Predaja pristupa za sigurnosno testiranje: opseg, računi i opoziv

Tester traži adresu pristupne točke, pojedinosti internog DNS-a i VPN vjerodajnice, a zahtjev se prosljeđuje vama s naslovom „potreban je pristup“. Sam zahtjev ne govori vam je li to interna procjena, test aplikacije s autentifikacijom ili angažman na javnom web-mjestu gdje je netko pogrešno shvatio opseg. Provedite predaju kao slijed s vratima na svakom koraku i zaustavite se na prvim vratima koja se ne otvore. To nejasan zahtjev pretvara u nešto što možete autorizirati, dostaviti i kasnije opozvati.

Počnite s autorizacijom, a ne s vjerodajnicama

Prije nego bilo koja adresa napusti vaš pretinac, utvrdite kome pripadaju ciljevi i tko smije odobriti testiranje na njima. Provjerite testera kroz kontakt za angažman koji vaša organizacija već koristi, a ne kroz osobu koja je proslijedila e-poštu. Odnos s klijentom nije dopuštenje za testiranje svakog sustava dostupnog s računa, a narudžbenica nije dokument o opsegu.

Zapišite odobreni cilj u jednoj rečenici i držite ga uz predaju. „Procijeni autentifikaciju klijentskog portala“ i „procijeni internu mrežu“ vode potpuno različitim paketima, a razlika se mora riješiti prije pripreme, a ne nakon što stigne nalaz. Rečenica vam daje i nešto na što možete pokazati kad zahtjev naraste usred angažmana.

Ako je na putu pružatelj hostanja ili druga treća strana, njihovi zahtjevi dolaze prije vaše udobnosti. Testiranje tuđe infrastrukture bez njihova dopuštenja zaseban je problem od testiranja aplikacije koja na njoj radi.

Imenujte gledište i ciljeve

Gledište je pitanje na koje procjena pokušava odgovoriti i određuje paket pristupa više od bilo kojeg alata koji tester planira koristiti. Javni test bez autentifikacije treba URL i vremenski prozor. Test s autentifikacijom treba namjenske račune za konkretne uloge u opsegu, a interna procjena treba definiranu ulaznu točku s izričitim rasponima ciljeva.

Gdje tunel ulazi nije ista činjenica kao koja aplikacija stoji iza njega i to nikako ne dopušta ispitivanje ulazne točke. Recite to izričito u predaji, jer rečenica „dao si mi pristup toj podmreži“ dolazi brzo kad se nalaz ospori. Pisani popis ciljeva jedino je što to kasnije rješava.

Dajte TLS ime hosta uz URL. Gola IP adresa tjera testera da nagađa ime, a nagađano ime proizvodi pogreške certifikata koje se prijavljuju kao nalazi, a ne kao pogreška u predaji.

Izdajte namjenske identitete s rokom isteka

Pripremite račune koji postoje samo za ovaj angažman; ne posuđujte svakodnevnu prijavu zaposlenika. Postavite mrežnu dostupnost i dopuštenja aplikacije na dogovorene zadatke, uredite upis autentifikacije podržanim putem i priložite datum isteka s imenovanom osobom odgovornom za opoziv. Dostavite vjerodajnice dogovorenim sigurnim kanalom, odvojeno od dokumenta o opsegu koji se prosljeđuje uokolo.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Zabilježite tko je što primio i kada. Taj je zapis razlika između kontrolirane predaje i dijeljene lozinke koju nitko ne može pratiti, i prva je stvar koju svatko traži nakon incidenta. Držite ga uz dokument o opsegu, a ne u chat niti, i zabilježite kanal dostave uz primatelja. Redak s vremenskom oznakom uvijek pobjeđuje sjećanje.

Polje isteka posljednja je zaštita, ne plan. Netko ipak mora ukloniti mrežni put i ulogu aplikacije na kraju, jer istekla prijava na mreži koja je još dostupna nije opozvan pristup.

Dokažite da predaja radi prije nego se prozor otvori

Izvedite testerov prvi skok sami, s položaja što bližeg njegovu. Razriješite ime, provjerite identitet certifikata i potvrdite da put stiže do namjeravane adrese, a ne susjedne.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Ako put ne može stići do cilja, pauzirajte i uskladite predaju umjesto da pustite testera da otkrije alternativnu rutu. Improvizirana dostupnost način je na koji procjena tiho izlazi izvan opsega i gotovo se nikad ne dokumentira poslije.

Pošaljite operativni kontakt, dopuštene sate, isključene radnje i uvjete zaustavljanja uz vjerodajnice. Tester koji u 02:00 ne može dobiti nikoga donijet će odluku koju niste autorizirali, a ta će odluka u izvještaju biti opisana kao da je bila u opsegu.

NIST SP 800-115 opisuje tehničku procjenu kao planirano testiranje praćeno analizom i ublažavanjem, i upravo taj oblik ova predaja slijedi. Vrata iznad su uređivačke dizajnerske odluke za inženjera podrške, a ne kontrolni popis citiran iz te publikacije.

Zatvorite angažman uklanjanjem pristupa

Opozovite obrnutim redoslijedom od pripreme: uloge aplikacije, zatim mrežni pristup, zatim sam identitet. Potvrdite svaki korak umjesto da pretpostavite da je konzola učinila što je gumb obećao. Zaključajte račun prije nego ubijete njegove sesije, inače se sesija jednostavno ponovno autentificira starim putem. Zatim još jednom provjerite uspostavljene veze prije nego što to nazovete zatvorenim.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Riješite sve zadržane testne podatke, zatim pratite ispravke kroz proces izvještavanja dogovoren na početku. Izvještaj treba navesti okruženje, razinu pristupa, opseg i ograničenja, jer bilježi nalaze jedne procjene i nije trajna izjava da je web-mjesto sigurno.

Držite zapis o opozivu uz zapis o predaji. Kad se otvori sljedeći angažman, želite točno znati što je prošli put uklonjeno i tko je to potpisao, a ne rekonstruirati sliku po sjećanju.