భద్రతా పరీక్ష యాక్సెస్ హ్యాండ్ఆఫ్: పరిధి, ఖాతాలు మరియు రద్దు
VPN ఆధారాలను అడిగే పరీక్షకుడికి పరిధితో కూడిన హ్యాండ్ఆఫ్ కావాలి, అదనపు లాగిన్ కాదు. అనుమతిని గేట్ చేయండి, లక్ష్యాలను పేర్కొనండి, ఖాతాలను జారీ చేయండి, తర్వాత రద్దు చేయండి.
ఒక పరీక్షకుడు గేట్వే చిరునామా, అంతర్గత DNS వివరాలు మరియు VPN ఆధారాలను అడుగుతాడు, మరియు అభ్యర్థన «యాక్సెస్ కావాలి» అనే విషయంతో మీకు పంపబడుతుంది. అభ్యర్థన మాత్రమే ఇది అంతర్గత మూల్యాంకనమా, ప్రామాణీకరించిన అప్లికేషన్ పరీక్షా, లేదా పరిధిని ఎవరో తప్పుగా అర్థం చేసుకున్న పబ్లిక్ వెబ్సైట్ పనా అని మీకు చెప్పదు. హ్యాండ్ఆఫ్ను ప్రతి దశలో గేట్తో క్రమంగా నిర్వహించి, తెరవని మొదటి గేట్ వద్ద ఆపండి. అది అస్పష్టమైన అభ్యర్థనను మీరు అనుమతించగల, అందించగల మరియు తర్వాత రద్దు చేయగల ఒకటిగా మారుస్తుంది.
ఆధారాలతో కాదు, అనుమతితో ప్రారంభించండి
మీ ఇన్బాక్స్ నుండి ఏ చిరునామా బయటకు వెళ్లకముందే లక్ష్యాల యజమాని ఎవరు మరియు వాటిపై పరీక్షను ఎవరు ఆమోదించవచ్చో నిర్ణయించండి. పరీక్షకుడిని మీ సంస్థ ఇప్పటికే ఉపయోగించే పని సంప్రదింపు ద్వారా ధృవీకరించండి, ఇమెయిల్ ఫార్వర్డ్ చేసిన వ్యక్తి ద్వారా కాదు. కస్టమర్ సంబంధం ఖాతా నుండి చేరుకోగల ప్రతి వ్యవస్థను పరీక్షించే అనుమతి కాదు, మరియు కొనుగోలు ఆర్డర్ పరిధి పత్రం కాదు.
ఆమోదించిన లక్ష్యాన్ని ఒక వాక్యంలో రాయండి మరియు దాన్ని హ్యాండ్ఆఫ్ పక్కన ఉంచండి. «కస్టమర్ పోర్టల్ ప్రామాణీకరణను మూల్యాంకన చేయండి» మరియు «అంతర్గత నెట్వర్క్ను మూల్యాంకన చేయండి» పూర్తిగా భిన్నమైన ప్యాకేజీలకు దారి తీస్తాయి, మరియు భేదాన్ని సదుపాయం ముందే పరిష్కరించాలి, ఒక కనుగొన్న విషయం వచ్చిన తర్వాత కాదు. పని మధ్యలో అభ్యర్థన పెరిగినప్పుడు చూపించడానికి ఒకటి ఆ వాక్యం మీకు ఇస్తుంది.
మార్గంలో హోస్టింగ్ ప్రదాత లేదా మరో మూడవ పక్షం ఉంటే, వారి అవసరాలు మీ సౌలభ్యం ముందు వస్తాయి. వారి అనుమతి లేకుండా ఇతరుల మౌలిక సదుపాయాలను పరీక్షించడం దానిపై నడిచే అప్లికేషన్ను పరీక్షించడం నుండి భిన్నమైన సమస్య.
దృక్కోణం మరియు లక్ష్యాలను పేర్కొనండి
దృక్కోణం అంటే మూల్యాంకనం సమాధానం ఇవ్వాలని ప్రయత్నించే ప్రశ్న, మరియు పరీక్షకుడు ఉపయోగించాలని ప్రణాళిక చేసిన ఏ సాధనం కంటే ఎక్కువగా యాక్సెస్ ప్యాకేజీని అది నిర్ణయిస్తుంది. పబ్లిక్ ప్రామాణీకరించని పరీక్షకు URL మరియు సమయ విండో అవసరం. ప్రామాణీకరించిన పరీక్షకు పరిధిలోని నిర్దిష్ట పాత్రలకు అంకితమైన ఖాతాలు అవసరం, అంతర్గత మూల్యాంకనానికి స్పష్టమైన లక్ష్య పరిధులతో నిర్వచించిన ప్రవేశ స్థానం అవసరం.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
టన్నెల్ ఎక్కడ ప్రవేశిస్తుంది అనేది దాని వెనుక ఏ అప్లికేషన్ ఉంది అనే వాస్తవం కాదు, మరియు అది ప్రవేశ స్థానాన్ని పరిశీలించడానికి ఎట్టిపరిస్థితుల్లో అనుమతించదు. హ్యాండ్ఆఫ్లో ఇది స్పష్టంగా చెప్పండి, ఎందుకంటే ఒక కనుగొన్న విషయం వివాదాస్పదమైన వెంటనే «ఆ సబ్నెట్కు నువ్వు నాకు యాక్సెస్ ఇచ్చావు» అనే వాక్యం వేగంగా వస్తుంది. లిఖిత లక్ష్య జాబితా మాత్రమే దాన్ని తర్వాత పరిష్కరిస్తుంది.
URL తో పాటు TLS హోస్ట్పేరును ఇవ్వండి. కేవలం IP చిరునామా పరీక్షకుడిని పేరును ఊహించమని బలవంతం చేస్తుంది, ఊహించిన పేరు హ్యాండ్ఆఫ్ పొరపాటుగా కాకుండా కనుగొన్న విషయంగా నివేదించబడే ధృవపత్ర లోపాలను సృష్టిస్తుంది.
గడువుతో అంకితమైన గుర్తింపులను జారీ చేయండి
ఈ పని కోసం మాత్రమే ఉన్న ఖాతాలను సమకూర్చండి; ఉద్యోగి రోజువారీ లాగిన్ను అప్పు ఇవ్వవద్దు. అంగీకరించిన పనులకు నెట్వర్క్ చేరుకోగల సామర్థ్యం మరియు అప్లికేషన్ అనుమతులను సెట్ చేయండి, మద్దతు ఉన్న మార్గం ద్వారా ప్రామాణీకరణ నమోదును ఏర్పాటు చేయండి, మరియు రద్దుకు బాధ్యత వహించే పేరు పేర్కొన్న వ్యక్తితో గడువు తేదీని జోడించండి. ఆధారాలను అంగీకరించిన సురక్షిత మార్గం ద్వారా, చుట్టూ ఫార్వర్డ్ అయ్యే పరిధి పత్రం నుండి వేరుగా అందించండి.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
ఎవరు ఏమి ఎప్పుడు పొందారో నమోదు చేయండి. ఆ నమోదే నియంత్రిత హ్యాండ్ఆఫ్ మరియు ఎవరూ గుర్తించలేని పంచుకున్న పాస్వర్డ్ మధ్య భేదం, మరియు సంఘటన తర్వాత అందరూ మొదట అడిగేది అదే. దాన్ని చాట్ థ్రెడ్లో కాకుండా పరిధి పత్రంతో ఉంచండి, మరియు గ్రహీత పక్కన డెలివరీ మార్గాన్ని గుర్తించండి. సమయ ముద్రతో ఉన్న ఒక వరుస ప్రతిసారీ జ్ఞాపకాన్ని ఓడిస్తుంది.
గడువు ఫీల్డ్ చివరి రక్షణ, ప్రణాళిక కాదు. చివర్లో ఎవరైనా నెట్వర్క్ మార్గాన్ని మరియు అప్లికేషన్ పాత్రను తప్పనిసరిగా తొలగించాలి, ఎందుకంటే ఇంకా చేరుకోగల నెట్వర్క్లో గడువు ముగిసిన లాగిన్ రద్దు చేయబడిన యాక్సెస్ కాదు.
విండో తెరవకముందే హ్యాండ్ఆఫ్ పనిచేస్తుందని నిరూపించండి
పరీక్షకుడి మొదటి దూకుడును మీరే నిర్వహించండి, ఆయన స్థానానికి వీలైనంత దగ్గరగా. పేరును పరిష్కరించి, ధృవపత్రం గుర్తింపును తనిఖీ చేయండి, మరియు మార్గం పక్కన ఉన్న దానికి కాకుండా ఉద్దేశించిన చిరునామాకు చేరుతుందని నిర్ధారించండి.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
మార్గం ఒక లక్ష్యాన్ని చేరుకోలేకపోతే, పరీక్షకుడిని ప్రత్యామ్నాయ మార్గాన్ని కనుగొననివ్వడం కాకుండా ఆపి హ్యాండ్ఆఫ్ను సమన్వయపరచండి. తాత్కాలిక చేరుకోగల సామర్థ్యమే ఒక మూల్యాంకనం నిశ్శబ్దంగా తన పరిధిని దాటి పెరిగే మార్గం, మరియు అది తర్వాత దాదాపు ఎప్పుడూ నమోదు చేయబడదు.
ఆధారాలతో పాటు కార్యాచరణ సంప్రదింపు, అనుమతించిన గంటలు, మినహాయించిన చర్యలు మరియు ఆపు షరతులను పంపండి. 02:00 గంటలకు ఎవరినీ చేరుకోలేని పరీక్షకుడు మీరు అనుమతించని నిర్ణయం తీసుకుంటాడు, మరియు ఆ నిర్ణయం పరిధిలో ఉన్నట్టుగానే నివేదికలో వివరించబడుతుంది.
NIST SP 800-115 సాంకేతిక మూల్యాంకనాన్ని ప్రణాళికాబద్ధ పరీక్షగా, ఆ తర్వాత విశ్లేషణ మరియు ఉపశమనంగా చట్రీకరిస్తుంది, మరియు ఈ హ్యాండ్ఆఫ్ అదే ఆకృతిని అనుసరిస్తుంది. పైన ఉన్న గేట్లు మద్దతు ఇంజినీర్ కోసం సంపాదకీయ రూపకల్పన నిర్ణయాలు, ఆ ప్రచురణ నుండి ఉదహరించిన తనిఖీ జాబితా కాదు.
యాక్సెస్ను తొలగించి పనిని ముగించండి
సదుపాయానికి వ్యతిరేక క్రమంలో రద్దు చేయండి: అప్లికేషన్ పాత్రలు, తర్వాత నెట్వర్క్ యాక్సెస్, తర్వాత గుర్తింపు. బటన్ వాగ్దానం చేసినది కన్సోల్ చేసిందని ఊహించడం కాకుండా ప్రతి దశను నిర్ధారించండి. సెషన్లను చంపే ముందు ఖాతాను లాక్ చేయండి, లేకపోతే సెషన్ పాత మార్గం ద్వారా మళ్లీ ప్రామాణీకరించబడుతుంది. తర్వాత మూసివేసినట్టు ప్రకటించే ముందు ఏర్పాటైన కనెక్షన్లను మరోసారి తనిఖీ చేయండి.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
నిలిపి ఉంచిన పరీక్ష డేటాను పరిష్కరించి, తర్వాత ఆరంభంలో అంగీకరించిన నివేదిక ప్రక్రియ ద్వారా సరిదిద్దడాన్ని ట్రాక్ చేయండి. నివేదిక పరిసరం, యాక్సెస్ స్థాయి, పరిధి మరియు పరిమితులను తెలియజేయాలి, ఎందుకంటే అది ఒక మూల్యాంకనం యొక్క కనుగొన్న విషయాలను నమోదు చేస్తుంది, సైట్ సురక్షితం అనే శాశ్వత ప్రకటన కాదు.
రద్దు నమోదును హ్యాండ్ఆఫ్ నమోదుతో ఉంచండి. తదుపరి పని తెరిచినప్పుడు గతసారి సరిగ్గా ఏమి తొలగించారు మరియు ఎవరు ఆమోదించారు అని మీరు తెలుసుకోవాలనుకుంటారు, జ్ఞాపకం నుండి చిత్రాన్ని తిరిగి నిర్మించడం కాదు.