Konsenja tal-aċċess għat-test tas-sigurtà: kamp ta' applikazzjoni, kontijiet u revoka
Testeur li jitlob kredenzjali VPN jeħtieġ konsenja b'kamp ta' applikazzjoni definit, mhux login żejjed. Ippassja l-awtorizzazzjoni mill-bieb, semmi l-miri, ħareġ kontijiet, imbagħad irrevoka.
Testeur jitlob indirizz tal-gateway, dettalji tad-DNS intern u kredenzjali VPN, u t-talba tiġi mibgħuta lilkom bis-suġġett «hemm bżonn aċċess». It-talba waħedha ma tgħidilkomx jekk dan huwiex evalwazzjoni interna, test ta' applikazzjoni awtentikata, jew xogħol fuq sit web pubbliku fejn xi ħadd fhem ħażin il-kamp ta' applikazzjoni. Mexxu l-konsenja bħala sekwenza b'bibien f'kull pass, u waqfu fl-ewwel bieb li ma jinfetaħx. Dan jagħmel talba vaga f'xi ħaġa li tistgħu tawtorizzaw, tagħtu u wara tirrevokaw.
Ibdew mill-awtorizzazzjoni, mhux mill-kredenzjali
Qabel ma xi indirizz joħroġ mill-inbox tagħkom, stabbilixxu min hu s-sid tal-miri u min hu awtorizzat japprova testijiet fuqhom. Ivverifikaw lit-testeur permezz tal-kuntatt tax-xogħol li l-organizzazzjoni tagħkom diġà tuża, mhux permezz tal-persuna li bagħtet l-email. Relazzjoni mal-klijent mhijiex permess li tittestja kull sistema li tista' tinġibed minn kont, u ordni tax-xiri mhijiex dokument tal-kamp ta' applikazzjoni.
Iktbu l-objettiv approvat f'sentenza waħda u żommuh ħdejn il-konsenja. «Ivvaluta l-awtentikazzjoni tal-portal tal-klijent» u «ivvaluta n-netwerk intern» iwasslu għal pakketti kompletament differenti, u d-differenza trid tiġi riżolta qabel il-provvista, mhux wara li tasal sejba. Is-sentenza tagħtikom ukoll xi ħaġa li lejha tindikaw meta t-talba tikber f'nofs ix-xogħol.
Jekk fornitur tal-hosting jew terza persuna oħra jkun fil-passaġġ, il-ħtiġijiet tagħhom jiġu qabel il-kumdità tagħkom. L-ittestjar tal-infrastruttura ta' ħaddieħor mingħajr il-permess tiegħu huwa problema separata mit-test tal-applikazzjoni li taħdem fuqha.
Semmu l-perspettiva u l-miri
Il-perspettiva hija l-mistoqsija li l-evalwazzjoni qed tipprova twieġeb, u tiddetermina l-pakkett tal-aċċess aktar minn kwalunkwe għodda li l-kittieb tat-test qed jippjana juża. Test pubbliku mhux awtentikat jeħtieġ URL u tieqa tal-ħin. Test awtentikat jeħtieġ kontijiet iddedikati għar-rwoli speċifiċi fil-kamp, u evalwazzjoni interna teħtieġ punt ta' dħul definit b'firxiet ta' miri espliċiti.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Fejn tidħol mina mhuwiex l-istess fatt bħal liema applikazzjoni hemm warajha, u żgur ma jawtorizzax li jkun investigator il-punt ta' dħul. Għidu dan b'mod espliċitu fil-konsenja, għax is-sentenza «tajtni aċċess għal dik is-subnet» tiġi malajr malli sejba tiġi kkontestata. Lista miktuba tal-miri hija l-unika ħaġa li ssolviha wara.
Agħtu l-isem tal-host TLS flimkien mal-URL. Indirizz IP għeri jġiegħel lill-kittieb tat-test jaqta' l-isem, u isem maqtugħ jipproduċi żbalji taċ-ċertifikat li jiġu rrappurtati bħala sejbiet minflok bħala żball fil-konsenja.
Ħarġu identitajiet iddedikati b'data ta' skadenza
Ipprovdu kontijiet li jeżistu biss għal dan ix-xogħol; tissellfux il-login ta' kuljum ta' impjegat. Issettjaw l-aċċessibilità tan-netwerk u l-permessi tal-applikazzjoni għall-kompiti miftiehma, organizzaw ir-reġistrazzjoni tal-awtentikazzjoni permezz ta' passaġġ appoġġjat, u mehmu data ta' skadenza ma' persuna msemmija responsabbli għar-revoka. Ikkonsenjaw il-kredenzjali permezz ta' kanal sigur miftiehem, separat mid-dokument tal-kamp li jiġi mibgħut madwar.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Reġistraw min irċieva xiex, u meta. Dik ir-reġistrazzjoni hija d-differenza bejn konsenja kkontrollata u password maqsum li ħadd ma jista' jsegwi, u hija l-ewwel ħaġa li kulħadd jitlob wara inċident. Żommuha mad-dokument tal-kamp minflok fi ħajt ta' chat, u nnutaw il-kanal tal-konsenja ħdejn id-destinatarju. Linja b'data u ħin tgħeleb tifkira kull darba.
Il-qasam tal-iskadenza huwa xibka tas-sigurtà, mhux il-pjan. Xi ħadd xorta jrid ineħħi l-passaġġ tan-netwerk u r-rwol tal-applikazzjoni fl-aħħar, għax login skadut fuq netwerk li għadu aċċessibbli mhuwiex aċċess revokat.
Ippruvaw li l-konsenja taħdem qabel ma tinfetaħ it-tieqa
Mexxu l-ewwel qabża tal-kittieb tat-test intom stess, minn pożizzjoni kemm jista' jkun viċin tiegħu. Solvu l-isem, iċċekkjaw l-identità taċ-ċertifikat, u kkonfermaw li l-passaġġ jasal fl-indirizz maħsub u mhux f'wieħed ġar.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Jekk il-passaġġ ma jistax jasal għal mira, waqfu u rrikonċiljaw il-konsenja minflok tħallu lill-kittieb tat-test jiskopri rotta alternattiva. L-aċċessibilità improvviżata hija kif evalwazzjoni tinfirex bil-kwiet lil hinn mill-kamp tagħha, u kważi qatt ma tiġi dokumentata wara.
Ibgħatu l-kuntatt operattiv, is-sigħat permessi, l-azzjonijiet esklużi u l-kundizzjonijiet tal-waqfien mal-kredenzjali. Kittieb tat-test li ma jistax jasal għal ħadd fl-02:00 se jieħu deċiżjoni li intom ma awtorizzajtux, u dik id-deċiżjoni se tiġi deskritta fir-rapport bħallikieku kienet fil-kamp.
NIST SP 800-115 tqiegħed evalwazzjoni teknika bħala testijiet ippjanati segwiti minn analiżi u mitigazzjoni, u din hija l-forma li ssegwi din il-konsenja. Il-bibien ta' fuq huma għażliet editorjali tad-disinn għal inġinier tal-appoġġ, mhux lista ta' verifika kwotata minn dik il-pubblikazzjoni.
Agħlqu x-xogħol billi tneħħu l-aċċess
Irrevokaw fl-ordni inversa tal-provvista: rwoli tal-applikazzjoni, imbagħad aċċess tan-netwerk, imbagħad l-identità stess. Ikkonfermaw kull pass minflok tassumu li l-console għamlet dak li wiegħed il-buttuna. Sakkru l-kont qabel ma toqtlu s-sessjonijiet tiegħu, inkella s-sessjoni sempliċement tawtentika mill-ġdid mill-passaġġ antik. Imbagħad iċċekkjaw il-konnessjonijiet stabbiliti darba oħra qabel ma tiddikjarawha magħluqa.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Issolvu kwalunkwe data tat-test miżmuma, imbagħad issegwu r-rimedju permezz tal-proċess tar-rappurtar miftiehem fil-bidu. Ir-rapport għandu jiddikjara l-ambjent, il-livell tal-aċċess, il-kamp u l-limitazzjonijiet, għax jirreġistra sejbiet ta' evalwazzjoni waħda u mhuwiex dikjarazzjoni permanenti li s-sit huwa sigur.
Żommu r-reġistrazzjoni tar-revoka mar-reġistrazzjoni tal-konsenja. Meta jinfetaħ ix-xogħol li jmiss, tridu tkunu tafu eżatt x'inġabar l-aħħar darba u min approvah, minflok tibnu mill-ġdid l-istampa mill-memorja.