승인된 보안 테스트 작업 준비 가이드

무엇인가

준비는 거버넌스와 조율의 과정입니다. 도메인, IP, 애플리케이션, 환경, 계정, 제공업체, 공급업체, 소유권 인벤토리를 의도한 목표 및 보고 기대치와 함께 정리합니다. 잘 준비된 브리프에는 허용된 방법의 개요, 금지 행위, 프로덕션과 비프로덕션의 적합성, 작업 금지 기간, 테스트 시간대, 안전 운영 한도, 모니터링 연락처, 에스컬레이션 연락처, 커뮤니케이션 규칙, 즉시 중단 조건, 증거 처리, 데이터 최소화, 제외되는 민감 환경이 기록됩니다. 비즈니스를 소유하고 있다고 해서 모든 직원, 고객, 공급업체, 플랫폼, 호스팅 계정 또는 제3자 서비스에 대한 테스트가 자동으로 승인되는 것은 아닙니다.

누구를 위한 것인가?

이 준비 가이드는 다음과 같은 팀에 유용합니다.

• 평가를 요청하기 전에 비즈니스, 기술, 제공업체, 보안, 공급업체 담당자를 조율해야 하는 팀
• 권한과 의존성 문제를 일으키는 고객 대상 시스템, 호스팅 서비스, 클라우드 계정 또는 공급업체를 보유한 팀
• “모든 것을 테스트해 달라”는 모호한 요청 대신 의사 결정에 바로 쓸 수 있는 범위를 원하는 팀
• 승인된 작업 전에 안전, 커뮤니케이션, 증거, 보고에 대한 실무적 기대치를 정해야 하는 팀

무엇을 명확히 하는 데 도움이 되는지

준비 과정은 다음 사항을 정하는 데 도움이 됩니다.

• 누가 작업을 승인할 수 있는지, 각 대상의 소유자는 누구인지, 여전히 누구의 서면 허가나 통지가 필요할 수 있는지
• 어떤 도메인, IP, 애플리케이션, 환경, 계정, 제공업체, 공급업체, 민감 시스템이 범위에 포함되거나 제외되는지
• 안전한 방법과 현실적인 기대를 바탕으로, 어떤 목표와 성공 질문이 중요한지
• 테스트 시간대, 작업 금지 기간, 한도, 연락처, 중단 조건, 증거, 인계를 어떻게 운영할지

포함된 내용

• 비즈니스 및 기술 담당자, 서면 권한, 대상 인벤토리, 제공업체·공급업체 조율, 제3자 허가에 대한 체크리스트
• 프로덕션/비프로덕션 적합성, 목표, 한도, 금지 행위, 작업 금지 기간, 시간대, 모니터링, 에스컬레이션, 커뮤니케이션, 중단 조건에 대한 안내
• 민감 시스템과 제외 환경을 포함한 증거 처리 및 데이터 최소화 관련 질문
• 승인된 작업 이후 인계와 보고 기대치에 대한 실무적 개요

포함되지 않은 것

• 악용 단계, 트래픽 생성 지침, 우회 안내, 파괴적 기법 또는 운영상 공격 전술
• 법률 자문 또는 권한, 계약, 법률, 제공업체가 특정 테스트를 허용한다는 진술
• 준비를 통해 서비스 중단, 리스크 또는 운영 영향이 없어진다는 확언
• 비즈니스 소유권이 공급업체, 고객, 직원, 플랫폼 또는 호스팅 시스템에 대한 허가를 부여한다는 가정

선택해야 할 때

평가를 검토하고 있으며, 공급업체가 안전하게 범위를 정의할 수 있으려면 먼저 소유권이나 범위를 정리해야 할 때 이 가이드를 활용하십시오. 애플리케이션 검토, 통제된 부하 작업, 복원력 테스트 또는 목표 중심 연습에 앞서 유용합니다. 필요한 경우 서면 권한, 제공업체 승인, 계약 검토, 자격을 갖춘 법률 자문과 함께 활용할 수 있습니다. 조직이 담당자, 시스템 또는 답해야 할 결정을 식별할 수 없다면, 일정을 잡기 전에 그러한 기본 사항부터 정리하십시오.

우리의 접근 방식

범위를 기술적 희망 목록이 아니라 살아 있는 허가 기록으로 다루십시오. 담당자와 대상 인벤토리에서 시작한 다음, 귀사가 통제하는 자산과 제공업체나 공급업체가 운영하는 자산을 구분하십시오. 날짜를 정하기 전에 질문, 안전 경계, 모니터링 체계, 연락처, 중단 조건에 합의하십시오. 증거 수집은 적절한 수준으로 유지하고 민감한 정보에 대한 접근을 최소화하십시오. 대상, 제공업체 조건 또는 비즈니스 작업 금지 기간이 바뀌면 신속하게 알리십시오. 인계 시에는 승인된 범위, 관찰 사항, 한계, 후속 조치를 구분한 보고서를 기대하십시오. 활동이 시작되기 전에 각 담당자에게 현재 인벤토리와 에스컬레이션 경로를 서면으로 확인하도록 요청하십시오. 대상, 제공업체, 계정, 환경 또는 비즈니스 기간의 뒤늦은 변경은 비공식적 예외가 아니라 범위 변경으로 다루어야 합니다. 이렇게 하면 승인된 경계를 기술 이해관계자뿐 아니라 운영 팀도 이해할 수 있고, 조건이 바뀔 때 누가 작업을 일시 중지할 수 있는지에 대한 혼란이 줄어듭니다. 보고 기대치도 대상만큼 신중하게 합의해야 합니다. 누구에게 경영진 요약이 필요한지, 누구에게 기술 증거가 필요한지, 민감한 자료를 어떻게 공유할지, 어떤 관찰 사항에 신속한 연락이 필요한지, 누가 인계를 수락할 수 있는지 정하십시오. 모든 이해관계자에게 같은 수준의 접근이 필요하다고 가정하지 마십시오. 제공업체 통지, 승인 참조, 시간대 변경 기록을 보관하여 최종 보고서가 승인된 작업이 수행된 조건을 정확히 기술할 수 있게 하십시오. 준비는 지정된 모든 담당자가 무엇이 포함되고 제외되는지, 우려 사항을 어떻게 에스컬레이션할지 이해했다는 짧은 확인으로 마무리되어야 합니다. 최종 범위에는 불확실한 부분을 분명히 적어, 어떤 참여자도 계획상의 가정을 허가로 오인하지 않도록 해야 합니다. 또한 초기 범위 설정에 불필요하거나 더 제한된 채널에 속하기 때문에 의도적으로 제공하지 않는 정보도 명시해야 합니다. 이러한 공동의 이해는 이미 불명확한 테스트에 대상을 하나 더 추가하는 것보다 더 가치 있는 경우가 많습니다. 작업 전에 연락처 목록이 계획된 시간대에 실제로 작동하는지, 그리고 비즈니스 팀이 일시 중지나 중단 조건의 의미를 알고 있는지 확인하십시오. 간단한 커뮤니케이션 리허설로 가용성, 에스컬레이션, 증거 소유권에 대한 상충하는 기대를 발견할 수 있습니다. 일상적인 조율 문제가 합의된 경계를 넘어 계속해도 된다는 허가로 오인되는 것을 막는 데 도움이 됩니다.

자주 묻는 질문

관련 기사