سیکیورٹی ٹیسٹ کی رسائی کی حوالگی: دائرہ، اکاؤنٹس اور منسوخی
VPN اسناد مانگنے والے ٹیسٹر کو دائرے والی حوالگی چاہیے، اضافی لاگ اِن نہیں۔ اجازت کو گیٹ کریں، ہدف نام دیں، اکاؤنٹ جاری کریں، پھر منسوخ کریں۔
ایک ٹیسٹر گیٹ وے پتہ، اندرونی DNS تفصیلات اور VPN اسناد مانگتا ہے، اور درخواست «رسائی درکار ہے» کے عنوان سے آپ کو بھیجی جاتی ہے۔ درخواست بذات خود آپ کو نہیں بتاتی کہ یہ اندرونی جائزہ ہے، تصدیق شدہ ایپلیکیشن ٹیسٹ ہے، یا کسی عوامی ویب سائٹ کا کام ہے جہاں کسی نے دائرہ غلط سمجھا ہے۔ حوالگی کو ہر مرحلے پر گیٹ کے ساتھ ترتیب کے طور پر چلائیں اور پہلے ایسے گیٹ پر رکیں جو نہیں کھلتا۔ یہ مبہم درخواست کو ایسی چیز میں بدل دیتا ہے جسے آپ اجازت دے سکیں، حوالے کر سکیں اور بعد میں منسوخ کر سکیں۔
اسناد سے نہیں، اجازت سے شروع کریں
آپ کے اِن باکس سے کوئی بھی پتہ نکلنے سے پہلے طے کریں کہ ہدف کا مالک کون ہے اور ان پر ٹیسٹ منظور کرنے کا اختیار کس کو ہے۔ ٹیسٹر کی تصدیق اس رابطے سے کریں جو آپ کی تنظیم پہلے سے استعمال کرتی ہے، ای میل فارورڈ کرنے والے شخص سے نہیں۔ گاہک سے تعلق کسی اکاؤنٹ سے پہنچنے والے ہر نظام کے ٹیسٹ کی اجازت نہیں، اور خریداری کا آرڈر دائرے کی دستاویز نہیں۔
منظور شدہ مقصد ایک جملے میں لکھیں اور حوالگی کے پاس رکھیں۔ «گاہک پورٹل کی تصدیق کا جائزہ لیں» اور «اندرونی نیٹ ورک کا جائزہ لیں» بالکل مختلف پیکجوں کی طرف لے جاتے ہیں، اور فرق فراہمی سے پہلے طے ہونا چاہیے، کوئی دریافت آنے کے بعد نہیں۔ جملہ آپ کو وہ بھی دیتا ہے جس کی طرف اشارہ کریں جب کام کے بیچ درخواست بڑھے۔
اگر راستے میں ہوسٹنگ فراہم کنندہ یا کوئی اور تیسرا فریق ہو تو ان کی شرائط آپ کی سہولت سے پہلے آتی ہیں۔ کسی دوسرے کی بنیادی ڈھانچے کو اس کی اجازت کے بغیر جانچنا اس پر چلنے والی ایپلیکیشن جانچنے سے الگ مسئلہ ہے۔
نقطہ نظر اور ہدف کے نام لیں
نقطہ نظر وہ سوال ہے جس کا جواب جائزہ دینا چاہتا ہے، اور یہ ٹیسٹر کے استعمال کے منصوبے والے کسی بھی آلے سے زیادہ رسائی پیکج کا تعین کرتا ہے۔ عوامی غیر تصدیق شدہ ٹیسٹ کے لیے URL اور وقت کی کھڑکی درکار ہے۔ تصدیق شدہ ٹیسٹ کے لیے دائرے کے مخصوص کرداروں کے لیے مخصوص اکاؤنٹس درکار ہیں، اور اندرونی جائزے کے لیے واضح ہدف حدود کے ساتھ متعین داخلی مقام درکار ہے۔
| Viewpoint | What you hand over | What it does not authorize |
|---|---|---|
| Public website | Approved URL, TLS hostname, testing window | Internal network entry, adjacent hosts |
| Authenticated app | URL plus per-role test accounts | Other tenants, admin consoles outside scope |
| Private staging | Named private path and test accounts | Production systems behind the same gateway |
| Internal network | Entry point and written target ranges | Anything outside those ranges, including the gateway itself |
سرنگ کہاں سے داخل ہوتی ہے یہ اس حقیقت سے مختلف ہے کہ اس کے پیچھے کون سی ایپلیکیشن ہے، اور یہ داخلی مقام کی جانچ کی قطعاً اجازت نہیں دیتا۔ حوالگی میں یہ صاف کہیں، کیونکہ «تم نے مجھے اس سب نیٹ تک رسائی دی» والا جملہ کسی دریافت کے متنازع ہوتے ہی جلدی آ جاتا ہے۔ تحریری ہدف فہرست ہی واحد چیز ہے جو بعد میں اسے طے کرتی ہے۔
URL کے ساتھ TLS ہوسٹ نام دیں۔ محض IP پتہ ٹیسٹر کو نام کا اندازہ لگانے پر مجبور کرتا ہے، اور اندازہ لگایا گیا نام سرٹیفیکیٹ کی غلطیاں پیدا کرتا ہے جو حوالگی کی غلطی کے بجائے دریافت کے طور پر رپورٹ ہوتی ہیں۔
میعاد کے ساتھ مخصوص شناختیں جاری کریں
صرف اس کام کے لیے موجود اکاؤنٹس فراہم کریں؛ کسی ملازم کا روزمرہ لاگ اِن ادھار نہ دیں۔ طے شدہ کاموں کے لیے نیٹ ورک رسائی اور ایپلیکیشن اجازتیں مقرر کریں، معاون راستے سے تصدیق کی رجسٹریشن کا انتظام کریں، اور منسوخی کے ذمہ دار نامزد شخص کے ساتھ میعاد کی تاریخ منسلک کریں۔ اسناد کو طے شدہ محفوظ چینل سے دیں، اُس دائرہ دستاویز سے الگ جو ہر طرف بھیجی جاتی ہے۔
sudo useradd -m -e 2026-12-31 tester01 sudo passwd -S tester01 id tester01 lastlog -u tester01
درج کریں کہ کس نے کیا اور کب حاصل کیا۔ وہ ریکارڈ کنٹرول شدہ حوالگی اور ایسے مشترکہ پاس ورڈ کے درمیان فرق ہے جس کا کسی کو سراغ نہ مل سکے، اور کسی واقعے کے بعد سب سے پہلے یہی مانگا جاتا ہے۔ اسے چیٹ تھریڈ میں نہیں، دائرہ دستاویز کے ساتھ رکھیں، اور وصول کنندہ کے پاس ترسیل کا چینل لکھیں۔ وقت کی مہر والی ایک سطر ہر بار یادداشت کو ہرا دیتی ہے۔
میعاد کا خانہ آخری تحفظ ہے، منصوبہ نہیں۔ آخر میں کسی کو نیٹ ورک راستہ اور ایپلیکیشن کردار ہٹانا ہی پڑے گا، کیونکہ اب بھی قابلِ رسائی نیٹ ورک پر میعاد ختم شدہ لاگ اِن منسوخ شدہ رسائی نہیں ہے۔
کھڑکی کھلنے سے پہلے ثابت کریں کہ حوالگی کام کرتی ہے
ٹیسٹر کی پہلی چھلانگ خود چلائیں، اُس کی جگہ کے ممکنہ حد تک قریب سے۔ نام حل کریں، سرٹیفیکیٹ کی شناخت جانچیں، اور تصدیق کریں کہ راستہ ہمسایہ کے بجائے مطلوبہ پتے تک پہنچتا ہے۔
dig +short app.example.com openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null> 2>/dev/null | openssl x509 -noout -subject -dates ip route get 10.60.0.25
اگر راستہ کسی ہدف تک نہ پہنچ سکے تو رکیں اور حوالگی ہم آہنگ کریں، ٹیسٹر کو متبادل راستہ دریافت کرنے دینے کے بجائے۔ فوری رسائی ہی وہ طریقہ ہے جس سے جائزہ خاموشی سے اپنے دائرے سے آگے بڑھتا ہے، اور بعد میں یہ تقریباً کبھی درج نہیں ہوتا۔
اسناد کے ساتھ آپریشنل رابطہ، اجازت شدہ اوقات، مستثنیٰ کارروائیاں اور رکنے کی شرائط بھیجیں۔ جو ٹیسٹر 02:00 بجے کسی تک نہ پہنچ سکے وہ ایسا فیصلہ کرے گا جس کی آپ نے اجازت نہیں دی، اور وہ فیصلہ رپورٹ میں ایسے بیان ہوگا جیسے دائرے کے اندر تھا۔
NIST SP 800-115 تکنیکی جائزے کو منصوبہ بند جانچ اور پھر تجزیے و تخفیف کے طور پر واضح کرتا ہے، اور یہ حوالگی اسی شکل کی پیروی کرتی ہے۔ اوپر کے گیٹ معاونت انجینئر کے لیے ادارتی ڈیزائن فیصلے ہیں، اُس مطبوعہ سے نقل کردہ چیک لسٹ نہیں۔
رسائی ہٹا کر کام بند کریں
فراہمی کے الٹ ترتیب میں منسوخ کریں: ایپلیکیشن کردار، پھر نیٹ ورک رسائی، پھر شناخت خود۔ ہر مرحلے کی تصدیق کریں، یہ سمجھنے کے بجائے کہ کنسول نے وہ کیا جو بٹن نے وعدہ کیا۔ سیشن مارنے سے پہلے اکاؤنٹ مقفل کریں، ورنہ سیشن پرانے راستے سے دوبارہ تصدیق ہو جاتا ہے۔ پھر بند قرار دینے سے پہلے قائم شدہ کنکشن ایک بار پھر جانچیں۔
sudo passwd -l tester01 sudo pkill -u tester01 ss -tn state established '( sport = :443 )'
روکے گئے ٹیسٹ ڈیٹا کا تصفیہ کریں، پھر شروع میں طے شدہ رپورٹنگ عمل کے ذریعے اصلاح کی پیروی کریں۔ رپورٹ میں ماحول، رسائی کی سطح، دائرہ اور حدود بیان ہونی چاہئیں، کیونکہ یہ ایک جائزے کی دریافتوں کو درج کرتی ہے اور سائٹ کے محفوظ ہونے کا مستقل اعلان نہیں۔
منسوخی کا ریکارڈ حوالگی کے ریکارڈ کے ساتھ رکھیں۔ اگلا کام کھلنے پر آپ جاننا چاہیں گے کہ پچھلی بار ٹھیک کیا ہٹایا گیا اور کس نے منظور کیا، یادداشت سے تصویر دوبارہ بنانے کے بجائے۔