Pag-turnover ng access para sa security test: saklaw, mga account at pagbawi

Isang tester ang humihingi ng gateway address, detalye ng internal DNS at VPN credentials, at ang kahilingan ay ipinapasa sa iyo na may paksang «kailangan ng access». Ang kahilingan lamang ay hindi nagsasabi kung ito ay panloob na pagtatasa, pagsubok ng aplikasyong may authentication, o trabaho sa pampublikong website kung saan may nagkamali ng pag-unawa sa saklaw. Patakbuhin ang turnover bilang sunud-sunod na may gate sa bawat hakbang, at huminto sa unang gate na hindi bumubukas. Ginagawa nitong isang bagay na maaari mong awtorisahin, ihatid at bawiin mamaya ang malabong kahilingan.

Magsimula sa awtorisasyon, hindi sa credentials

Bago lumabas ang anumang address sa iyong inbox, itatag kung sino ang may-ari ng mga target at sino ang pinapayagang mag-apruba ng pagsubok sa mga ito. Beripikahin ang tester sa pamamagitan ng engagement contact na ginagamit na ng iyong organisasyon, hindi sa pamamagitan ng taong nagpasa ng email. Ang ugnayan sa kliyente ay hindi pahintulot na subukan ang bawat sistemang maabot mula sa isang account, at ang purchase order ay hindi dokumento ng saklaw.

Isulat ang aprubadong layunin sa isang pangungusap at itago ito sa tabi ng turnover. «Tasan ang authentication ng customer portal» at «tasan ang internal network» ay tumutungo sa lubos na magkaibang pakete, at ang pagkakaiba ay dapat ayusin bago ang paghahanda, hindi pagkatapos ng isang natuklasan. Nagbibigay din sa iyo ang pangungusap ng ituturo kapag lumaki ang kahilingan sa gitna ng trabaho.

Kung may hosting provider o ibang third party sa landas, nauuna ang kanilang mga pangangailangan kaysa sa iyong kaginhawahan. Ang pagsubok sa imprastraktura ng iba nang walang pahintulot nila ay hiwalay na problema sa pagsubok sa aplikasyong tumatakbo dito.

Pangalanan ang pananaw at ang mga target

Ang pananaw ay ang tanong na sinasagot ng pagtatasa, at ito ang tumutukoy sa access package nang higit sa anumang tool na planong gamitin ng tester. Ang pampublikong pagsubok na walang authentication ay nangangailangan ng URL at time window. Ang pagsubok na may authentication ay nangangailangan ng dedikadong account para sa partikular na mga role sa saklaw, at ang panloob na pagtatasa ay nangangailangan ng tinukoy na entry point na may malinaw na target range.

Ang lugar kung saan pumapasok ang tunnel ay hindi kaparehong katotohanan sa kung anong aplikasyon ang nasa likod nito, at tiyak na hindi nito pinapayagan ang pagsisiyasat sa entry point. Sabihin ito nang malinaw sa turnover, dahil ang linyang «binigyan mo ako ng access sa subnet na iyon» ay mabilis dumating kapag pinagtatalunan ang isang natuklasan. Ang nakasulat na listahan ng target ang tanging bagay na nag-aayos nito pagkatapos.

Ibigay ang TLS hostname kasama ng URL. Ang hubad na IP address ay pumipilit sa tester na hulaan ang pangalan, at ang hinulaang pangalan ay nagdudulot ng mga error sa certificate na iniuulat bilang natuklasan sa halip na pagkakamali sa turnover.

Maglabas ng dedikadong pagkakakilanlan na may expiry

Maghanda ng mga account na umiiral lamang para sa gawaing ito; huwag ipahiram ang araw-araw na login ng isang kawani. Itakda ang network reachability at mga pahintulot ng aplikasyon sa mga napagkasunduang gawain, ayusin ang pagpapatala ng authentication sa sinusuportahang landas, at ilakip ang petsa ng pag-expire kasama ng pinangalanang taong responsable sa pagbawi. Ihatid ang credentials sa napagkasunduang secure channel, hiwalay sa dokumento ng saklaw na ipinapasa-pasa.

sudo useradd -m -e 2026-12-31 tester01
sudo passwd -S tester01
id tester01
lastlog -u tester01

Itala kung sino ang nakatanggap ng ano, at kailan. Ang talaan na iyon ang pagkakaiba ng kontroladong turnover at ng pinagsamang password na walang makasusubaybay, at ito ang unang hinihingi ng kahit sino pagkatapos ng insidente. Itago ito kasama ng dokumento ng saklaw sa halip na sa chat thread, at itala ang channel ng paghahatid sa tabi ng tatanggap. Ang linyang may timestamp ay laging nananalo sa alaala.

Ang expiry field ay huling pangharang, hindi ang plano. May kailangan pa ring mag-alis ng network path at application role sa dulo, dahil ang nag-expire na login sa network na naaabot pa rin ay hindi binawi na access.

Patunayan na gumagana ang turnover bago bumukas ang window

Ikaw mismo ang magpatakbo ng unang hop ng tester, mula sa posisyong pinakamalapit sa kanya. I-resolve ang pangalan, suriin ang identidad ng certificate, at kumpirmahing naaabot ng landas ang nilalayong address at hindi ang katabi.

dig +short app.example.com
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates
ip route get 10.60.0.25

Kung hindi maabot ng landas ang isang target, huminto at iayon ang turnover sa halip na hayaang tumuklas ang tester ng alternatibong ruta. Ang improvise na reachability ang paraan kung paano tahimik na lumalampas sa saklaw ang isang pagtatasa, at halos hindi ito naidodokumento pagkatapos.

Ipadala ang operational contact, pinapayagang oras, ibinukod na aksyon at stop conditions kasama ng credentials. Ang tester na hindi makakontak ng kahit sino sa 02:00 ay gagawa ng desisyong hindi mo awtorisado, at ang desisyong iyon ay ilalarawan sa ulat na para bang nasa loob ito ng saklaw.

NIST SP 800-115 binabalangkas ang teknikal na pagtatasa bilang planadong pagsubok na sinusundan ng pagsusuri at pagpapagaan, at iyon ang hugis na sinusundan ng turnover na ito. Ang mga gate sa itaas ay editoryal na desisyon sa disenyo para sa support engineer, hindi checklist na sinipi mula sa publikasyong iyon.

Isara ang gawain sa pamamagitan ng pag-alis ng access

Bawiin sa baligtad na pagkakasunod-sunod ng paghahanda: application roles, pagkatapos network access, pagkatapos ang pagkakakilanlan mismo. Kumpirmahin ang bawat hakbang sa halip na ipagpalagay na ginawa ng console ang ipinangako ng button. I-lock ang account bago patayin ang mga session nito, kung hindi ay muling magpapatunay ang session sa lumang landas. Pagkatapos ay suriin muli ang mga naitatag na koneksyon bago ito ideklarang sarado.

sudo passwd -l tester01
sudo pkill -u tester01
ss -tn state established '( sport = :443 )'

Ayusin ang anumang itinagong test data, pagkatapos ay subaybayan ang remediation sa pamamagitan ng proseso ng pag-uulat na napagkasunduan sa simula. Dapat isaad ng ulat ang kapaligiran, antas ng access, saklaw at mga limitasyon, dahil itinatala nito ang mga natuklasan mula sa isang pagtatasa at hindi ito permanenteng pahayag na ligtas ang site.

Itago ang talaan ng pagbawi kasama ng talaan ng turnover. Kapag bumukas ang susunod na gawain, gusto mong malaman nang eksakto kung ano ang inalis noong nakaraan at sino ang nag-apruba, sa halip na buuin muli ang larawan mula sa alaala.