Güvenlik testi erişim devri: kapsam, hesaplar ve iptal
VPN kimlik bilgilerini isteyen bir test uzmanı, yedek bir oturum açma değil kapsamı belirlenmiş bir devir ister. Yetkilendirmeyi kapıdan geçirin, hedefleri adlandırın, hesapları verin ve ardından iptal edin.
Bir test uzmanı ağ geçidi adresi, dahili DNS ayrıntıları ve VPN kimlik bilgileri istiyor ve talep «erişim gerekiyor» konu satırıyla size iletilir. Talep tek başına bunun dahili bir değerlendirme mi, kimlik doğrulamalı bir uygulama testi mi, yoksa birinin kapsamı yanlış anladığı bir kamu web sitesi işi mi olduğunu size söylemez. Devri her adımda bir kapı olan bir dizi olarak yürütün ve açılmayan ilk kapıda durun. Bu, belirsiz bir talebi yetkilendirebileceğiniz, teslim edebileceğiniz ve sonra iptal edebileceğiniz bir şeye dönüştürür.
Kimlik bilgileriyle değil, yetkilendirmeyle başlayın
Herhangi bir adres gelen kutunuzdan çıkmadan önce hedeflerin kime ait olduğunu ve bunlar üzerinde testi kimin onaylayabileceğini belirleyin. Test uzmanını kuruluşunuzun zaten kullandığı iş bağlantısı üzerinden doğrulayın, e-postayı ileten kişi üzerinden değil. Müşteri ilişkisi, bir hesaptan erişilebilen her sistemi test etme izni değildir ve satın alma siparişi kapsam belgesi değildir.
Onaylanmış amacı tek bir cümleyle yazın ve devrin yanında tutun. «Müşteri portalının kimlik doğrulamasını değerlendirin» ile «dahili ağı değerlendirin» tamamen farklı paketlere çıkar ve fark, bir bulgu geldikten sonra değil, hazırlıktan önce çözülmelidir. Cümle ayrıca iş ortasında talep büyüdüğünde işaret edebileceğiniz bir şey verir.
Yolda bir barındırma sağlayıcısı veya başka bir üçüncü taraf varsa, onların gereksinimleri sizin rahatınızdan önce gelir. Bir başkasının altyapısını izni olmadan test etmek, üzerinde çalışan uygulamayı test etmekten ayrı bir sorundur.
Bakış açısını ve hedefleri adlandırın
Bakış açısı değerlendirmenin yanıtlamaya çalıştığı sorudur ve erişim paketini test uzmanının kullanmayı planladığı herhangi bir araçtan daha çok belirler. Genel, kimlik doğrulamasız bir test bir URL ve bir zaman penceresi gerektirir. Kimlik doğrulamalı bir test kapsamdaki belirli roller için özel hesaplar gerektirir ve dahili bir değerlendirme, açık hedef aralıkları olan tanımlı bir giriş noktası gerektirir.
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
Tünelin nereden girdiği, arkasında hangi uygulamanın durduğuyla aynı olgu değildir ve giriş noktasını araştırmaya kesinlikle izin vermez. Bunu devirde açıkça söyleyin, çünkü bir bulgu tartışıldığı anda «bana o alt ağa erişim verdin» cümlesi hızla gelir. Yazılı hedef listesi bunu sonradan çözen tek şeydir.
URL ile birlikte TLS ana bilgisayar adını verin. Çıplak bir IP adresi test uzmanını adı tahmin etmeye zorlar ve tahmin edilen ad, devir hatası olarak değil bulgu olarak bildirilen sertifika hataları üretir.
Son kullanma tarihi olan özel kimlikler verin
Yalnızca bu iş için var olan hesaplar hazırlayın; bir çalışanın günlük oturumunu ödünç vermeyin. Ağ erişilebilirliğini ve uygulama izinlerini kararlaştırılan görevlere göre ayarlayın, kimlik doğrulama kaydını desteklenen bir yoldan düzenleyin ve iptalden sorumlu adı belirli bir kişiyle birlikte son kullanma tarihi ekleyin. Kimlik bilgilerini kararlaştırılan güvenli kanaldan, ortalıkta iletilen kapsam belgesinden ayrı olarak teslim edin.
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
Kimin neyi ne zaman aldığını kaydedin. Bu kayıt, kontrollü bir devir ile kimsenin izleyemediği paylaşılan bir parola arasındaki farktır ve bir olaydan sonra herkesin ilk istediği şeydir. Onu sohbet akışında değil kapsam belgesiyle birlikte saklayın ve teslim kanalını alıcının yanına not edin. Zaman damgalı bir satır her zaman bir hatırayı yener.
Son kullanma alanı son güvencedir, plan değil. Sonunda birinin ağ yolunu ve uygulama rolünü yine de kaldırması gerekir, çünkü hâlâ erişilebilir bir ağda süresi dolmuş oturum, iptal edilmiş erişim değildir.
Pencere açılmadan önce devrin çalıştığını kanıtlayın
Test uzmanının ilk atlamasını kendiniz yapın, olabildiğince onun konumuna yakın bir yerden. Adı çözün, sertifikanın kimliğini kontrol edin ve yolun komşu bir adrese değil amaçlanan adrese ulaştığını doğrulayın.
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
Yol bir hedefe ulaşamıyorsa, test uzmanının alternatif bir rota bulmasına izin vermek yerine durun ve devri uyumlayın. Doğaçlama erişilebilirlik, bir değerlendirmenin sessizce kapsamının dışına taşmasının yoludur ve sonradan neredeyse hiç belgelenmez.
Kimlik bilgileriyle birlikte operasyonel kişiyi, izin verilen saatleri, hariç tutulan eylemleri ve durdurma koşullarını gönderin. 02:00'de kimseye ulaşamayan bir test uzmanı, yetkilendirmediğiniz bir karar verir ve bu karar raporda kapsam içindeymiş gibi anlatılır.
NIST SP 800-115 teknik bir değerlendirmeyi planlı test ve ardından analiz ile hafifletme olarak çerçeveler; bu devir de o biçimi izler. Yukarıdaki kapılar bir destek mühendisi için editöryel tasarım tercihleridir, o yayından alıntılanmış bir kontrol listesi değildir.
Erişimi kaldırarak işi kapatın
Hazırlığın tersi sırayla iptal edin: uygulama rolleri, sonra ağ erişimi, sonra kimliğin kendisi. Düğmenin vaat ettiğini konsolun yaptığını varsaymak yerine her adımı doğrulayın. Oturumlarını öldürmeden önce hesabı kilitleyin, yoksa oturum eski yoldan yeniden kimlik doğrular. Ardından kapalı ilan etmeden önce kurulmuş bağlantıları bir kez daha kontrol edin.
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
Tutulan tüm test verilerini kapatın, sonra başta kararlaştırılan raporlama süreciyle iyileştirmeyi izleyin. Rapor ortamı, erişim düzeyini, kapsamı ve sınırları belirtmelidir, çünkü tek bir değerlendirmenin bulgularını kaydeder ve sitenin güvenli olduğuna dair kalıcı bir beyan değildir.
İptal kaydını devir kaydıyla birlikte saklayın. Sıradaki iş açıldığında geçen sefer tam olarak neyin kaldırıldığını ve kimin onayladığını bilmek istersiniz, resmi hafızadan yeniden kurmayı değil.