Příprava na autorizované bezpečnostní testování

Co to je?

Příprava je cvičením v řízení a koordinaci. Spojuje inventuru domén, IP adres, aplikací, prostředí, účtů, poskytovatelů, dodavatelů a vlastnictví se zamýšlenými cíli a očekáváními ohledně reportingu. Dobře připravené zadání zaznamenává povolené metody na obecné úrovni, zakázané akce, vhodnost produkčního a neprodukčního prostředí, období zákazu testování, testovací okno, bezpečné provozní limity, kontakty pro monitoring, eskalační kontakty, pravidla komunikace, podmínky okamžitého zastavení, nakládání s důkazy, minimalizaci dat a vyloučená citlivá prostředí. Vlastnictví firmy automaticky neopravňuje k testování každého zaměstnance, zákazníka, dodavatele, platformy, hostovaného účtu nebo služby třetí strany.

Pro koho to je?

Tento průvodce přípravou je užitečný pro týmy, které:

• Potřebují před vyžádáním posouzení koordinovat obchodní, technické, bezpečnostní vlastníky a vlastníky na straně poskytovatelů a dodavatelů
• Mají systémy pro zákazníky, hostované služby, cloudové účty nebo dodavatele, kteří vnášejí otázky oprávnění a závislostí
• Chtějí rozsah lépe připravený k rozhodnutí namísto vágní žádosti „otestujte všechno“
• Potřebují před autorizovanou zakázkou nastavit praktická očekávání ohledně bezpečnosti, komunikace, důkazů a reportingu

Co to pomůže objasnit

Proces přípravy pomáhá stanovit:

• Kdo může práci autorizovat, kdo vlastní jednotlivé cíle a čí písemné povolení nebo informování může být ještě potřeba
• Které domény, IP adresy, aplikace, prostředí, účty, poskytovatelé, dodavatelé a citlivé systémy jsou v rozsahu, nebo vyloučeny
• Na kterých cílech a otázkách úspěchu záleží, s bezpečnými metodami a realistickými očekáváními
• Jak by měla fungovat testovací okna, období zákazu testování, limity, kontakty, podmínky zastavení, důkazy a předání

Co je zahrnuto

• Kontrolní seznam pro obchodní a technické vlastníky, písemné oprávnění, inventuru cílů, koordinaci s poskytovateli a dodavateli a povolení třetích stran
• Doporučení k vhodnosti produkčního/neprodukčního prostředí, cílům, limitům, zakázaným akcím, obdobím zákazu, oknům, monitoringu, eskalaci, komunikaci a podmínkám zastavení
• Otázky k nakládání s důkazy a minimalizaci dat, včetně citlivých systémů a vyloučených prostředí
• Praktický přehled očekávání ohledně předání a reportingu po autorizované práci

Co není součástí

• Kroky ke zneužití zranitelností, návody ke generování provozu, návody k obcházení, destruktivní techniky ani provozní útočné taktiky
• Právní poradenství ani prohlášení, že oprávnění, smlouvy, zákony nebo poskytovatelé určitý test povolují
• Ujištění, že příprava odstraní narušení, riziko nebo provozní dopad
• Předpoklady, že vlastnictví firmy uděluje oprávnění k systémům dodavatelů, zákazníků, zaměstnanců, platforem nebo k hostovaným systémům

Kdy si ji vybrat

Tohoto průvodce použijte, když se zvažuje posouzení a vlastnictví nebo rozsah potřebují práci dříve, než je dodavatel může bezpečně definovat. Je cenný před přezkumem aplikace, řízenou zátěžovou prací, testováním odolnosti nebo cvičením vedeným cílem. Funguje souběžně s písemným oprávněním, schválením poskytovatelem, smluvním přezkumem a kvalifikovaným právním poradenstvím tam, kde jsou potřeba. Pokud organizace nedokáže určit vlastníky, systémy nebo rozhodnutí, na které potřebuje odpověď, vyřešte tyto základy dříve, než naplánujete jakoukoli činnost.

Náš přístup

Rozsah berte jako živý záznam oprávnění, nikoli jako technický seznam přání. Začněte vlastníky a inventurou cílů; poté oddělte aktiva, která ovládáte, od těch, která provozuje poskytovatel nebo dodavatel. Před výběrem termínů se dohodněte na otázce, bezpečné hranici, uspořádání monitoringu, kontaktech a podmínkách zastavení. Shromažďování důkazů udržujte přiměřené a minimalizujte přístup k citlivým informacím. Pokud se změní cíl, podmínka poskytovatele nebo obchodní období zákazu, sdělte změny rychle. Při předání očekávejte report, který odlišuje autorizovaný rozsah, pozorování, omezení a další kroky. Před zahájením činnosti požádejte každého vlastníka, aby písemně potvrdil aktuální inventuru a cestu eskalace. Pozdní změnu cíle, poskytovatele, účtu, prostředí nebo obchodního období je třeba považovat za změnu rozsahu, nikoli za neformální výjimku. Autorizovaná hranice tak zůstává srozumitelná pro provozní týmy i technické zainteresované strany a snižuje se nejasnost ohledně toho, kdo smí práci pozastavit, pokud se podmínky změní. Očekávání ohledně reportingu by měla být dohodnuta stejně pečlivě jako cíle. Rozhodněte, kdo potřebuje manažerské shrnutí, kdo technické důkazy, jak bude sdílen citlivý materiál, která pozorování vyžadují rychlý kontakt a kdo může převzít předání. Nepředpokládejte, že každá zainteresovaná strana potřebuje stejnou úroveň přístupu. Veďte záznam o informování poskytovatelů, referenčních číslech schválení a změnách okna, aby závěrečný report mohl přesně popsat podmínky, za kterých autorizovaná práce probíhala. Příprava by měla skončit krátkým potvrzením, že všichni jmenovaní vlastníci rozumějí tomu, co je zahrnuto, co je vyloučeno a jak bude eskalována obava. Konečný rozsah by měl jasně uvést jakoukoli nejistotu, aby si žádný účastník nespletl plánovací předpoklad s povolením. Měl by také uvést informace, které jsou záměrně zadrženy, protože nejsou pro úvodní vymezení rozsahu potřebné nebo patří do přísněji omezeného kanálu. Toto sdílené porozumění má často větší hodnotu než přidání dalšího cíle do již tak nejasného testu. Před zakázkou ověřte, že seznam kontaktů funguje během plánovaného okna a že obchodní týmy vědí, co znamená podmínka pozastavení nebo zastavení. Jednoduchý nácvik komunikace může odhalit protichůdná očekávání ohledně dostupnosti, eskalace nebo vlastnictví důkazů. Pomáhá to zabránit tomu, aby byl běžný koordinační problém mylně považován za povolení pokračovat za dohodnutou hranici.

Často kladené otázky

Související články