Dorëzimi i aksesit për testin e sigurisë: shtrirja, llogaritë dhe revokimi
Një testues që kërkon kredenciale VPN ka nevojë për një dorëzim me shtrirje të caktuar, jo për një hyrje rezervë. Verifikoni autorizimin, emërtoni objektivat, lëshoni llogari dhe më pas revokoni.
Një testues kërkon një adresë portë, detaje të DNS të brendshëm dhe kredenciale VPN, dhe kërkesa ju përcillet me subjektin «duhet akses». Kërkesa vetëm nuk ju tregon nëse bëhet fjalë për një vlerësim të brendshëm, një test të një aplikacioni të autentikuar apo një punë në një faqe publike ku dikush e ka keqkuptuar shtrirjen. Kryeni dorëzimin si një sekuencë me një portë në çdo hap dhe ndaloni te porta e parë që nuk hapet. Kjo e kthen një kërkesë të paqartë në diçka që mund ta autorizoni, ta dorëzoni dhe më vonë ta revokoni.
Filloni me autorizimin, jo me kredencialet
Para se ndonjë adresë të dalë nga kutia juaj, përcaktoni kush i zotëron objektivat dhe kush lejohet të miratojë testime mbi to. Verifikoni testuesin përmes kontaktit të angazhimit që organizata juaj tashmë përdor, jo përmes personit që e përcolli emailin. Një marrëdhënie me klientin nuk është leje për të testuar çdo sistem të arritshëm nga një llogari, dhe një urdhër blerjeje nuk është dokument shtrirjeje.
Shkruani objektivin e miratuar në një fjali dhe mbajeni pranë dorëzimit. «Vlerësoni autentikimin e portalit të klientit» dhe «vlerësoni rrjetin e brendshëm» çojnë në paketa krejt të ndryshme, dhe diferenca duhet zgjidhur para përgatitjes, jo pasi të mbërrijë një gjetje. Fjalia ju jep edhe diçka për të treguar kur kërkesa rritet në mes të punës.
Nëse në rrugë është një ofrues hosting-u ose një palë e tretë, kërkesat e tyre vijnë para komoditetit tuaj. Testimi i infrastrukturës së dikujt tjetër pa lejen e tij është problem i ndryshëm nga testimi i aplikacionit që funksionon mbi të.
Emërtoni këndvështrimin dhe objektivat
Këndvështrimi është pyetja të cilës vlerësimi përpiqet t'i përgjigjet, dhe përcakton paketën e aksesit më shumë se çdo mjet që testuesi planifikon të përdorë. Një test publik i paautentikuar ka nevojë për një URL dhe një dritare kohore. Një test i autentikuar ka nevojë për llogari të dedikuara për rolet konkrete në shtrirje, dhe një vlerësim i brendshëm ka nevojë për një pikë hyrjeje të përcaktuar me interval objektivash të qarta.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Ku hyn një tunel nuk është i njëjti fakt si cili aplikacion qëndron prapa tij, dhe sigurisht nuk lejon hetimin e pikës së hyrjes. Thojeni këtë haptazi në dorëzim, sepse fjalia «më dhe akses në atë nënrrjet» vjen shpejt sapo një gjetje kundërshtohet. Një listë e shkruar objektivash është e vetmja gjë që e zgjidh atë më pas.
Jepni emrin e hostit TLS bashkë me URL-në. Një adresë IP e zhveshur e detyron testuesin ta hamendësojë emrin, dhe një emër i hamendësuar prodhon gabime certifikate që raportohen si gjetje dhe jo si gabim dorëzimi.
Lëshoni identitete të dedikuara me një afat skadimi
Përgatitni llogari që ekzistojnë vetëm për këtë angazhim; mos huazoni hyrjen e përditshme të një punonjësi. Vendosni arritshmërinë e rrjetit dhe lejet e aplikacionit sipas detyrave të rëna dakord, organizoni regjistrimin e autentikimit përmes një rruge të mbështetur, dhe bashkëngjitni një datë skadimi me një person të emërtuar përgjegjës për revokimin. Dorëzoni kredencialet përmes një kanali të sigurt të rënë dakord, veçmas nga dokumenti i shtrirjes që përcillet andej-këtej.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Regjistroni kush mori çfarë, dhe kur. Ai regjistër është diferenca midis një dorëzimi të kontrolluar dhe një fjalëkalimi të përbashkët që askush nuk mund ta gjurmojë, dhe është gjëja e parë që kërkon kushdo pas një incidenti. Mbajeni me dokumentin e shtrirjes në vend të një filli bisede, dhe shënoni kanalin e dorëzimit pranë marrësit. Një rresht me vulë kohe fiton gjithmonë ndaj kujtesës.
Fusha e skadimit është rrjeta e sigurisë, jo plani. Dikush megjithatë duhet të heqë rrugën e rrjetit dhe rolin e aplikacionit në fund, sepse një hyrje e skaduar në një rrjet ende të arritshëm nuk është akses i revokuar.
Provoni që dorëzimi funksionon para se të hapet dritarja
Kryeni vetë kërcimin e parë të testuesit, nga një pozicion sa më pranë tij. Zgjidhni emrin, kontrolloni identitetin e certifikatës dhe konfirmoni që rruga arrin adresën e synuar dhe jo një fqinje.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Nëse rruga nuk arrin dot një objektiv, ndaloni dhe rakordoni dorëzimin në vend që ta lini testuesin të zbulojë një rrugë alternative. Arritshmëria e improvizuar është mënyra se si një vlerësim zgjerohet në heshtje përtej shtrirjes së tij, dhe pothuajse kurrë nuk dokumentohet më pas.
Dërgoni kontaktin operativ, orët e lejuara, veprimet e përjashtuara dhe kushtet e ndalimit bashkë me kredencialet. Një testues që në 02:00 nuk arrin askënd do të marrë një vendim që ju nuk e autorizuat, dhe ai vendim do të përshkruhet në raport sikur të ishte brenda shtrirjes.
NIST SP 800-115 e kornizon një vlerësim teknik si testime të planifikuara të ndjekura nga analiza dhe zbutja, dhe kjo është forma që ndjek ky dorëzim. Portat më sipër janë zgjedhje editoriale projektimi për një inxhinier mbështetjeje, jo një listë kontrolli e cituar nga ai botim.
Mbyllni angazhimin duke hequr aksesin
Revokoni në rendin e kundërt të përgatitjes: rolet e aplikacionit, pastaj aksesi në rrjet, pastaj identiteti vetë. Konfirmoni çdo hap në vend që të supozoni se konsola bëri atë që premtoi butoni. Kyçni llogarinë para se të vrisni sesionet e saj, përndryshe sesioni thjesht riautentikohet përmes rrugës së vjetër. Pastaj kontrolloni edhe një herë lidhjet e vendosura para se ta shpallni të mbyllur.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Zgjidhni çdo të dhënë testimi të mbajtur, pastaj ndiqni rregullimin përmes procesit të raportimit të rënë dakord në fillim. Raporti duhet të thotë mjedisin, nivelin e aksesit, shtrirjen dhe kufizimet, sepse regjistron gjetjet e një vlerësimi dhe nuk është deklaratë e përhershme se sajti është i sigurt.
Mbajeni regjistrin e revokimit bashkë me regjistrin e dorëzimit. Kur të hapet angazhimi i ardhshëm, do të doni të dini saktësisht çfarë u hoq herën e kaluar dhe kush e miratoi, në vend që ta rindërtoni pamjen nga kujtesa.