Въпроси, които да зададете, преди да подпишете задание за тест за проникване

Заданието за работа определя обхвата и условията преди началото на теста. В него трябва да са ясни разрешените системи, начинът за съобщаване на критични констатации и условията за повторния тест. Неяснотите могат да доведат до забавяне, непредвидени разходи или действия без необходимото разрешение. Въпросите по-долу помагат да ги уточните с доставчика предварително.

Обхват: какво е вътре, какво е изрично извън него, как се обработва промяната

Обхватът трябва да се чете като инвентар, не като описание. „Клиентският портал и поддържащите го API“ не означава почти нищо на първата сутрин: порталът споделя домейн с маркетингов сайт, две API-та не са споменати, мобилният клиент говори с трето, а административният интерфейс стои на друго име на хост. Поискайте обхват, по който тестер може да работи без телефонно обаждане — имена на хостове, диапазони от IP адреси, приложения заедно със средата им, базови пътища на API с прикачена спецификация, идентификатори на мобилни пакети, идентификатори на облачни акаунти.

После поискайте изключенията, със същата точност. Списъкът на извадените от обхвата е по-полезният от двата, защото записва какво един разумен тестер иначе би приел за позволено: отказ на услуга, социално инженерство, освен ако не е поръчано отделно, физически достъп, споделеният доставчик на идентичност, инфраструктурата на обработващия плащания, разрушително действие срещу данни от продукционната среда. За всяко установете дали е ваш избор или ограничение от страната на доставчика — това разграничение има значение, когато някой по-късно чете отчета като доказателство за покритие.

Накрая, как се обработва промяната, защото обхватът винаги се променя. Назовете кой може да разреши промяна, в какъв вид и какво се случва с усилието: разменено срещу нещо премахнато, добавено с бележка за промяна, или отложено. Без тази клауза предвидимият изход е тестер, който разширява обхвата от добра воля и не му стига време за частта, която ви е била важна.

• Изброим ли е обхватът, а не описателен — би ли могъл външен човек да изгради списъка с цели от него?
• Какво е изключено и всяко изключение ваше решение ли е или ограничение?
• Кой одобрява промяна, по какъв канал и как се коригира усилието?
• Какво се случва с активи в обхвата, открити по време на тестването, които никой не е изброил?

Периодът на тестване и дали продукционната среда е в него

Две дати не са период. Периодът е начална дата, крайна дата, разрешените часове във всеки ден и часовата зона, в която са тези часове — и той трябва да разграничава активното тестване от периода на ангажимента, който включва отчитането и повторния тест. Едноседмичен тест, предаден като отчет в същата седмица, не е едноседмичен тест.

Попитайте изрично дали продукционната среда е включена и какво ограничава това: без разрушителни полезни товари, без промяна на данни отвъд доказването на констатация, без масова автоматизирана дейност срещу крайни точки с ограничена честота. Ако целта е тестова среда, поискайте съществените разлики от продукционната среда да бъдат записани — доставчик на удостоверяване, инфраструктура, функционални флагове, интеграции, обем на данните — защото тези разлики се превръщат в по-късния спор дали една констатация се прилага. После уредете логистиката, която тихо изразходва дни: кога пристигат данните за достъп и кой потвърждава, че работят с обявеното ниво на права преди първия ден; кой отговаря за добавянето в списъка с разрешени на адресите на източника, WAF, защитата от ботове и блокирането по география; дали в периода е планирано издание; и дали някой е уведомил експлоатационния екип, така че първият час да не завърши на разговор по инцидент.

Правила на ангажимента и условията за спиране

Правилата на ангажимента превръщат „тествайте системите ни“ в разрешено поведение. Посочете кои техники са разрешени и кои не. Атаките срещу данните за достъп са обичайният пример: разрешени ли са въобще, срещу кои интерфейси, с каква честота, срещу истински акаунти или само тестови? Блокирането е действителен експлоатационен риск и отговорът не трябва да се измисля в 10 часа във вторник. Решете също: използване на уязвимостите или само демонстрация; дали повишаването на права и хоризонталното придвижване са в границите, след като бъде установена опорна точка; колко действителни данни могат да бъдат извлечени като доказателство; и дали дейността може да произвежда видими за клиентите ефекти като имейл, SMS или webhook-ове.

После условията за спиране — кога тестването се преустановява незабавно. Евтини за написване, безценни за прилагане: признаци, че тестването влошава работата на услуга; реални клиентски данни в среда, за която се предполага, че е тестова; признаци за активно проникване; доказателство, че тестерът е достигнал нещо извън обхвата; искане за спиране от посочено лице за контакт. Съчетайте всяко с път за уведомяване и посочен получател. Условие за спиране без телефонен номер е изречение, не контрол. Поискайте и съгласуване, така че екипът ви по сигурността да може да попита „това вие ли бяхте?“ и да получи отговор в рамките на минути: споделен канал, адресите на източника на тестера и познат хедър в трафика на инструментите.

Кой разрешава това и трябва ли трети страни да се съгласят

Някой трябва да може да каже „да, тествайте това“ от името на организацията, която притежава системите — и да е прав за това. Заданието трябва да назове това лице и ролята му, а внимателният доставчик ще настоява за това, вместо да приеме подпис от онзи, който е издал поръчката. Там, където обхватът включва активи, притежавани от дружество от групата, съвместно предприятие или ваш клиент, разрешението трябва да дойде от или да бъде делегирано от действителния собственик.

Системите на трети страни са мястото, където това най-често се проваля. Проверете дали действащите условия за тестване на вашата облачна платформа позволяват планираната дейност; повечето позволяват иницииране на тестване от клиента на собствените ви натоварвания в рамките на граници, но границите са конкретни и се променят. Управляваният хостинг, компонентите като услуга в обхвата, доставчикът на плащания, споделената услуга за идентичност: всеки може да изисква отделно разрешение, а тази документация стои при онзи, който държи договора — обикновено вие. Запишете кои трети страни участват, кой получава разрешение и до кога. Тестването на платформа, за която само имате абонамент, без нейното съгласие, не е пропуск при определянето на обхвата; то е неразрешен достъп до чужда система. Хостовете, споделяни от множество клиентски организации и диапазоните, съдържащи адреси, които не са ваши, изискват свой собствен ред: премахване, потвърждение на собствеността или ограничение на техниката.

Какво се случва, когато бъде открито нещо сериозно

Два отделни въпроса, а повечето документи не отговарят на нито един. Първият е ескалирането на критична констатация. Ако тестер получи административен контрол, достигне клиентски данни или намери път без удостоверяване до нещо сериозно, искате да знаете същия ден. Договорете прага с прости думи, максималното време до уведомяване, канала и посочени получатели с резервен вариант. Договорете какво прави тестерът след това: спира и чака указание, продължава другаде, или продължава да доказва въздействието. И трите са обосновани; нито едно не трябва да е изненада. Договорете също, че ескалация в същия ден носи достатъчно писмени подробности, за да може екипът ви да започне работа преди официалния отчет.

Вторият е доказателство за предходно проникване — уеб шелове, непознати планирани задачи, променени двоични файлове, данни за достъп, използвани от странни места, пропуски в журналите. Различна ситуация, различно третиране: тестването се спира на засегнатата система, уведомяването отива незабавно до посочено лице за инциденти, тестерът запазва, вместо да разстройва това, което е намерил, и ангажиментът може да бъде прекъснат, докато вие задействате реакцията при инциденти. Посочете кой може да разреши възобновяване. Тестерите за проникване не са вашият екип за реакция при инциденти и това предаване трябва да бъде предварително договорено, а не договаряно през лош следобед.

Предавани документи и какво съдържат

„Отчет“ не е спецификация. Практичен списък: управленско резюме, написано за нетехнически читател; технически констатации, даващи за всеки проблем засегнатия актив, оценка на критичността с посочен метод на оценяване, основната причина, стъпки за възпроизвеждане, достатъчни собственият ви инженер да го възпроизведе без помощ, доказателство и конкретен съвет за отстраняване; изявление за покритието, записващо всичко в обхвата, което не е било достигнато, и защо; препратка към методологията; и раздел за повторния тест, щом повторното тестване се е случило.

Бъдете изрични за форматите. PDF е записът; машинно четимият изход е това, по което инженерите работят. Попитайте дали първичните доказателства — двойки заявка и отговор, снимки на екрана, изход от инструменти — се предоставят или само се споменават, и дали критичността е по CVSS, по вътрешна оценка, или по двете. Поискайте примерен отчет преди подписването; той е най-информативното нещо, което можете да прочетете за един доставчик, и си заслужава да бъде прочетен наред със заявената му методология, за да видите с какво тази методология се обвързва на практика. Още една клауза спестява много спорове: с кого може да бъде споделен отчетът. Повечето купувачи в един момент предават отчет или резюме на клиент, одитор или застраховател — договорете това сега, заедно с това дали съществува писмо за удостоверяване или заличена версия.

Условия и срокове за повторния тест

Тест, който намери проблеми и никога не потвърди разрешаването им, е свършил половината работа. Уточнете: всички констатации или само онези над праг на критичност; едно преминаване или няколко, тъй като отстраняването рядко попада от първия път; дължината на прозореца и дали удължавания са възможни и на каква цена; дали повторният тест проверява само поправката, или изследва и заобикалянията и вариантите, които кръпката често въвежда; дали резултатът е обновен отчет, писмо от повторния тест, или двете; и дали първоначалният тестер, който вече държи контекста, го извършва.

Изключването или заплащането на повторния тест не е автоматично тревожен признак. Ако ангажиментът е бил воден от цели, или отстраняването ще отнеме година, отделно определено по обхват връщане може да е честната структура. Онова, което има значение, е позицията да се появи в заданието, а не да изплува, когато я поискате.

Работа с данните, срок на съхранение и конфиденциалност

По време на ангажимента доставчикът държи данни за достъп до системите ви, данни, извлечени като доказателство, подробности за архитектурата, може би изходен код — и документ, описващ точно как да бъдете компрометирани. Този документ е най-опасното нещо, което някой пише за организацията ви през цялата година.

Попитайте къде се съхраняват данните от ангажимента, в кои юрисдикции и дали са шифровани в покой; кой вътрешно има достъп до тях и дали достъпът се регистрира; как се предава отчетът, което трябва да означава изтегляне с удостоверяване или шифрована поща, никога незащитено прикачен файл до списък за разпространение; колко дълго се пазят данните, с разграничение между отчета и първичните доказателства; и какво се унищожава, кога, с писмено потвърждение. Ако в обхвата попадат лични данни, поискайте условия за обработка и подизпълнители по обработката и какво се случва с данните ви, ако доставчикът бъде придобит или прекрати дейност. Конфиденциалността трябва да върви в двете посоки: проверете дали доставчикът може да ви назовава като клиент или да използва анонимизирани констатации в изследване — и двете разумни за искане, нито едно за допускане. Сравняването на заданието с това, което доставчикът публикува за собствените си контроли и работа с данни, е бърза проверка.

Кой извършва работата и може ли да бъде възложена на подизпълнител

Купувате хора, затова заданието трябва да каже кои хора: нивото на разпределените, относимия опит за вашата технология, обвързване, че назованите или равностойно квалифицирани лица вършат работата, и посочен водещ, отговорен за качеството, който присъства на представянето на резултатите. Попитайте дали някоя част може да бъде възложена на подизпълнител, коя част и на кого. Подизпълнението не е по същество проблем — хардуер, вградени системи или необичайна платформа често се обработват най-добре от специалист, а почтен доставчик ще го каже ясно. Проблемът е да научите след това, че данните ви са отишли някъде, което никога не сте проверили. Изисквайте предварително писмено съгласие, пренесете надолу условията за конфиденциалност и работа с данните и дръжте основния доставчик отговорен за работата на подизпълнителя.

Застраховка и отговорност, с прости думи

Тестването носи малка, но действителна вероятност нещо да бъде счупено, а договорът трябва да разпредели този риск видимо. С прост език: има ли доставчикът застраховки за професионална и обща гражданска отговорност, на какво ниво и ще я докаже ли; има ли киберотговорност, което е различно нещо; таванът кратно на хонорарите ли е или фиксирана сума; и какво е изключено? Повечето споразумения изключват последващите вреди, пропуснатите ползи и прекъсването на дейността. Това е нормално, но си заслужава да се знае, тъй като прекъсване, причинено по време на тестване, може да попадне точно в изключена категория.

Насрещната клауза е също толкова важна. Давате изрично разрешение за извършване на описаната дейност срещу описаните системи, което е това, което предпазва тестера от отговорност за неправомерен достъп до компютърни системи, докато върши работата, която сте поискали. Доставчик, който не го иска, не е отстъпчив; той е небрежен, а небрежността е това, което се опитвате да не купите.

Какво означава „готово“

Определете завършването, или ангажиментът приключва, като изчерпа календара. „Готово“ е кратък списък, всичко от който трябва да е вярно: обхватът е тестван до договорената дълбочина или пропуските са документирани с причини; предаваните документи са получени в указаните формати; проведено е представяне на резултатите с техническия ви екип, така че констатациите да бъдат разбрани, а не само предадени; въпросите са отговорени в рамките на заявен период; повторният тест е извършен или официално планиран; унищожаването на данните е потвърдено писмено.

Добавете механизъм за приемане — две седмици са често срещани — в който можете да повдигнете фактически корекции или да оспорите оценка на критичността, с поето време за отговор. Оспорванията се случват в добрите ангажименти: критичност, която изглежда погрешна, обикновено е пропуск в контекста, където тестерът не е знаел, че съществува компенсиращ контрол, или вие не сте знаели, че той е заобиколим. И двата разговора подобряват отчета. Там, където доставчик публикува описание на услугата, сверете го със заданието; разминаване си заслужава да бъде повдигнато преди подписването.

Контролният списък

Копирайте това в прегледа на документа си. „Не е приложимо“ е добър отговор; празно поле не е.

ЗАДАНИЕ ЗА ТЕСТ ЗА ПРОНИКВАНЕ — КОНТРОЛЕН СПИСЪК ПРЕДИ ПОДПИСВАНЕ

ОБХВАТ
  [ ] Изброени активи (хостове, диапазони, приложения + среда,
      пътища на API, идентификатори на пакети, идентификатори на облачни акаунти)
  [ ] Списък на извадените от обхвата, с причина за всяко изключение
  [ ] Процес за промени: одобряващ, канал, третиране на усилието
  [ ] Третиране на активи в обхвата, открити по време на тестването

ПЕРИОД И СРЕДА
  [ ] Дати на тестване, разрешени часове, часова зона
  [ ] Период на ангажимента (отчитане + повторен тест) посочен отделно
  [ ] Производствената среда включена? ограничения на разрушителната дейност
  [ ] Ако е тестова: разликите от производствената документирани
  [ ] Данните за достъп проверени като работещи, за всяка роля, преди първия ден
  [ ] Отговорник за списъка с разрешени (адреси на източника, WAF, ботове, география)
  [ ] Издания в периода; експлоатационният екип и бюрото за помощ уведомени

ПРАВИЛА НА АНГАЖИМЕНТА
  [ ] Разрешени / забранени техники
  [ ] Атаки срещу данните за достъп: цели, честота, риск от блокиране
  [ ] Използване на уязвимостите спрямо само демонстрация
  [ ] Разрешени ли са хоризонталното придвижване и повишаването на права?
  [ ] Ограничения за извличане на доказателства от действителни данни
  [ ] Видими за клиентите странични ефекти (поща, SMS, webhook-ове)
  [ ] Условия за спиране, всяко с посочен получател и канал
  [ ] Съгласуване: канал, адреси на източника, маркер в трафика

РАЗРЕШЕНИЕ
  [ ] Посочен разрешаващ с правомощия над активите
  [ ] Подписано разрешение, ограничено до активите и периода
  [ ] Условията за тестване на облака / хостинга проверени
  [ ] Разрешения от трети страни: назначени отговорник и краен срок
  [ ] Многонаемателни или споделени активи разрешени

ПОВТОРЕН ТЕСТ
  [ ] Всички констатации или над праг на критичност
  [ ] Едно преминаване или няколко; дължина на прозореца; удължавания
  [ ] Само проверка на поправката, или и заобикаляния и варианти
  [ ] Резултат и дали първоначалният тестер го извършва

РАБОТА С ДАННИТЕ
  [ ] Местоположение на съхранение, юрисдикция, шифроване в покой
  [ ] Контрол на вътрешния достъп и журналиране
  [ ] Сигурен метод за предаване на отчета
  [ ] Срок на съхранение: отчет спрямо първични доказателства; потвърдено унищожаване
  [ ] Условия за личните данни; назовани подизпълнители по обработката
  [ ] Разрешения за използване като клиентска препратка и в изследване

ХОРА И ОТГОВОРНОСТ
  [ ] Ниво и относим опит на разпределените тестери
  [ ] Посочен водещ, отговорен за качеството, присъстващ на представянето
  [ ] Подизпълнение: изисква се съгласие, условията пренесени надолу
  [ ] Професионална, обща и киберотговорност, доказани
  [ ] Таван и изключения, разбрани с прости думи
  [ ] Клауза за разрешение от клиента, налична, правилно подписана

ОПРЕДЕЛЕНИЕ ЗА „ГОТОВО“
  [ ] Обхватът тестван до договорената дълбочина или пропуските документирани
  [ ] Предаваните документи получени в указаните формати
  [ ] Представяне на резултатите проведено; въпросите отговорени в рамките на заявен период
  [ ] Повторният тест извършен или планиран; унищожаването на данните потвърдено
  [ ] Период за приемане на корекции и оспорване на критичност

Преминаването през това с готов да съдейства доставчик отнема около час и е най-евтиният час от ангажимента. Клаузите, които изглеждат като бюрокрация — условия за спиране, пътища за ескалация, прозорци за повторен тест, определение за „готово“ — са тези, които решават дали ще стигнете до поправени системи или до подреден в папка документ.