Predaja dostopa za varnostno testiranje: obseg, računi in preklic

Tester prosi za naslov prehoda, podrobnosti notranjega DNS in poverilnice VPN, zahteva pa se vam posreduje s predmetom »potreben je dostop«. Zahteva sama po sebi vam ne pove, ali gre za notranjo oceno, test avtenticirane aplikacije ali delo na javnem spletnem mestu, kjer je nekdo napačno razumel obseg. Izvedite predajo kot zaporedje z vrati na vsakem koraku in ustavite se pri prvih vratih, ki se ne odprejo. Tako se nejasna zahteva spremeni v nekaj, kar lahko avtorizirate, izročite in pozneje prekličete.

Začnite z avtorizacijo, ne s poverilnicami

Preden katera koli naslov zapusti vaš nabiralnik, ugotovite, kdo je lastnik ciljev in kdo sme odobriti testiranje na njih. Preverite testerja prek stika pri projektu, ki ga vaša organizacija že uporablja, ne prek osebe, ki je e-pošto posredovala. Odnos s stranko ni dovoljenje za testiranje vsakega sistema, dosegljivega z računa, naročilnica pa ni dokument o obsegu.

Odobreni cilj zapišite v enem stavku in ga imejte ob predaji. »Ocenite avtentikacijo odjemalskega portala« in »ocenite notranje omrežje« vodita v povsem različne pakete, razliko pa je treba razrešiti pred pripravo, ne po tem, ko pride ugotovitev. Stavek vam da tudi nekaj, na kar lahko pokažete, ko zahteva sredi dela zraste.

Če je na poti ponudnik gostovanja ali druga tretja stranka, so njihove zahteve pred vašim udobjem. Testiranje tuje infrastrukture brez njihovega dovoljenja je ločen problem od testiranja aplikacije, ki teče na njej.

Poimenujte zorni kot in cilje

Zorni kot je vprašanje, na katero skuša ocena odgovoriti, in določa paket dostopa bolj kot katero koli orodje, ki ga namerava tester uporabiti. Javni neavtenticirani test potrebuje URL in časovno okno. Avtenticirani test potrebuje namenske račune za določene vloge v obsegu, notranja ocena pa potrebuje določeno vstopno točko z izrecnimi razponi ciljev.

Kje tunel vstopi, ni isto dejstvo kot to, katera aplikacija stoji za njim, in nikakor ne dovoljuje preiskovanja vstopne točke. To povejte izrecno v predaji, ker se stavek »dal si mi dostop do te podomrežja« pojavi hitro, ko je ugotovitev sporna. Pisni seznam ciljev je edina stvar, ki to pozneje razreši.

Navedite ime gostitelja TLS skupaj z URL. Goli naslov IP prisili testerja, da ugiba ime, ugibano ime pa ustvari napake potrdila, ki se poročajo kot ugotovitve, ne kot napaka pri predaji.

Izdajte namenske identitete z datumom poteka

Pripravite račune, ki obstajajo samo za to delo; ne posojajte vsakodnevne prijave zaposlenega. Nastavite omrežno dosegljivost in dovoljenja aplikacije za dogovorjene naloge, uredite registracijo avtentikacije po podprti poti in priložite datum poteka z imenovano osebo, odgovorno za preklic. Izročite poverilnice po dogovorjenem varnem kanalu, ločeno od dokumenta o obsegu, ki se posreduje naokoli.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Zabeležite, kdo je kaj prejel in kdaj. Ta zapis je razlika med nadzorovano predajo in skupnim geslom, ki ga nihče ne more izslediti, in to je prva stvar, ki jo po incidentu zahteva vsakdo. Hranite ga ob dokumentu o obsegu, ne v niti klepeta, in zabeležite kanal dostave ob prejemniku. Vrstica s časovnim žigom vedno premaga spomin.

Polje poteka je zadnja varovalka, ne načrt. Nekdo mora na koncu vseeno odstraniti omrežno pot in vlogo aplikacije, ker potekla prijava v omrežju, ki je še dosegljivo, ni preklican dostop.

Dokažite, da predaja deluje, preden se okno odpre

Prvi skok testerja izvedite sami, s položaja čim bližje njegovemu. Razrešite ime, preverite identiteto potrdila in potrdite, da pot doseže predvideni naslov in ne sosednjega.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Če pot ne more doseči cilja, se ustavite in uskladite predajo, namesto da bi pustili testerju, da odkrije alternativno pot. Improvizirana dosegljivost je način, kako ocena tiho zraste prek svojega obsega, in to se pozneje skoraj nikoli ne dokumentira.

Pošljite skupaj s poverilnicami operativni stik, dovoljene ure, izključena dejanja in pogoje za ustavitev. Tester, ki ob 02:00 ne doseže nikogar, bo sprejel odločitev, ki je niste avtorizirali, in ta odločitev bo v poročilu opisana, kot da je bila v obsegu.

NIST SP 800-115 tehnično oceno uokvirja kot načrtovano testiranje, ki mu sledita analiza in blaženje, in to je oblika, ki ji sledi ta predaja. Vrata zgoraj so uredniške oblikovalske odločitve za inženirja podpore, ne kontrolni seznam, citiran iz te publikacije.

Zaključite delo z odstranitvijo dostopa

Prekličite v obratnem vrstnem redu glede na pripravo: vloge aplikacije, nato omrežni dostop, nato identiteta sama. Potrdite vsak korak, namesto da bi predpostavili, da je konzola storila, kar je obljubil gumb. Zaklenite račun, preden ubijete njegove seje, sicer se seja preprosto znova avtenticira po stari poti. Nato še enkrat preverite vzpostavljene povezave, preden to razglasite za zaprto.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Poravnajte morebitne zadržane testne podatke in nato spremljajte odpravo skozi postopek poročanja, dogovorjen na začetku. Poročilo mora navesti okolje, raven dostopa, obseg in omejitve, ker beleži ugotovitve ene ocene in ni trajna izjava, da je spletno mesto varno.

Hranite zapis o preklicu skupaj z zapisom o predaji. Ko se odpre naslednje delo, boste želeli natančno vedeti, kaj je bilo zadnjič odstranjeno in kdo je to odobril, namesto da bi sliko obnovili iz spomina.