सुरक्षा परीक्षणको पहुँच हस्तान्तरण: दायरा, खाता र रद्द
VPN प्रमाणहरू माग्ने परीक्षकलाई दायरासहितको हस्तान्तरण चाहिन्छ, थप लगइन होइन। अनुमति गेट गर्नुहोस्, लक्ष्यको नाम लिनुहोस्, खाता जारी गर्नुहोस्, अनि रद्द गर्नुहोस्।
एक परीक्षकले गेटवे ठेगाना, आन्तरिक DNS विवरण र VPN प्रमाणहरू माग्छ, र अनुरोध «पहुँच चाहिन्छ» विषयसहित तपाईंकहाँ पठाइन्छ। अनुरोधले मात्र यो आन्तरिक मूल्याङ्कन हो, प्रमाणित अनुप्रयोग परीक्षण हो, वा कसैले दायरा गलत बुझेको सार्वजनिक वेबसाइटको काम हो भनी बताउँदैन। हस्तान्तरणलाई हरेक चरणमा गेटसहितको क्रमका रूपमा चलाउनुहोस् र नखुल्ने पहिलो गेटमा रोक्नुहोस्। त्यसले अस्पष्ट अनुरोधलाई तपाईंले अनुमति दिन, हस्तान्तरण गर्न र पछि रद्द गर्न सक्ने कुरामा बदल्छ।
प्रमाणबाट होइन, अनुमतिबाट सुरु गर्नुहोस्
तपाईंको इनबक्सबाट कुनै पनि ठेगाना बाहिर जानुअघि लक्ष्यको स्वामित्व कसको हो र तिनमा परीक्षण स्वीकृत गर्ने अधिकार कसलाई छ भनी निर्धारण गर्नुहोस्। परीक्षकलाई तपाईंको संस्थाले पहिल्यै प्रयोग गर्ने कामको सम्पर्कमार्फत प्रमाणित गर्नुहोस्, इमेल फर्वार्ड गर्ने व्यक्तिमार्फत होइन। ग्राहक सम्बन्ध खाताबाट पुग्न सकिने हरेक प्रणाली परीक्षण गर्ने अनुमति होइन, र खरिद आदेश दायरा कागजात होइन।
स्वीकृत उद्देश्यलाई एक वाक्यमा लेख्नुहोस् र हस्तान्तरणको छेउमा राख्नुहोस्। «ग्राहक पोर्टलको प्रमाणीकरण मूल्याङ्कन गर्नुहोस्» र «आन्तरिक सञ्जाल मूल्याङ्कन गर्नुहोस्» पूर्ण रूपमा फरक प्याकेजतर्फ लैजान्छन्, र फरक व्यवस्थापनअघि नै टुंग्याउनुपर्छ, कुनै निष्कर्ष आएपछि होइन। वाक्यले कामको बीचमा अनुरोध बढ्दा देखाउन सक्ने कुरा पनि दिन्छ।
यदि बाटोमा होस्टिङ प्रदायक वा अन्य तेस्रो पक्ष छ भने तिनका आवश्यकता तपाईंको सुविधाभन्दा अघि आउँछन्। उनीहरूको अनुमतिबिना अरूको पूर्वाधार परीक्षण गर्नु त्यसमाथि चल्ने अनुप्रयोग परीक्षण गर्नुभन्दा छुट्टै समस्या हो।
दृष्टिकोण र लक्ष्यको नाम लिनुहोस्
दृष्टिकोण भनेको मूल्याङ्कनले उत्तर दिन खोज्ने प्रश्न हो, र त्यसले परीक्षकले प्रयोग गर्ने कुनै पनि उपकरणभन्दा बढी पहुँच प्याकेज निर्धारण गर्छ। सार्वजनिक अप्रमाणित परीक्षणलाई URL र समय-झ्याल चाहिन्छ। प्रमाणित परीक्षणलाई दायराभित्रका विशिष्ट भूमिकाका लागि समर्पित खाता चाहिन्छ, र आन्तरिक मूल्याङ्कनलाई स्पष्ट लक्ष्य-दायरासहितको निर्धारित प्रवेशबिन्दु चाहिन्छ।
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
सुरुङ कहाँबाट प्रवेश गर्छ भन्ने त्यसको पछाडि कुन अनुप्रयोग छ भन्ने तथ्य होइन, र यसले प्रवेशबिन्दु जाँच्न कत्ति पनि अनुमति दिँदैन। हस्तान्तरणमा यो स्पष्ट भन्नुहोस्, किनकि कुनै निष्कर्ष विवादित हुनासाथ «तिमीले मलाई त्यो सबनेटमा पहुँच दियौ» भन्ने वाक्य चाँडै आउँछ। लिखित लक्ष्य-सूची नै पछि यसलाई टुंग्याउने एकमात्र कुरा हो।
URL सँगै TLS होस्टनाम दिनुहोस्। खाली IP ठेगानाले परीक्षकलाई नाम अनुमान गर्न बाध्य बनाउँछ, र अनुमान गरिएको नामले हस्तान्तरण त्रुटिको रूपमा होइन, निष्कर्षका रूपमा रिपोर्ट हुने प्रमाणपत्र त्रुटि उत्पन्न गर्छ।
म्यादसहित समर्पित पहिचान जारी गर्नुहोस्
यो कामका लागि मात्र रहने खाता उपलब्ध गराउनुहोस्; कर्मचारीको दैनिक लगइन सापटी नदिनुहोस्। सहमत कामका लागि सञ्जाल पहुँच र अनुप्रयोग अनुमति सेट गर्नुहोस्, समर्थित मार्गबाट प्रमाणीकरण दर्ता मिलाउनुहोस्, र रद्दका लागि जिम्मेवार नामित व्यक्तिसहित म्याद मिति संलग्न गर्नुहोस्। प्रमाणहरू सहमत सुरक्षित च्यानलबाट, चारैतिर फर्वार्ड हुने दायरा कागजातभन्दा अलग रूपमा हस्तान्तरण गर्नुहोस्।
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
कसले के र कहिले प्राप्त गर्यो भनी अभिलेख राख्नुहोस्। त्यो अभिलेख नियन्त्रित हस्तान्तरण र कसैले पत्ता लगाउन नसक्ने साझा पासवर्डबीचको फरक हो, र घटनापछि सबैले सबैभन्दा पहिले त्यही माग्छन्। यसलाई च्याट थ्रेडमा होइन, दायरा कागजातसँग राख्नुहोस्, र प्राप्तकर्ताको छेउमा वितरण च्यानल लेख्नुहोस्। समय-छाप भएको एक लाइनले हरेक पटक सम्झनालाई जित्छ।
म्याद क्षेत्र अन्तिम सुरक्षा हो, योजना होइन। अन्त्यमा कसैले सञ्जाल मार्ग र अनुप्रयोग भूमिका हटाउनै पर्छ, किनकि अझै पुग्न सकिने सञ्जालमा म्याद सकिएको लगइन रद्द गरिएको पहुँच होइन।
झ्याल खुल्नुअघि हस्तान्तरण काम गर्छ भनी प्रमाणित गर्नुहोस्
परीक्षकको पहिलो फड्को आफैं चलाउनुहोस्, उसको स्थानको सकेसम्म नजिकबाट। नाम समाधान गर्नुहोस्, प्रमाणपत्रको पहिचान जाँच्नुहोस्, र मार्ग छिमेकीमा होइन, अभीष्ट ठेगानामा पुग्छ भनी पुष्टि गर्नुहोस्।
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
यदि मार्ग कुनै लक्ष्यसम्म पुग्न सक्दैन भने रोक्नुहोस् र हस्तान्तरण मिलाउनुहोस्, परीक्षकलाई वैकल्पिक मार्ग पत्ता लगाउन दिनुभन्दा। तत्काल पहुँच नै मूल्याङ्कन चुपचाप आफ्नो दायराभन्दा बाहिर फैलिने बाटो हो, र पछि त्यो लगभग कहिल्यै अभिलेख गरिँदैन।
प्रमाणसँगै सञ्चालन सम्पर्क, अनुमतित घण्टा, बहिष्कृत क्रिया र रोक्ने सर्तहरू पठाउनुहोस्। 02:00 बजे कसैलाई पनि नभेट्ने परीक्षकले तपाईंले अनुमति नदिएको निर्णय गर्नेछ, र त्यो निर्णय प्रतिवेदनमा दायराभित्रै थियो भनेझैं वर्णन गरिनेछ।
NIST SP 800-115 ले प्राविधिक मूल्याङ्कनलाई योजनाबद्ध परीक्षण र त्यसपछिको विश्लेषण तथा न्यूनीकरणका रूपमा ढाँचा दिन्छ, र यो हस्तान्तरणले त्यही आकार पछ्याउँछ। माथिका गेटहरू सहायता इन्जिनियरका लागि सम्पादकीय डिजाइन निर्णय हुन्, त्यो प्रकाशनबाट उद्धृत जाँचसूची होइन।
पहुँच हटाएर काम बन्द गर्नुहोस्
व्यवस्थापनको उल्टो क्रममा रद्द गर्नुहोस्: अनुप्रयोग भूमिका, त्यसपछि सञ्जाल पहुँच, त्यसपछि पहिचान स्वयं। बटनले वाचा गरेको कन्सोलले गर्यो भनी मान्नुभन्दा हरेक चरण पुष्टि गर्नुहोस्। सत्र मार्नुअघि खाता लक गर्नुहोस्, नत्र सत्र पुरानै मार्गबाट पुनः प्रमाणित हुन्छ। त्यसपछि बन्द घोषणा गर्नुअघि स्थापित जडानहरू अझै एक पटक जाँच्नुहोस्।
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
राखिएको परीक्षण डेटा टुंग्याउनुहोस्, त्यसपछि सुरुमा सहमत प्रतिवेदन प्रक्रियामार्फत सुधार ट्र्याक गर्नुहोस्। प्रतिवेदनले वातावरण, पहुँच स्तर, दायरा र सीमाहरू उल्लेख गर्नुपर्छ, किनकि यसले एक मूल्याङ्कनका निष्कर्ष अभिलेख गर्छ र साइट सुरक्षित छ भन्ने स्थायी वक्तव्य होइन।
रद्द अभिलेख हस्तान्तरण अभिलेखसँगै राख्नुहोस्। अर्को काम खुल्दा तपाईं पछिल्लो पटक ठ्याक्कै के हटाइयो र कसले स्वीकृत गर्यो भनी जान्न चाहनुहुन्छ, सम्झनाबाट चित्र पुनर्निर्माण गर्न होइन।