Odovzdanie prístupu na bezpečnostné testovanie: rozsah, účty a odvolanie

Tester žiada adresu brány, podrobnosti o internom DNS a prihlasovacie údaje k VPN a žiadosť vám príde s predmetom „treba prístup“. Samotná žiadosť vám nepovie, či ide o interné hodnotenie, test autentizovanej aplikácie alebo zákazku na verejný web, kde niekto zle pochopil rozsah. Veďte odovzdanie ako sled krokov s bránou v každom z nich a zastavte sa pri prvej bráne, ktorá sa neotvorí. Tým sa z neurčitej žiadosti stane niečo, čo môžete autorizovať, vydať a neskôr odvolať.

Začnite autorizáciou, nie prihlasovacími údajmi

Skôr než z vašej schránky odíde akákoľvek adresa, určte, komu patria ciele a kto smie schváliť testovanie na nich. Overte testera cez kontakt na zákazku, ktorý vaša organizácia už používa, nie cez osobu, ktorá e-mail preposlala. Vzťah so zákazníkom nie je oprávnenie testovať každý systém dostupný z účtu a objednávka nie je dokumentom o rozsahu.

Schválený cieľ napíšte jednou vetou a majte ju pri odovzdaní. „Posúďte autentizáciu klientskeho portálu“ a „posúďte internú sieť“ vedú k úplne odlišným balíkom a rozdiel treba vyriešiť pred zriadením prístupov, nie až po náleze. Veta vám tiež dáva niečo, na čo môžete ukázať, keď žiadosť uprostred zákazky narastie.

Ak je v ceste poskytovateľ hostingu alebo iná tretia strana, ich požiadavky majú prednosť pred vaším pohodlím. Testovať cudziu infraštruktúru bez ich súhlasu je iný problém než testovať aplikáciu, ktorá na nej beží.

Pomenujte pohľad a ciele

Pohľad je otázka, na ktorú sa hodnotenie snaží odpovedať, a určuje balík prístupu viac než akýkoľvek nástroj, ktorý tester plánuje použiť. Verejný neautentizovaný test potrebuje URL a časové okno. Autentizovaný test potrebuje vyhradené účty pre konkrétne roly v rozsahu a interné hodnotenie potrebuje definovaný vstupný bod s výslovnými rozsahmi cieľov.

Kde tunel vstupuje, nie je ten istý fakt ako ktorá aplikácia za ním stojí, a rozhodne to neoprávňuje sondovať vstupný bod. Povedzte to v odovzdaní výslovne, pretože veta „dal si mi prístup do tej podsiete“ príde rýchlo, len čo je nález spochybnený. Písomný zoznam cieľov je jediná vec, ktorá to potom vyrieši.

Uveďte spolu s URL aj meno hostiteľa TLS. Samotná IP adresa núti testera hádať meno a uhádnuté meno vytvára chyby certifikátu, ktoré sa hlásia ako nálezy, nie ako chyba odovzdania.

Vydajte vyhradené identity s platnosťou

Zriaďte účty, ktoré existujú len pre túto zákazku; nepožičiavajte každodenné prihlásenie zamestnanca. Nastavte sieťovú dostupnosť a oprávnenia aplikácie podľa dohodnutých úloh, zabezpečte registráciu autentizácie podporovanou cestou a pripojte dátum vypršania platnosti s menovanou osobou zodpovednou za odvolanie. Odovzdajte prihlasovacie údaje dohodnutým bezpečným kanálom, oddelene od dokumentu o rozsahu, ktorý sa preposiela okolo.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Zaznamenajte, kto čo dostal a kedy. Tento záznam je rozdiel medzi riadeným odovzdaním a zdieľaným heslom, ktoré nikto nedokáže vystopovať, a je to prvá vec, ktorú po incidente každý žiada. Uchovávajte ho pri dokumente o rozsahu, nie vo vlákne chatu, a poznamenajte kanál doručenia vedľa príjemcu. Riadok s časovou pečiatkou vždy porazí spomienku.

Pole platnosti je posledná poistka, nie plán. Na konci ešte niekto musí odstrániť sieťovú cestu a rolu aplikácie, pretože vypršané prihlásenie v dosiaľ dostupnej sieti nie je odvolaný prístup.

Dokážte, že odovzdanie funguje, skôr než sa okno otvorí

Vykonajte prvý skok testera sami, z pozície čo najbližšie k tej jeho. Preložte meno, skontrolujte identitu certifikátu a potvrďte, že cesta vedie k zamýšľanej adrese, nie k susednej.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Ak sa cesta k cieľu nedostane, zastavte sa a odovzdanie zlaďte, namiesto toho aby ste nechali testera objaviť alternatívnu trasu. Improvizovaná dostupnosť je spôsob, akým hodnotenie ticho presahuje svoj rozsah, a takmer nikdy sa to potom nedokumentuje.

Pošlite s prihlasovacími údajmi prevádzkový kontakt, povolené hodiny, vylúčené akcie a podmienky zastavenia. Tester, ktorý o 02:00 nikoho nezastihne, urobí rozhodnutie, ktoré ste neschválili, a toto rozhodnutie bude v správe opísané, ako by bolo v rozsahu.

NIST SP 800-115 rámuje technické hodnotenie ako plánované testovanie nasledované analýzou a zmiernením, a to je tvar, ktorý toto odovzdanie sleduje. Brány vyššie sú redakčné dizajnové rozhodnutia pre inžiniera podpory, nie kontrolný zoznam citovaný z tejto publikácie.

Uzavrite zákazku odstránením prístupu

Odvolávajte v opačnom poradí, než ste zriaďovali: roly aplikácie, potom sieťový prístup, potom samotnú identitu. Každý krok potvrďte, namiesto toho aby ste predpokladali, že konzola urobila to, čo sľubovalo tlačidlo. Zamknite účet skôr, než zabijete jeho relácie, inak sa relácia jednoducho znova autentizuje starou cestou. Potom ešte raz skontrolujte nadviazané spojenia, než to vyhlásite za uzavreté.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Vyriešte prípadné zadržané testovacie dáta a potom sledujte nápravu cez proces hlásení, na ktorom ste sa dohodli na začiatku. Správa má uviesť prostredie, úroveň prístupu, rozsah a obmedzenia, pretože zaznamenáva nálezy z jedného hodnotenia a nie je trvalým tvrdením, že web je bezpečný.

Uchovávajte záznam o odvolaní spolu so záznamom o odovzdaní. Keď sa otvorí ďalšia zákazka, chcete presne vedieť, čo bolo minule odstránené a kto to odsúhlasil, namiesto rekonštrukcie obrazu z pamäti.