Przygotowanie do autoryzowanych testów bezpieczeństwa

Co to jest

Przygotowanie jest ćwiczeniem z zakresu nadzoru i koordynacji. Łączy inwentaryzację domen, adresów IP, aplikacji, środowisk, kont, dostawców, podwykonawców i odpowiedzialności z zamierzonymi celami i oczekiwaniami co do raportowania. Dobrze przygotowany brief zapisuje ogólnie dozwolone metody, zakazane działania, przydatność środowisk produkcyjnych i nieprodukcyjnych, okresy wyłączone, okno testowe, bezpieczne limity operacyjne, osoby monitorujące, kontakty eskalacyjne, zasady komunikacji, warunki natychmiastowego przerwania, postępowanie z dowodami, minimalizację danych oraz wyłączone środowiska wrażliwe. Posiadanie firmy nie upoważnia automatycznie do testowania każdego pracownika, klienta, dostawcy, platformy, konta hostowanego ani usługi strony trzeciej.

Dla kogo

Ten przewodnik przygotowawczy jest przydatny dla zespołów, które:

• Muszą skoordynować właścicieli biznesowych, technicznych, dostawców, zespół bezpieczeństwa i podwykonawców przed zamówieniem oceny
• Mają systemy skierowane do klientów, usługi hostowane, konta chmurowe lub dostawców, którzy wprowadzają kwestie uprawnień i zależności
• Chcą zakresu bardziej gotowego do podjęcia decyzji zamiast ogólnikowej prośby, by „przetestować wszystko”
• Muszą ustalić praktyczne oczekiwania dotyczące bezpieczeństwa, komunikacji, dowodów i raportowania przed autoryzowanym zleceniem

Co pomaga wyjaśnić

Proces przygotowania pomaga ustalić:

• Kto może autoryzować prace, kto jest właścicielem każdego celu i czyja pisemna zgoda lub powiadomienie mogą być jeszcze potrzebne
• Które domeny, adresy IP, aplikacje, środowiska, konta, dostawcy, podwykonawcy i systemy wrażliwe są objęte zakresem lub z niego wyłączone
• Jakie cele i pytania o sukces są istotne, przy zastosowaniu bezpiecznych metod i realistycznych oczekiwań
• Jak powinny działać okna testowe, okresy wyłączone, limity, kontakty, warunki przerwania, dowody i przekazanie

Co jest zawarte

• Lista kontrolna dotycząca właścicieli biznesowych i technicznych, pisemnego upoważnienia, inwentaryzacji celów, koordynacji z dostawcami i podwykonawcami oraz zgody stron trzecich
• Wskazówki dotyczące przydatności środowisk produkcyjnych i nieprodukcyjnych, celów, limitów, zakazanych działań, okresów wyłączonych, okien, monitoringu, eskalacji, komunikacji i warunków przerwania
• Pytania dotyczące postępowania z dowodami i minimalizacji danych, w tym systemów wrażliwych i wyłączonych środowisk
• Praktyczny zarys oczekiwań dotyczących przekazania i raportowania po autoryzowanych pracach

Co nie jest uwzględnione

• Kroki wykorzystywania podatności, instrukcje generowania ruchu, wskazówki obchodzenia zabezpieczeń, techniki destrukcyjne ani operacyjne taktyki ataku
• Porada prawna ani stwierdzenie, że upoważnienie, umowy, przepisy lub dostawcy dopuszczają konkretny test
• Zapewnienie, że przygotowanie eliminuje zakłócenia, ryzyko lub wpływ operacyjny
• Założenie, że własność firmy daje uprawnienia wobec systemów podwykonawców, klientów, pracowników, platform lub systemów hostowanych

Kiedy to wybrać

Z tego przewodnika warto skorzystać, gdy rozważana jest ocena, a odpowiedzialność lub zakres wymagają dopracowania, zanim dostawca będzie mógł bezpiecznie go określić. Jest cenny przed przeglądem aplikacji, kontrolowanymi pracami obciążeniowymi, testami odporności lub ćwiczeniem ukierunkowanym na cel. Działa równolegle z pisemnym upoważnieniem, zgodą dostawcy, przeglądem umów i poradą wykwalifikowanego prawnika, gdy są one potrzebne. Jeśli organizacja nie potrafi wskazać właścicieli, systemów ani decyzji, której potrzebuje, należy rozwiązać te podstawowe kwestie przed zaplanowaniem jakichkolwiek działań.

Nasze podejście

Zakres należy traktować jako żywy zapis uprawnień, a nie techniczną listę życzeń. Warto zacząć od właścicieli i inwentaryzacji celów, a następnie oddzielić zasoby, które Państwo kontrolują, od tych obsługiwanych przez dostawcę lub podwykonawcę. Przed wyborem terminów należy uzgodnić pytanie, bezpieczną granicę, ustalenia dotyczące monitoringu, kontakty i warunki wstrzymania. Zbieranie dowodów powinno być proporcjonalne, a dostęp do informacji wrażliwych ograniczony do minimum. Zmiany należy komunikować szybko, jeśli zmieni się cel, warunek dostawcy lub okres wyłączony po stronie biznesu. Przy przekazaniu należy oczekiwać raportu oddzielającego autoryzowany zakres, obserwacje, ograniczenia i dalsze działania. Przed rozpoczęciem działań warto poprosić każdego właściciela o pisemne potwierdzenie aktualnej inwentaryzacji i ścieżki eskalacji. Późną zmianę celu, dostawcy, konta, środowiska lub okresu biznesowego należy traktować jako zmianę zakresu, a nie nieformalny wyjątek. Dzięki temu autoryzowana granica pozostaje zrozumiała zarówno dla zespołów operacyjnych, jak i interesariuszy technicznych, a także zmniejsza się niejasność co do tego, kto może wstrzymać prace, gdy zmienią się warunki. Oczekiwania dotyczące raportowania należy uzgodnić równie starannie jak cele. Trzeba zdecydować, kto potrzebuje podsumowania dla kierownictwa, kto dowodów technicznych, jak będą udostępniane materiały wrażliwe, które obserwacje wymagają szybkiego kontaktu i kto może przyjąć przekazanie. Nie należy zakładać, że każdy interesariusz potrzebuje tego samego poziomu dostępu. Warto prowadzić zapis powiadomień dostawców, numerów zgód i zmian okna, aby raport końcowy mógł dokładnie opisać warunki, w jakich odbyły się autoryzowane prace. Przygotowanie powinno zakończyć się krótkim potwierdzeniem, że wszyscy wskazani właściciele rozumieją, co jest objęte zakresem, co jest wyłączone i jak będzie eskalowany problem. Ostateczny zakres powinien otwarcie wskazywać wszelkie niepewności, aby żaden uczestnik nie pomylił założenia planistycznego ze zgodą. Powinien też wymieniać informacje celowo pominięte, ponieważ nie są potrzebne do wstępnego określenia zakresu lub należą do bardziej ograniczonego kanału. Takie wspólne zrozumienie jest często cenniejsze niż dodanie kolejnego celu do i tak niejasnego testu. Przed zleceniem warto sprawdzić, czy lista kontaktów działa w planowanym oknie i czy zespoły biznesowe wiedzą, co oznacza wstrzymanie lub warunek przerwania. Prosta próba komunikacji może ujawnić sprzeczne oczekiwania dotyczące dostępności, eskalacji lub własności dowodów. Pomaga zapobiec sytuacji, w której rutynowy problem z koordynacją zostanie pomylony ze zgodą na kontynuowanie prac poza uzgodnioną granicą.

Często zadawane pytania

Artykuły pokrewne