Przegląd, utwardzanie czy kontrolowany test: jak wybrać

Co to jest

Security Baseline Review służy zrozumieniu uzgodnionego stanu obecnego; Website Hardening przekształca potwierdzone priorytety konfiguracyjne w kontrolowane zmiany; Application Security Review dotyczy wybranych kwestii bezpieczeństwa aplikacji. Application Load & Stress Testing obserwuje uzgodnione scenariusze użycia, a DDoS Resilience Testing bada kontrolowane warunki odporności z uwzględnieniem granic po stronie dostawcy i granic bezpieczeństwa. Red Team Exercise to ukierunkowane na cel, autoryzowane ćwiczenie edukacyjne prowadzone zgodnie z zasadami prowadzenia testów. Nie są to wymienne etykiety. Raport z ustaleniami, zmiana konfiguracji, obserwacja wydajności, obserwacja odporności i ćwiczenie edukacyjne dla organizacji odpowiadają na różne pytania kupującego. Bardziej inwazyjne testy nie są automatycznie bardziej użyteczne.

Dla kogo

To porównanie pomaga kupującym, którzy:

• Mają obawy dotyczące bezpieczeństwa lub niezawodności, ale nie są jeszcze pewni, czy potrzebują dowodów, wdrożenia, walidacji czy szerszego ćwiczenia edukacyjnego
• Muszą zrozumieć, czy systemy produkcyjne, dostawcy zewnętrzni, pisemne upoważnienie lub limity bezpieczeństwa wpływają na dostępne opcje
• Chcą porównać rezultaty i granice, zanim poproszą dostawcę o określenie zakresu prac
• Rozumieją, że przegląd, zmiana utwardzająca i kontrolowany test mogą następować po sobie, a nie wzajemnie się wykluczać

Co pomaga wyjaśnić

Porównanie pozwala wyjaśnić:

• Czy problem jest znany, czy niepewny, oraz czy kolejny krok powinien dostarczyć dowodów, czy wprowadzić uzgodnioną zmianę
• Czy istotnym zasobem jest strona internetowa, aplikacja, konfiguracja, ścieżka klienta, usługa pod oczekiwanym obciążeniem czy ścieżka odporności
• Czy zlecenie wymaga pisemnego upoważnienia, zgody dostawcy, okresów wyłączonych, kontaktów lub warunków natychmiastowego przerwania
• Jaki rezultat jest teraz użyteczny: raport z ustaleniami, zapis zmian, obserwacja wydajności, obserwacja odporności czy podsumowanie gotowe do podjęcia decyzji

Co jest zawarte

• Porównanie prostym językiem: przegląd bazowy, utwardzanie strony, przegląd aplikacji, kontrolowane testy obciążeniowe, testy odporności na DDoS i ćwiczenia red team
• Czynniki decyzyjne obejmujące niepewność, dowody a wdrożenie, wpływ na produkcję, upoważnienie, strony trzecie i oczekiwane rezultaty
• Wskazówki dotyczące sekwencyjnego korzystania z usług, gdy udokumentowany przegląd w naturalny sposób zasila późniejsze kontrolowane prace
• Przypomnienie, że doprecyzowanie zakresu lub discovery może być najrozsądniejszym pierwszym krokiem, gdy pytanie nie jest jeszcze ustalone

Co nie jest uwzględnione

• Uniwersalna rekomendacja usługi, certyfikacja ani obietnica, że którakolwiek opcja usunie całe ryzyko
• Rada, by przeprowadzać kontrolowane testy bez potwierdzonego upoważnienia, bezpiecznych granic, wymagań dostawców i zakresu
• Operacyjne taktyki testowe, instrukcje wykorzystywania podatności, metody zakłócania ani wskazówki dotyczące obchodzenia zabezpieczeń
• Twierdzenie, że przegląd, zlecenie utwardzania lub ćwiczenie zapewnia zgodność, dostępność, wydajność, odporność lub zapobieganie incydentom

Kiedy to wybrać

Ten przewodnik warto przeczytać, gdy zespół porównuje opcje, zanim wybierze zlecenie. Jest szczególnie przydatny, gdy jeden interesariusz prosi o „testy”, a inny o zmianę konfiguracji lub pisemną ocenę. Jeśli systemy, oczekiwana decyzja, odpowiedzialność lub dostępne dowody są niejasne, doprecyzowanie zakresu powinno poprzedzić wybór. Krótka rozmowa może ustalić, czy kupujący faktycznie potrzebuje przeglądu stanu obecnego, kontrolowanego wdrożenia, ukierunkowanego pytania o aplikację, obserwacji pojemności, oceny odporności czy ćwiczenia ukierunkowanego na cel.

Nasze podejście

Należy zacząć od decyzji biznesowej, a następnie zawęzić pytanie techniczne. Warto wypisać systemy, których to dotyczy, to, co już wiadomo, kto jest ich właścicielem, czy produkcja może zostać dotknięta i jak wyglądałby użyteczny rezultat. Następnie trzeba ustalić uprawnienia i strony trzecie, zanim rozpocznie się rozmowę o jakimkolwiek kontrolowanym teście. Przegląd bazowy może dostarczyć dowodów do utwardzania; utwardzanie może poprzedzać późniejszy test; obserwacja obciążenia może ujawnić pytanie o infrastrukturę; ćwiczenie red team może być użyteczne dopiero wtedy, gdy cele i nadzór są dojrzałe. Nie chodzi o stworzenie sztywnej drabiny. Chodzi o wybór proporcjonalnego, autoryzowanego kolejnego kroku i pozostawienie późniejszych prac do odrębnego określenia zakresu. Kupujący może też zapisać praktyczne ograniczenia, które kształtują ten wybór: dostępne dowody, wiek systemów, warunki dostawców, zobowiązania wobec klientów, prawdopodobne okno serwisowe oraz to, czy zmianę można bezpiecznie przetestować poza produkcją. Ograniczenia te same w sobie nie wybierają usługi, ale sprawiają, że późniejszy zakres jest bardziej rzetelny. Porównanie przynosi najwięcej korzyści, gdy zespół jest gotów pozostawić pytanie otwarte, zamiast wciskać je pod niewłaściwą etykietę zlecenia. Przed kontaktem warto przygotować zwięzłą notatkę z datą decyzji, zasobami, których to dotyczy, właścicielem biznesowym, właścicielem technicznym, istotnymi dostawcami, bieżącymi zmianami i znanymi ograniczeniami dostępu. Te informacje nie są dowodem problemu; stanowią kontekst, który pozwala dostawcy wskazać, gdzie pasuje standardowy zakres, a gdzie założenie wymaga sprawdzenia. Ułatwiają też uniknięcie proszenia o szeroki test tylko dlatego, że problem nie został jeszcze właściwie ujęty. Jeśli istnieje termin, warto wyjaśnić, czy wynika on z przyczyn handlowych, umownych, operacyjnych czy regulacyjnych, oraz co uczyniłoby decyzję użyteczną. Pozwala to wszystkim odróżnić pożądany rezultat od dowodów, które faktycznie można zebrać w odpowiedzialnym zakresie.

Często zadawane pytania

Artykuły pokrewne