Penyerahan akses ujian keselamatan: skop, akaun dan pembatalan

Seorang penguji meminta alamat get laluan, butiran DNS dalaman dan kelayakan VPN, dan permintaan itu dimajukan kepada anda dengan subjek «akses diperlukan». Permintaan itu sahaja tidak memberitahu anda sama ada ini penilaian dalaman, ujian aplikasi yang disahkan, atau kerja laman web awam di mana seseorang salah faham skop. Jalankan penyerahan sebagai urutan dengan pintu pada setiap langkah, dan berhenti pada pintu pertama yang tidak terbuka. Itu menjadikan permintaan kabur sebagai sesuatu yang boleh anda benarkan, serahkan dan batalkan kemudian.

Mulakan dengan kebenaran, bukan kelayakan

Sebelum sebarang alamat keluar dari peti masuk anda, tetapkan siapa pemilik sasaran dan siapa yang dibenarkan meluluskan ujian ke atasnya. Sahkan penguji melalui kenalan urusan yang organisasi anda sudah gunakan, bukan melalui orang yang memajukan e-mel itu. Hubungan pelanggan bukan kebenaran untuk menguji setiap sistem yang boleh dicapai dari akaun, dan pesanan belian bukan dokumen skop.

Tulis objektif yang diluluskan dalam satu ayat dan simpan di sebelah penyerahan. «Nilai pengesahan portal pelanggan» dan «nilai rangkaian dalaman» membawa kepada pakej yang sama sekali berbeza, dan perbezaannya mesti diselesaikan sebelum peruntukan, bukan selepas penemuan tiba. Ayat itu juga memberi anda sesuatu untuk ditunjuk apabila permintaan membesar di tengah-tengah urusan.

Jika penyedia pengehosan atau pihak ketiga lain berada di laluan, keperluan mereka mendahului keselesaan anda. Menguji infrastruktur orang lain tanpa kebenaran mereka adalah masalah berasingan daripada menguji aplikasi yang berjalan di atasnya.

Namakan sudut pandangan dan sasaran

Sudut pandangan ialah soalan yang cuba dijawab oleh penilaian, dan ia menentukan pakej akses lebih daripada mana-mana alat yang dirancang penguji untuk digunakan. Ujian awam tanpa pengesahan memerlukan URL dan tetingkap masa. Ujian dengan pengesahan memerlukan akaun khusus untuk peranan tertentu dalam skop, dan penilaian dalaman memerlukan titik masuk yang ditetapkan dengan julat sasaran yang jelas.

Tempat terowong masuk bukan fakta yang sama dengan aplikasi apa yang berada di belakangnya, dan ia sama sekali tidak membenarkan penyiasatan titik masuk. Katakan itu secara jelas dalam penyerahan, kerana ayat «kau beri aku akses ke subrangkaian itu» datang cepat apabila penemuan dipertikaikan. Senarai sasaran bertulis ialah satu-satunya perkara yang menyelesaikannya selepas itu.

Berikan nama hos TLS bersama URL. Alamat IP kosong memaksa penguji meneka nama, dan nama yang diteka menghasilkan ralat sijil yang dilaporkan sebagai penemuan dan bukan sebagai kesilapan penyerahan.

Terbitkan identiti khusus dengan tarikh luput

Sediakan akaun yang hanya wujud untuk urusan ini; jangan pinjamkan log masuk harian seorang kakitangan. Tetapkan ketersampaian rangkaian dan kebenaran aplikasi kepada tugas yang dipersetujui, atur pendaftaran pengesahan melalui laluan yang disokong, dan lampirkan tarikh luput dengan orang yang dinamakan bertanggungjawab atas pembatalan. Serahkan kelayakan melalui saluran selamat yang dipersetujui, berasingan daripada dokumen skop yang dimajukan ke merata-rata.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Rekod siapa menerima apa, dan bila. Rekod itu ialah perbezaan antara penyerahan terkawal dan kata laluan dikongsi yang tiada siapa dapat jejaki, dan ia adalah perkara pertama yang diminta sesiapa selepas insiden. Simpan bersama dokumen skop dan bukan dalam benang sembang, dan catatkan saluran penghantaran di sebelah penerima. Satu baris bertanda masa mengalahkan ingatan setiap kali.

Medan luput ialah jaring keselamatan, bukan rancangan. Seseorang masih perlu membuang laluan rangkaian dan peranan aplikasi pada akhirnya, kerana log masuk yang luput pada rangkaian yang masih boleh dicapai bukan akses yang dibatalkan.

Buktikan penyerahan berfungsi sebelum tetingkap dibuka

Jalankan lompatan pertama penguji itu sendiri, dari kedudukan sedekat mungkin dengan kedudukannya. Selesaikan nama, semak identiti sijil, dan sahkan laluan mencapai alamat yang dimaksudkan dan bukan alamat jiran.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Jika laluan tidak dapat mencapai sasaran, berhenti dan selaraskan penyerahan itu, bukan membiarkan penguji menemui laluan alternatif. Ketersampaian secara spontan ialah cara sesuatu penilaian melebar secara senyap melebihi skopnya, dan ia hampir tidak pernah didokumenkan selepas itu.

Hantar kenalan operasi, waktu yang dibenarkan, tindakan yang dikecualikan dan syarat berhenti bersama kelayakan. Penguji yang tidak dapat menghubungi sesiapa pada 02:00 akan membuat keputusan yang anda tidak benarkan, dan keputusan itu akan diterangkan dalam laporan seolah-olah ia berada dalam skop.

NIST SP 800-115 membingkaikan penilaian teknikal sebagai ujian terancang diikuti analisis dan mitigasi, dan itulah bentuk yang diikuti penyerahan ini. Pintu di atas ialah pilihan reka bentuk editorial untuk jurutera sokongan, bukan senarai semak yang dipetik daripada terbitan itu.

Tutup urusan dengan membuang akses

Batalkan dalam susunan terbalik daripada peruntukan: peranan aplikasi, kemudian akses rangkaian, kemudian identiti itu sendiri. Sahkan setiap langkah dan bukan menganggap konsol melakukan apa yang dijanjikan butang. Kunci akaun sebelum membunuh sesinya, jika tidak sesi itu akan mengesahkan semula melalui laluan lama. Kemudian semak sambungan yang terbentuk sekali lagi sebelum anda mengisytiharkannya tertutup.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Selesaikan sebarang data ujian yang disimpan, kemudian jejaki pemulihan melalui proses pelaporan yang dipersetujui pada permulaan. Laporan harus menyatakan persekitaran, tahap akses, skop dan batasan, kerana ia merekodkan penemuan satu penilaian dan bukan pernyataan kekal bahawa tapak itu selamat.

Simpan rekod pembatalan bersama rekod penyerahan. Apabila urusan seterusnya dibuka, anda mahu tahu dengan tepat apa yang dibuang kali terakhir dan siapa yang meluluskannya, bukan membina semula gambaran itu daripada ingatan.