Rà soát bảo mật, hardening hay kiểm thử có kiểm soát: Cách chọn

Đây là gì

Security Baseline Review phù hợp để hiểu một trạng thái hiện tại đã thống nhất; Website Hardening biến các ưu tiên cấu hình đã được xác nhận thành những thay đổi có kiểm soát; Application Security Review xem xét các câu hỏi bảo mật ứng dụng được chọn. Application Load & Stress Testing quan sát các kịch bản sử dụng đã thống nhất, trong khi DDoS Resilience Testing xem xét các điều kiện chống chịu có kiểm soát với ranh giới về nhà cung cấp và an toàn. Red Team Exercise là một đợt diễn tập học hỏi theo mục tiêu, được ủy quyền và được quản trị bằng các quy tắc tác chiến. Đây không phải là những nhãn có thể thay thế cho nhau. Một báo cáo phát hiện, một thay đổi cấu hình, một quan sát về hiệu năng, một quan sát về khả năng chống chịu và một đợt diễn tập học hỏi của tổ chức trả lời những câu hỏi khác nhau của người mua. Kiểm thử có mức can thiệp sâu hơn không mặc nhiên hữu ích hơn.

Dành cho ai

Bảng so sánh này giúp những người mua:

• Có mối lo ngại về bảo mật hoặc độ tin cậy nhưng chưa chắc mình cần bằng chứng, triển khai, xác thực hay một đợt diễn tập học hỏi rộng hơn
• Cần hiểu liệu hệ thống production, nhà cung cấp bên thứ ba, sự ủy quyền bằng văn bản hoặc giới hạn an toàn có ảnh hưởng đến các lựa chọn sẵn có hay không
• Muốn so sánh kết quả đầu ra và ranh giới trước khi đề nghị nhà cung cấp xác định phạm vi công việc
• Nhận thức rằng một đợt rà soát, một thay đổi tăng cường bảo mật và một đợt kiểm thử có kiểm soát có thể diễn ra tuần tự thay vì loại trừ lẫn nhau

Giúp làm rõ điều gì

Hãy dùng bảng so sánh để làm rõ:

• Vấn đề đã được biết hay còn chưa chắc chắn, và bước tiếp theo nên tạo ra bằng chứng hay áp dụng một thay đổi đã thống nhất
• Tài sản liên quan là website, ứng dụng, cấu hình, hành trình khách hàng, dịch vụ dưới mức tải dự kiến hay một lộ trình chống chịu
• Một đợt hợp tác có cần sự ủy quyền bằng văn bản, sự đồng ý của nhà cung cấp, giai đoạn cấm thực hiện, đầu mối liên hệ hoặc điều kiện dừng ngay lập tức hay không
• Kết quả nào hữu ích lúc này: một báo cáo phát hiện, hồ sơ thay đổi, quan sát về hiệu năng, quan sát về khả năng chống chịu hay một buổi tổng kết sẵn sàng cho việc ra quyết định

Những gì được bao gồm

• So sánh bằng ngôn ngữ dễ hiểu giữa rà soát cơ sở, tăng cường bảo mật website, rà soát ứng dụng, kiểm thử tải có kiểm soát, kiểm thử khả năng chống chịu DDoS và diễn tập red team
• Các yếu tố quyết định bao gồm mức độ chưa chắc chắn, bằng chứng so với triển khai, tác động đến production, thẩm quyền, bên thứ ba và kết quả đầu ra dự kiến
• Hướng dẫn về việc sử dụng các dịch vụ theo trình tự, khi một đợt rà soát có tài liệu tự nhiên định hướng cho công việc có kiểm soát sau đó
• Lời nhắc rằng làm rõ phạm vi hoặc khám phá có thể là bước đầu tiên hợp lý nhất khi câu hỏi còn chưa ổn định

Những gì không được bao gồm

• Một khuyến nghị dịch vụ áp dụng cho mọi trường hợp, chứng nhận hoặc lời hứa rằng bất kỳ lựa chọn nào sẽ loại bỏ mọi rủi ro
• Lời khuyên thực hiện kiểm thử có kiểm soát khi chưa có thẩm quyền được xác nhận, ranh giới an toàn, yêu cầu của nhà cung cấp và phạm vi
• Chiến thuật kiểm thử mang tính vận hành, hướng dẫn khai thác, phương pháp gây gián đoạn hoặc hướng dẫn vượt qua kiểm soát
• Tuyên bố rằng một đợt rà soát, đợt tăng cường bảo mật hay đợt diễn tập đảm bảo tuân thủ, tính sẵn sàng, hiệu năng, khả năng chống chịu hoặc khả năng ngăn chặn

Khi nào nên chọn

Hãy đọc hướng dẫn này khi đội ngũ đang so sánh các lựa chọn trước khi chọn một đợt hợp tác. Hướng dẫn đặc biệt hữu ích khi một bên liên quan yêu cầu “kiểm thử” trong khi một bên khác yêu cầu thay đổi cấu hình hoặc một bản đánh giá bằng văn bản. Nếu hệ thống, quyết định mong muốn, quyền sở hữu hoặc bằng chứng sẵn có chưa rõ ràng, việc làm rõ phạm vi nên diễn ra trước khi lựa chọn. Một cuộc trao đổi ngắn có thể xác định liệu người mua thực sự đang cần một đợt rà soát trạng thái hiện tại, một đợt triển khai có kiểm soát, một câu hỏi ứng dụng có mục tiêu, một quan sát về năng lực, một đợt đánh giá khả năng chống chịu hay một đợt diễn tập theo mục tiêu.

Phương pháp của chúng tôi

Hãy bắt đầu với quyết định kinh doanh, sau đó thu hẹp câu hỏi kỹ thuật. Liệt kê các hệ thống bị ảnh hưởng, những gì đã biết, ai là người phụ trách, production có thể bị ảnh hưởng hay không, và một kết quả đầu ra hữu ích trông như thế nào. Tiếp theo, xác định các quyền hạn và bên thứ ba trước khi thảo luận về bất kỳ đợt kiểm thử có kiểm soát nào. Một đợt rà soát cơ sở có thể tạo ra bằng chứng cho việc tăng cường bảo mật; tăng cường bảo mật có thể diễn ra trước một đợt kiểm thử sau này; một quan sát về tải có thể làm lộ ra một câu hỏi về hạ tầng; một đợt diễn tập red team có thể chỉ hữu ích sau khi các mục tiêu và cơ chế quản trị đã trưởng thành. Mục đích không phải là tạo ra một nấc thang cố định. Mục đích là chọn một bước tiếp theo tương xứng, được ủy quyền, và để công việc sau đó được xác định phạm vi riêng. Người mua cũng có thể ghi lại các ràng buộc thực tế định hình lựa chọn đó: bằng chứng sẵn có, tuổi đời của hệ thống, điều khoản của nhà cung cấp, cam kết với khách hàng, khung thời gian bảo trì khả dĩ, và liệu một thay đổi có thể được kiểm thử an toàn ngoài production hay không. Bản thân những ràng buộc đó không chọn ra một dịch vụ, nhưng chúng giúp phạm vi sau này trung thực hơn. Bảng so sánh hiệu quả nhất khi đội ngũ sẵn sàng để ngỏ một câu hỏi thay vì ép nó vào sai nhãn hợp tác. Trước khi liên hệ, hãy chuẩn bị một ghi chú ngắn gọn về thời hạn ra quyết định, các tài sản bị ảnh hưởng, người phụ trách kinh doanh, người phụ trách kỹ thuật, các nhà cung cấp quan trọng, hoạt động thay đổi hiện tại và mọi giới hạn truy cập đã biết. Những thông tin này không phải là bằng chứng về một vấn đề; chúng là bối cảnh giúp nhà cung cấp chỉ ra chỗ nào phạm vi tiêu chuẩn phù hợp và chỗ nào một giả định cần được kiểm tra. Chúng cũng giúp tránh việc yêu cầu một đợt kiểm thử rộng chỉ vì vấn đề chưa được định hình. Nếu có thời hạn, hãy giải thích đó là thời hạn thương mại, hợp đồng, vận hành hay theo quy định, và điều gì sẽ làm cho quyết định trở nên hữu ích. Điều đó cho phép mọi người phân biệt một kết quả mong muốn với bằng chứng thực sự có thể thu thập được trong một phạm vi có trách nhiệm.

Câu hỏi thường gặp

Bài viết liên quan