Chuẩn bị cho một đợt kiểm thử bảo mật được ủy quyền

Đây là gì

Chuẩn bị là một hoạt động quản trị và điều phối. Nó tập hợp danh mục tên miền, IP, ứng dụng, môi trường, tài khoản, nhà cung cấp dịch vụ, nhà cung cấp và quyền sở hữu cùng với các mục tiêu dự kiến và kỳ vọng về báo cáo. Một bản mô tả yêu cầu được chuẩn bị tốt ghi lại ở mức tổng quát các phương pháp được phép, hành động bị cấm, mức độ phù hợp của môi trường production so với non-production, giai đoạn cấm thực hiện, khung thời gian kiểm thử, giới hạn vận hành an toàn, đầu mối giám sát, đầu mối báo cáo lên cấp trên, quy tắc liên lạc, điều kiện dừng ngay lập tức, cách xử lý bằng chứng, giảm thiểu dữ liệu và các môi trường nhạy cảm bị loại trừ. Việc sở hữu một doanh nghiệp không mặc nhiên cho phép kiểm thử mọi nhân viên, khách hàng, nhà cung cấp, nền tảng, tài khoản được lưu trữ hay dịch vụ bên thứ ba.

Dành cho ai

Hướng dẫn chuẩn bị này hữu ích cho các đội ngũ:

• Cần điều phối những người phụ trách kinh doanh, kỹ thuật, nhà cung cấp dịch vụ, bảo mật và nhà cung cấp trước khi yêu cầu một đợt đánh giá
• Có các hệ thống hướng đến khách hàng, dịch vụ được lưu trữ, tài khoản đám mây hoặc nhà cung cấp làm phát sinh các câu hỏi về quyền hạn và phụ thuộc
• Muốn có một phạm vi sẵn sàng hơn cho việc ra quyết định thay vì một yêu cầu mơ hồ kiểu “kiểm thử mọi thứ”
• Cần thiết lập các kỳ vọng thực tế về an toàn, liên lạc, bằng chứng và báo cáo trước một đợt hợp tác được ủy quyền

Giúp làm rõ điều gì

Quá trình chuẩn bị giúp xác lập:

• Ai có thể ủy quyền công việc, ai sở hữu từng mục tiêu, và sự cho phép bằng văn bản hoặc thông báo của ai vẫn có thể cần thiết
• Những tên miền, IP, ứng dụng, môi trường, tài khoản, nhà cung cấp dịch vụ, nhà cung cấp và hệ thống nhạy cảm nào nằm trong phạm vi hoặc bị loại trừ
• Những mục tiêu và câu hỏi thành công nào quan trọng, với các phương pháp an toàn và kỳ vọng thực tế
• Khung thời gian kiểm thử, giai đoạn cấm thực hiện, giới hạn, đầu mối liên hệ, điều kiện dừng, bằng chứng và bàn giao nên vận hành như thế nào

Những gì được bao gồm

• Một danh sách kiểm tra cho người phụ trách kinh doanh và kỹ thuật, sự ủy quyền bằng văn bản, danh mục mục tiêu, điều phối với nhà cung cấp dịch vụ và nhà cung cấp, và sự cho phép của bên thứ ba
• Hướng dẫn về mức độ phù hợp của production/non-production, mục tiêu, giới hạn, hành động bị cấm, giai đoạn cấm thực hiện, khung thời gian, giám sát, báo cáo lên cấp trên, liên lạc và điều kiện dừng
• Các câu hỏi về xử lý bằng chứng và giảm thiểu dữ liệu, bao gồm hệ thống nhạy cảm và các môi trường bị loại trừ
• Một khung thực tế cho kỳ vọng về bàn giao và báo cáo sau công việc được ủy quyền

Những gì không được bao gồm

• Các bước khai thác, hướng dẫn tạo lưu lượng, hướng dẫn vượt qua kiểm soát, kỹ thuật phá hoại hoặc chiến thuật tấn công mang tính vận hành
• Tư vấn pháp lý hoặc tuyên bố rằng thẩm quyền, hợp đồng, luật pháp hay nhà cung cấp cho phép một đợt kiểm thử cụ thể
• Sự bảo đảm rằng việc chuẩn bị loại bỏ được sự gián đoạn, rủi ro hoặc tác động đến vận hành
• Giả định rằng quyền sở hữu doanh nghiệp mang lại quyền đối với các hệ thống của nhà cung cấp, khách hàng, nhân viên, nền tảng hoặc hệ thống được lưu trữ

Khi nào nên chọn

Hãy sử dụng hướng dẫn này khi một đợt đánh giá đang được cân nhắc và quyền sở hữu hoặc phạm vi cần được hoàn thiện trước khi nhà cung cấp có thể xác định nó một cách an toàn. Hướng dẫn có giá trị trước một đợt rà soát ứng dụng, công việc kiểm thử tải có kiểm soát, kiểm thử khả năng chống chịu hoặc một đợt diễn tập theo mục tiêu. Hướng dẫn được sử dụng song song với sự ủy quyền bằng văn bản, sự phê duyệt của nhà cung cấp, việc rà soát hợp đồng và tư vấn pháp lý có chuyên môn khi cần. Nếu tổ chức không thể xác định người phụ trách, hệ thống hoặc quyết định cần được trả lời, hãy giải quyết những điều cơ bản đó trước khi lên lịch hoạt động.

Phương pháp của chúng tôi

Hãy coi phạm vi là một hồ sơ cấp quyền luôn được cập nhật thay vì một danh sách mong muốn kỹ thuật. Bắt đầu với người phụ trách và danh mục mục tiêu; sau đó tách các tài sản bạn kiểm soát khỏi những tài sản do nhà cung cấp dịch vụ hoặc nhà cung cấp vận hành. Thống nhất câu hỏi, ranh giới an toàn, cơ chế giám sát, đầu mối liên hệ và điều kiện dừng trước khi chọn ngày. Giữ việc thu thập bằng chứng ở mức tương xứng và giảm thiểu quyền truy cập vào thông tin nhạy cảm. Thông báo nhanh chóng các thay đổi nếu một mục tiêu, điều kiện của nhà cung cấp hoặc giai đoạn cấm thực hiện của doanh nghiệp thay đổi. Khi bàn giao, hãy kỳ vọng một báo cáo phân biệt phạm vi được ủy quyền, các quan sát, giới hạn và bước tiếp theo. Trước khi hoạt động bắt đầu, hãy đề nghị từng người phụ trách xác nhận bằng văn bản danh mục hiện tại và kênh báo cáo lên cấp trên. Một thay đổi muộn đối với mục tiêu, nhà cung cấp, tài khoản, môi trường hoặc giai đoạn kinh doanh nên được coi là thay đổi phạm vi, không phải một ngoại lệ không chính thức. Điều này giúp ranh giới được ủy quyền dễ hiểu đối với cả đội vận hành lẫn các bên liên quan kỹ thuật, và giảm nhầm lẫn về việc ai có thể tạm dừng công việc khi điều kiện thay đổi. Kỳ vọng về báo cáo cũng nên được thống nhất cẩn thận như các mục tiêu. Hãy quyết định ai cần bản tóm tắt cho ban điều hành, ai cần bằng chứng kỹ thuật, tài liệu nhạy cảm sẽ được chia sẻ như thế nào, những quan sát nào cần liên hệ nhanh, và ai có thể chấp nhận bàn giao. Đừng mặc định rằng mọi bên liên quan đều cần cùng một mức độ truy cập. Hãy lưu lại hồ sơ về các thông báo gửi nhà cung cấp, mã tham chiếu phê duyệt và các thay đổi đối với khung thời gian, để báo cáo cuối cùng có thể mô tả chính xác các điều kiện mà công việc được ủy quyền đã diễn ra. Việc chuẩn bị nên kết thúc bằng một xác nhận ngắn rằng tất cả người phụ trách được nêu tên đều hiểu những gì được bao gồm, những gì bị loại trừ và cách một mối lo ngại sẽ được báo cáo lên cấp trên. Phạm vi cuối cùng nên nêu rõ mọi điểm chưa chắc chắn, để không người tham gia nào nhầm một giả định lập kế hoạch với sự cho phép. Phạm vi cũng nên nêu rõ những thông tin được cố ý giữ lại vì không cần thiết cho việc xác định phạm vi ban đầu hoặc thuộc về một kênh hạn chế hơn. Sự hiểu biết chung đó thường có giá trị hơn việc thêm một mục tiêu nữa vào một đợt kiểm thử vốn đã chưa rõ ràng. Trước đợt hợp tác, hãy kiểm tra rằng danh sách liên hệ hoạt động trong khung thời gian dự kiến và các đội kinh doanh hiểu ý nghĩa của một điều kiện tạm dừng hoặc dừng. Một buổi diễn tập liên lạc đơn giản có thể làm lộ ra những kỳ vọng mâu thuẫn về tính sẵn sàng, báo cáo lên cấp trên hoặc quyền sở hữu bằng chứng. Nó giúp ngăn một vấn đề điều phối thông thường bị hiểu nhầm là sự cho phép tiếp tục vượt quá ranh giới đã thống nhất.

Câu hỏi thường gặp

Bài viết liên quan