही पत्ता बाहेर पडण्यापूर्वी लक्ष्यांचा मालक कोण आहे आणि त्यावर चाचणी मंजूर करण्याचा अधिकार कुणाला आहे ते निश्चित करा। चाचणीकर्त्याची पडताळणी तुमची संस्था आधीच वापरत असलेल्या कामाच्या संपर्कातून करा, ईमेल फॉरवर्ड करणाऱ्या व्यक्तीकडून नाही। ग्राहक नाते हे खात्यातून पोहोचता येणाऱ्या प्रत्येक प्रणालीची चाचणी करण्याची परवानगी नाही, आणि खरेदी आदेश व्याप्ती दस्तऐवज नाही।
मंजूर उद्दिष्ट एका वाक्यात लिहा आणि ते हस्तांतरणाजवळ ठेवा। «ग्राहक पोर्टलचे प्रमाणीकरण मूल्यांकन करा» आणि «अंतर्गत नेटवर्कचे मूल्यांकन करा» पूर्णपणे वेगळ्या पॅकेजकडे नेतात, आणि फरक तरतुदीपूर्वी निकाली काढला पाहिजे, निष्कर्ष आल्यानंतर नाही। वाक्य तुम्हाला असेही काही देते ज्याकडे कामाच्या मध्यात विनंती वाढल्यास दाखवता येईल।
जर मार्गात होस्टिंग पुरवठादार किंवा इतर तृतीय पक्ष असेल, तर त्यांच्या आवश्यकता तुमच्या सोयीपेक्षा आधी येतात। त्यांच्या परवानगीशिवाय दुसऱ्याची पायाभूत सुविधा चाचणे ही त्यावर चालणारे अनुप्रयोग चाचण्यांपेक्षा वेगळी समस्या आहे।
दृष्टिकोन आणि लक्ष्ये नावे द्या
दृष्टिकोन म्हणजे मूल्यांकन ज्याचे उत्तर देऊ इच्छिते तो प्रश्न, आणि तो चाचणीकर्ता वापरणार असलेल्या कोणत्याही साधनापेक्षा जास्त प्रवेश पॅकेज ठरवतो। सार्वजनिक अप्रमाणित चाचणीसाठी URL आणि वेळ-खिडकी लागते। प्रमाणित चाचणीसाठी व्याप्तीतील विशिष्ट भूमिकांसाठी समर्पित खाती लागतात, आणि अंतर्गत मूल्यांकनासाठी स्पष्ट लक्ष्य-श्रेणीसह निर्धारित प्रवेशबिंदू लागतो।
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
बोगदा कुठून प्रवेश करतो ही त्याच्यामागे कोणता अनुप्रयोग आहे या वस्तुस्थितीसारखी नाही, आणि ते प्रवेशबिंदू तपासण्याची मुळीच परवानगी देत नाही। हस्तांतरणात ते स्पष्ट सांगा, कारण निष्कर्ष वादात पडताच «तू मला त्या सबनेटमध्ये प्रवेश दिला» हे वाक्य लवकर येते। लिखित लक्ष्य-यादी हीच एकमेव गोष्ट नंतर ते निकाली काढते।
URL सोबत TLS होस्टनाव द्या। केवळ IP पत्ता चाचणीकर्त्याला नावाचा अंदाज लावण्यास भाग पाडतो, आणि अंदाजलेले नाव हस्तांतरण चुकीऐवजी निष्कर्ष म्हणून नोंदवल्या जाणाऱ्या प्रमाणपत्र त्रुटी निर्माण करते।
मुदतीसह समर्पित ओळखी जारी करा
फक्त या कामासाठी असलेली खाती पुरवा; कर्मचाऱ्याचे रोजचे लॉगिन उधार देऊ नका। मान्य कामांसाठी नेटवर्क पोहोच आणि अनुप्रयोग परवानग्या सेट करा, समर्थित मार्गाने प्रमाणीकरण नोंदणी व्यवस्थित करा, आणि रद्दीकरणासाठी जबाबदार नामनिर्देशित व्यक्तीसह मुदत तारीख जोडा। क्रेडेन्शियल मान्य सुरक्षित माध्यमातून द्या, सर्वत्र पाठवल्या जाणाऱ्या व्याप्ती दस्तऐवजापासून वेगळे।
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
कोणाला काय आणि कधी मिळाले ते नोंदवा। ती नोंद नियंत्रित हस्तांतरण आणि कोणीही शोधू न शकणाऱ्या सामायिक पासवर्डमधील फरक आहे, आणि घटनेनंतर सर्वांत आधी तीच मागितली जाते। ती चॅट थ्रेडमध्ये नाही, व्याप्ती दस्तऐवजासोबत ठेवा, आणि प्राप्तकर्त्याजवळ वितरण माध्यम लिहा। वेळेची छाप असलेली एक ओळ प्रत्येक वेळी स्मरणावर मात करते।
मुदत क्षेत्र हे शेवटचे संरक्षण आहे, योजना नाही। शेवटी कोणीतरी नेटवर्क मार्ग आणि अनुप्रयोग भूमिका काढून टाकलेच पाहिजे, कारण अजूनही पोहोचता येणाऱ्या नेटवर्कवर मुदत संपलेले लॉगिन रद्द केलेला प्रवेश नाही।
खिडकी उघडण्यापूर्वी हस्तांतरण चालते हे सिद्ध करा
चाचणीकर्त्याची पहिली झेप स्वतः घ्या, त्याच्या जागेच्या शक्य तितक्या जवळून। नाव सोडवा, प्रमाणपत्राची ओळख तपासा, आणि मार्ग शेजारच्या नाही तर इच्छित पत्त्यावर पोहोचतो याची खात्री करा।
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
जर मार्ग लक्ष्यापर्यंत पोहोचू शकत नसेल, तर थांबा आणि हस्तांतरण जुळवा, चाचणीकर्त्याला पर्यायी मार्ग शोधू देण्याऐवजी। तात्काळ पोहोच हाच मार्ग आहे ज्याने मूल्यांकन शांतपणे आपल्या व्याप्तीबाहेर वाढते, आणि नंतर ते जवळजवळ कधीही नोंदवले जात नाही।
क्रेडेन्शियलसोबत कार्यकारी संपर्क, परवानगी असलेले तास, वगळलेल्या क्रिया आणि थांबण्याच्या अटी पाठवा। 02:00 वाजता कोणालाही पोहोचू न शकणारा चाचणीकर्ता तुम्ही अनुमती न दिलेला निर्णय घेईल, आणि तो निर्णय अहवालात व्याप्तीत होता असे वर्णन केले जाईल।
NIST SP 800-115 तांत्रिक मूल्यांकनाची नियोजित चाचणी आणि नंतर विश्लेषण व सौम्यीकरण अशी चौकट करते, आणि हे हस्तांतरण त्याच आकाराचे अनुसरण करते। वरील गेट सहाय्य अभियंत्यासाठी संपादकीय रचना निर्णय आहेत, त्या प्रकाशनातून उद्धृत केलेली तपासणी यादी नाही।
प्रवेश काढून काम बंद करा
तरतुदीच्या उलट क्रमाने रद्द करा: अनुप्रयोग भूमिका, नंतर नेटवर्क प्रवेश, नंतर ओळख स्वतः। बटणाने दिलेले वचन कन्सोलने पाळले असे गृहीत धरण्याऐवजी प्रत्येक टप्पा पुष्टी करा। सत्रे मारण्यापूर्वी खाते लॉक करा, अन्यथा सत्र जुन्या मार्गाने पुन्हा प्रमाणित होते। नंतर बंद घोषित करण्यापूर्वी प्रस्थापित जोडण्या अजून एकदा तपासा।
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
राखून ठेवलेला चाचणी डेटा निकाली काढा, नंतर सुरुवातीला मान्य केलेल्या अहवाल प्रक्रियेद्वारे सुधारणा मागोवा घ्या। अहवालात पर्यावरण, प्रवेश स्तर, व्याप्ती आणि मर्यादा नमूद केल्या पाहिजेत, कारण तो एका मूल्यांकनाचे निष्कर्ष नोंदवतो आणि साइट सुरक्षित असल्याचे कायमचे विधान नाही।
रद्दीकरण नोंद हस्तांतरण नोंदीसोबत ठेवा। पुढील काम उघडल्यावर मागील वेळी नक्की काय काढले आणि कोणी मंजूर केले हे तुम्हाला जाणून घ्यायचे असेल, स्मरणातून चित्र पुन्हा उभारायचे नाही।