Предаја приступа за безбедносно тестирање: обим, налози и опозив
Тестеру који тражи VPN акредитиве потребна је предаја са утврђеним обимом, а не резервна пријава. Проверите ауторизацију, именујте циљеве, издајте налоге и затим опозовите.
Тестер тражи адресу пролаза, детаље интерног DNS-а и VPN акредитиве, а захтев се прослеђује вама са насловом „потребан је приступ“. Сам захтев вам не говори да ли је то интерна процена, тест апликације са аутентификацијом или ангажман на јавном веб-сајту где је неко погрешно схватио обим. Спроведите предају као низ са капијом на сваком кораку и зауставите се на првој капији која се не отвара. То нејасан захтев претвара у нешто што можете ауторизовати, доставити и касније опозвати.
Почните са ауторизацијом, а не са акредитивима
Пре него што било која адреса напусти ваше сандуче, утврдите коме припадају циљеви и ко сме да одобри тестирање на њима. Проверите тестера кроз контакт за ангажман који ваша организација већ користи, а не кроз особу која је проследила е-пошту. Однос са клијентом није дозвола за тестирање сваког система доступног са налога, а наруџбеница није документ о обиму.
Запишите одобрени циљ у једној реченици и држите га уз предају. „Процени аутентификацију клијентског портала“ и „процени интерну мрежу“ воде потпуно различитим пакетима, а разлика мора да се реши пре припреме, а не након што стигне налаз. Реченица вам даје и нешто на шта можете да покажете када захтев нарасте усред ангажмана.
Ако је на путу пружалац хостинга или друга трећа страна, њихови захтеви долазе пре ваше удобности. Тестирање туђе инфраструктуре без њихове дозволе је одвојен проблем од тестирања апликације која на њој ради.
Именујте гледиште и циљеве
Гледиште је питање на које процена покушава да одговори и одређује пакет приступа више од било ког алата који тестер планира да користи. Јавни тест без аутентификације треба URL и временски прозор. Тест са аутентификацијом треба наменске налоге за конкретне улоге у обиму, а интерна процена треба дефинисану улазну тачку са јасним распонима циљева.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Где тунел улази није иста чињеница као која апликација стоји иза њега и то никако не дозвољава испитивање улазне тачке. Реците то изричито у предаји, јер реченица „дао си ми приступ тој подмрежи“ долази брзо кад се налаз оспори. Писани списак циљева једино је што то касније решава.
Дајте TLS име хоста уз URL. Гола IP адреса тера тестера да нагађа име, а нагађано име производи грешке сертификата које се пријављују као налази, а не као грешка у предаји.
Издајте наменске идентитете са роком важења
Припремите налоге који постоје само за овај ангажман; не позајмљујте свакодневну пријаву запосленог. Поставите мрежну доступност и дозволе апликације на договорене задатке, уредите упис аутентификације подржаним путем и приложите датум истека са именованом особом одговорном за опозив. Доставите акредитиве договореним безбедним каналом, одвојено од документа о обиму који се прослеђује около.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Забележите ко је шта примио и када. Тај запис је разлика између контролисане предаје и дељене лозинке коју нико не може да прати, и прва је ствар коју свако тражи после инцидента. Држите га уз документ о обиму, а не у чет нити, и забележите канал доставе уз примаоца. Ред са временском ознаком увек побеђује сећање.
Поље истека је последња заштита, не план. Неко ипак мора да уклони мрежни пут и улогу апликације на крају, јер истекла пријава на мрежи која је још доступна није опозван приступ.
Докажите да предаја ради пре него што се прозор отвори
Изведите тестеров први скок сами, са позиције што ближе његовој. Разрешите име, проверите идентитет сертификата и потврдите да пут стиже до намераване адресе, а не суседне.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Ако пут не може да стигне до циља, паузирајте и ускладите предају уместо да пустите тестера да открије алтернативну руту. Импровизована доступност је начин на који процена тихо излази изван обима и готово се никад не документује после.
Пошаљите оперативни контакт, дозвољене сате, искључене радње и услове заустављања уз акредитиве. Тестер који у 02:00 не може никога да добије донеће одлуку коју нисте ауторизовали, а та одлука ће у извештају бити описана као да је била у обиму.
NIST SP 800-115 описује техничку процену као планирано тестирање праћено анализом и ублажавањем, и управо тај облик ова предаја следи. Капије изнад су уредничке дизајнерске одлуке за инжењера подршке, а не контролна листа цитирана из те публикације.
Затворите ангажман уклањањем приступа
Опозовите обрнутим редоследом од припреме: улоге апликације, затим мрежни приступ, затим сам идентитет. Потврдите сваки корак уместо да претпоставите да је конзола урадила што је дугме обећало. Закључајте налог пре него што убијете његове сесије, иначе се сесија једноставно поново аутентификује старим путем. Затим још једном проверите успостављене везе пре него што то назовете затвореним.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Решите све задржане тест податке, затим пратите исправку кроз процес извештавања договорен на почетку. Извештај треба да наведе окружење, ниво приступа, обим и ограничења, јер бележи налазе једне процене и није трајна изјава да је сајт безбедан.
Држите запис о опозиву уз запис о предаји. Кад се отвори следећи ангажман, желите тачно да знате шта је прошли пут уклоњено и ко је то потписао, а не да реконструишете слику по сећању.