Правила за провеждане на тестовете
Как се съгласяваме да се държим, в писмен вид, преди да докоснем каквото и да е.
Повечето фирми за тестване имат правила на ангажимента и ги държат в договора. Нашите са публикувани, защото условията, на които един тестер се съгласява, са нещо, което трябва да можете да сравните между доставчици — и защото публикуването им е единственият начин те да ни ограничават така, че вие да можете да го проверите.
Разрешението е първо и е в писмен вид
Никакво тестване не започва, докато някой с правомощието да го разреши не го е казал писмено, назовавайки обхвата.
- Кой подписваРазрешението трябва да дойде от някой, който наистина може да го даде — собственика на системата или някой с делегирани правомощия над нея. Ентусиазмът на ръководителя на проекта не е разрешение.
- Системи на трети страниАко система в обхвата е хоствана, управлявана или притежавана от някой друг, нужно е и неговото разрешение. Ще ви помолим да го потвърдите и няма да тестваме инфраструктура на трета страна само по ваше твърдение. Повечето облачни доставчици публикуват какво позволяват; някои изискват уведомяване.
- Какво назовава разрешениетоОбхватът, периодът, изключените техники и хората от двете страни, които могат да спрат теста. Ако не е записано преди ангажимента, не е договорено.
- Нашата собствена идентификацияПри поискване потвърждаваме адресите на източника, от които произлиза тестването ни, за да може екипът ви да ни различи от истински нападател в своите журнали.
Обхватът е изричен, както и това, което стои извън него
Неясният обхват е начинът, по който се случват производствени инциденти и неудобни фактури. Записваме и двете половини.
- В обхватаНазовани хостове, приложения, API-та, акаунти, клиентски организации и среди. Там, където обхватът е определен чрез диапазон, потвърждаваме какво в него е живо, преди да докоснем каквото и да е.
- Извън обхватаЗаписано изрично, вместо оставено да се подразбира. Всичко, което не е назовано, е извън обхвата, докато не бъде добавено писмено.
- Промени в обхвата по време на ангажиментаТестването разкрива системи, които никой не е споменал — забравен поддомейн, споделена услуга, неочаквана интеграция. Спираме, казваме ви какво сме намерили и питаме, преди да разширим. Не разширяваме обхвата тихо и не го подминаваме тихо.
- Откритие извън границатаАко отвътре можем да достигнем нещо извън обхвата, това само по себе си е констатация. Отчитаме достижимостта, без да използваме това, което не ни е било позволено да докоснем.
Периоди на тестване и безопасност на продукционната среда
Повечето тестове могат да се изпълняват безопасно в продукционната среда. Изключенията са предвидими и ги договаряме предварително.
- Кога тествамеДоговорен период, с посочена часова зона. Ако ви е нужно тестването да е ограничено до извънработно време, кажете го при определянето на обхвата, а не след това — това променя плана, не само часовника.
- Продукционна среда спрямо тестоваЩе тестваме продукционната среда там, където именно за нея ви трябва увереност, защото тестова среда с различни данни, различна конфигурация и различен обем отговаря на различен въпрос. Там, където продукционната среда наистина не може да поеме даден клас тест, го казваме и го тестваме другаде.
- Честота и обемКонтролираме честотата на заявките умишлено. Там, където един тест може правдоподобно да влоши услуга, той се ограничава, планира или изпълнява срещу копие извън продукционната среда.
- Какво не правим по подразбиранеТестването за отказ на услуга, тестването под натоварване и всичко, чиято цел е да изтощи ресурс, са изключени, освен ако не ги поискате специално и не договорим как.
Разрушителните техники и тези с голямо въздействие изискват отделно съгласие
Общото разрешение за тестване не е разрешение за всичко. Определени техники получават собствено одобрение, назовано предварително.
- Назовано одобрение, за всяка техникаВсичко, което променя или унищожава данни, прекъсва услуга, блокира акаунти, изпраща поща до действителни хора или се задържа в система, се договаря поединично — не се покрива от общото разрешение.
- Каквото запишем, го отразявамеТам, където един тест изисква записване на данни, записваме неутрални маркерни стойности, отразяваме точно какво е било записано и къде, и го изброяваме за премахване при предаването. Никога не бива да ви се случва да откривате нашите тестови данни месеци по-късно.
- Данни за достъпНе сменяме пароли, не деактивираме акаунти и не променяме права в системи, които се използват. Там, където демонстрирането на въздействието би го изисквало, описваме стъпката и спираме, вместо да я предприемем.
- Социално инженерствоТам, където хора са в обхвата, правилата се договарят отделно: кой може да бъде цел, кой не, какви претексти са допустими и как ще бъдат третирани впоследствие участниците, подали сигнал. Никой не бива да бъде наказван, че не е издържал тест, за който никога не е бил предупреден.
Условия за спиране и кой може да ги задейства
И двете страни могат да спрат ангажимента. Условията се договарят, преди той да започне, а не се договарят по време на инцидент.
- Спиране по ваше исканеПосочено лице от ваша страна може да спре тестването по всяко време, по каквато и да е причина, през канал, договорен на началната среща. Спираме незабавно и потвърждаваме, че сме спрели.
- Спиране по наша инициативаСпираме по собствена инициатива, ако намерим доказателство за предходно проникване, ако считаме, че тестването причинява нестабилност, или ако достигнем нещо, което разрешението явно не е предвиждало.
- Активен комуникационен каналДоговорен канал — не опашка със задачи — обезпечен с хора от двете страни през целия период, така че едно спиране да отнема минути, а не работен ден.
- ВъзобновяванеТестването се възобновява само когато причината за спирането е отстранена и двете страни са го заявили.
Сериозните констатации не чакат отчета
Две ситуации се обработват незабавно и се обработват различно една от друга.
- Критична констатация в нашето тестванеАко намерим нещо критично и активно използваемо, научавате за него същия ден, по телефон или по договорения канал — с достатъчно подробности, за да действате, преди писмената констатация да е завършена. Задържането на критична констатация, за да прозвучи по-силно в заключителна презентация, е неоправдано.
- Доказателство за вече съществуващо проникванеАко намерим признаци, че някой друг вече е бил в средата, това не е констатация за описване. Спираме тестването в тази област, запазваме наблюдаваното, уведомяваме ви незабавно и предаваме случая на вашия екип за реакция при инциденти. Не поемаме ролята на ваш екип за реакция при инциденти, освен ако не ни наемете отделно като такива.
- На кого казвамеСамо на хората, които сте посочили. Не уведомяваме вашите клиенти, вашия регулатор или някой друг — това са ваши задължения и ваши решения.
Вашите данни по време на и след ангажимента
Тестването произвежда доказателства, а доказателствата съдържат ваши данни. Как се работи с тях е част от правилата, не нещо допълнително.
- Минимално необходимоВземаме доказателството, необходимо за доказване на една констатация, и нищо повече. Там, където смисълът е да се докаже достъп до набор от записи, го демонстрираме с извадка и число, вместо да извличаме набора.
- Лични данниТам, където една констатация излага лични данни, я доказваме по начин, който доказва излагането, без да възпроизвежда данните — заличени снимки на екрана, брой на записите, имена на полета вместо съдържание на полета.
- Къде се съхраняватДанните от ангажимента се съхраняват шифровани, с достъп, ограничен до хората по ангажимента, и се прехвърлят по канали, договорени с вас.
- След товаДанните от ангажимента се пазят за договорен период и след това се изтриват. Периодът се определя в договора и ще потвърдим изтриването писмено, ако поискате.
Какво получавате и какво документът потвърждава и какви са ограниченията му
Предаваният документ е продуктът. Неговата форма трябва да бъде договорена, преди тестването да започне, а не открита при предаването.
- ОтчетътВсяка констатация с нейната критичност, доказателството, стъпките за възпроизвеждането ѝ, бизнес въздействието и конкретна поправка. Написана така, че инженер да може да действа по нея, а неспециалист да разбере какво е изложено на риск.
- Критичността и как е била определенаНашият модел за критичност и обосновката зад всяка оценка са в отчета. Там, където не сме съгласни със сурова оценка по CVSS, защото контекстът във вашата среда променя риска, го казваме и обясняваме защо.
- Констатации, които не успяхме да възпроизведемОтчитат се като такива, честно, вместо да бъдат отхвърлени или преувеличени. Констатация, която сме видели веднъж и не можем да възпроизведем, ви е по-полезна като открит въпрос, отколкото като мълчание.
- Чист резултатАко намерим малко, отчетът го казва и показва покритието, което подкрепя твърдението. Не запълваме отчет с информационен шум, за да оправдаем фактурата.
- Повторен тестТестваме повторно отстранените констатации и потвърждаваме писмено какво е затворено. Поправка, която не можем да проверим, се отчита като непроверена, а не се отбелязва тихо като готова.
- Какво не е един отчетОтчетът от тест за проникване не е сертификат и не е атестация. Той описва какво сме намерили, в определен обхват, през определен период. Всеки, който го представя като гаранция за сигурност, го представя погрешно — включително ние.
Използвайте това, включително срещу нас
Тази страница е умишлено пригодена за повторна употреба. Вземете я в следващата си процедура за доставка, сравнете я с това, което друг доставчик ще напише, и ни задайте същите въпроси, които задавате на него. Правило, което важи само когато е удобно, не е правило.
Често задавани въпроси
Въпроси, които получаваме за това
Може ли да използваме това за тест от някой друг?
Да. Именно затова е страница, а не PDF зад формуляр. Вземете полезното в собственото си задание за работа и държете отговорен по него когото наемете. Ако потенциален доставчик не се съгласи с нещо тук, това си заслужава да се знае преди подписването, а не след него.
Ами ако нашите изисквания са по-строги от тези?
Тогава важат вашите. Това са минимални изисквания, а не максимални. Рутинно работим по собствените правила на ангажимента на клиента, неговия процес за управление на промените и неговите периоди за тестване.
Подписвате ли вместо това нашите правила на ангажимента?
Обикновено да. Повечето организации със зряла функция по сигурността имат свои и предпочитаме да работим по документ, който екипът ви вече разбира, вместо да налагаме нашия.
Това юридически съвет ли е?
Не. Това е начинът, по който провеждаме ангажименти. Вашите задължения по договор, регулация и местно право са ваши и за тях трябва да търсите съвет.
Искате да проверите тези правила спрямо вашите изисквания?
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност