Penetratsioonitest vastab küsimusele, mis on kirjas selle ulatuses, ja mitte millelegi muule. Kui ulatuses seisab "testida meie veebirakendust", saate aruande selle kohta, mis testijatele olemasoleva aja jooksul kõige huvitavam tundus. See ei pruugi olla see, mida Te teada vajasite.
Lahendus on ettevalmistus. Otsustage küsimus, reeglid, ligipääs, andmete käsitlus ja töö valmimise kriteeriumid enne, kui hinnapakkumisi küsite.
Alustage küsimusest, mitte sihtmärgist
IP-aadresside ja URL-ide loetelu on sihtmärkide nimekiri, mitte eesmärk. Eesmärk on otsus, mida test peab toetama. NIST SP 800-115 märgib, et tehnilistel turvatestidel on mitu otstarvet, näiteks süsteemi või võrgu haavatavuste leidmine ning poliitikale või muudele nõuetele vastavuse kontrollimine. Need on erinevad ülesanded ja nõuavad erinevaid teste.
Kirjutage eesmärk üles lausena, mida mittetehniline tellija oskab lugeda. Mõned näited:
- Kas sisse loginud klient saab uues portaalis lugeda teise kliendi arveid?
- Kas kontota ründaja pääseb broneerimissüsteemi administreerimisliideseni?
- Kas rakendus vastab juurdepääsukontrolli nõuetele, mida meie kliendi turvaküsimustik tsiteerib?
Igaüks neist eeldab erinevat ulatust, erinevaid kontosid ja erinevat aruannet. Kui Te ei suuda kirjutada ühte lauset, ei ole Te ostuks veel valmis. Enne hinnapakkumiste küsimist tasub korraldada lühike piiritlemiskõne testijate või nõustajaga, näiteks meie nõustamismeeskonnaga.
Valige "testitud" jaoks võrdlusalus
"Täielikult testitud" ei tähenda midagi enne, kui on nimetatud, mille vastu testiti. Veebirakenduste puhul annavad ühise sõnavara kaks OWASP-i projekti.
OWASP Application Security Verification Standard (ASVS) on alus veebirakenduse tehniliste turvakontrollide testimiseks ning annab arendajatele turvalise arenduse nõuete loetelu. Projekti lehel on viimase stabiilse versioonina nimetatud 5.0.0. Igal nõudel on numbriline identifikaator ja projekt soovitab seda viidata koos versiooniga, näiteks v5.0.0-1.2.5. Versioon on oluline, sest identifikaatorid võivad väljaannete vahel muutuda.
OWASP Web Security Testing Guide kirjeldab, kuidas testida. Selle lehel on praeguse väljaandena toodud v4.2, versioon 5.0 on veel arenduses. Nimetage lepingus versioon, mida ootate, vastasel juhul eeldab kumbki pool erinevat.
Seejärel määrake, millised ASVS-i osad on ulatuses, peatükkide ja jaotiste kaupa nii, nagu need on Teie valitud versioonis. Identifikaator v5.0.0-1.2.5 viitab näiteks peatüki "Encoding and Sanitization" jaotise "Injection Prevention" 5. nõudele. Valige jaotised, mis vastavad Teie eesmärgile, ja nõudke leidude vastendamist nõuete identifikaatoritega. See teeb kordustesti ja arendajate järeltöö palju lihtsamaks.
Testimise reeglid (rules of engagement)
Testimise reeglid on kirjalikud piirid selle kohta, mida testijad tohivad teha. Need on meie soovitused, mitte allikate ettekirjutus, kuid iga ulatuse dokument peaks need paika panema:
| Punkt | Otsustage |
|---|---|
| Keskkond | Toodang, testkeskkond või mõlemad. Testkeskkond on turvalisem, kuid kasulik ainult siis, kui selle konfiguratsioon vastab toodangule. |
| Ajaaken | Kuupäevad ja kellaajad ning kas testida tohib ka väljaspool tööaega. |
| Lähteaadressid | IP-aadressid, mida testijad kasutavad, et Teie seirimeeskond oskaks neid päris ründajast eristada. |
| Välistatud võtted | Teenusetõkestus, sotsiaalne manipuleerimine ja füüsiline ligipääs on tavalised välistused. Kirjutage need üles igal juhul. |
| Peatumistingimused | Mis paneb testijad pausi tegema: katkestus, ootamatu ligipääs isikuandmetele, kriitiline leid. |
| Kontaktid | Kaks nimetatud isikut kummaltki poolelt, telefoninumbritega, mis töötavad ka öösel. |
Otsustage ette, kas Teie SOC-ile testist teatatakse. Teatamine proovile paneb protsessi, vaikimine aga tuvastusvõime. Mõlemad on põhjendatud, kuid valik peab olema teadlik.
Testkontod ja andmete käsitlus
Andke testijatele kontod, sest ilma sisselogimiseta testija ei saa uurida, mis selle taga asub. Andke üks konto iga rakenduses oleva rolli jaoks, lisaks kaks sama rolliga kontot, mis kuuluvad erinevatele klientidele või üürnikele (tenant). Ilma selle paarita ei saa keegi kontrollida, kas üks kasutaja pääseb ligi teise andmetele.
Looge kontod ette, kontrollige, et sisselogimine töötab, ja öelge, kuidas käsitletakse mitmikautentimist.
Leppige andmete käsitlus kokku lepingus:
- Kasutage testkeskkonnas võimaluse korral sünteetilisi andmeid. Kui toodang on ulatuses, öelge, milliseid päris kirjeid testijad tohivad vaadata ja milliseid mitte.
- Määrake, kus tõendeid, näiteks ekraanipilte, päringulogisid ja väljavõetud andmeid, hoitakse, kes neile ligi pääseb ja kui kaua testijad neid säilitavad.
- Nõudke, et aruanne ise liiguks krüpteeritult. See on loetelu Teie nõrkustest.
- Kehtestage reegel tundlike leidude jaoks: kui testijad satuvad isikuandmetele, peatuvad nad, märgivad asukoha üles sisu kopeerimata ja helistavad Teie kontaktisikule.
Edukriteeriumid ja aruandlus
"Kriitilisi leide ei ole" ei ole edukriteerium. See premeerib pealiskaudset testi. Määratlege valmimine kui kattuvus pluss väljundi kvaliteet: kokkulepitud nõudeid on uuritud ja iga leiu juures on piisavalt üksikasju, et seda reprodutseerida ja parandada.
NIST kirjeldab oma juhendit kui abi nii testide läbiviimisel kui ka leidude analüüsimisel ja leevendusstrateegiate väljatöötamisel. Nõudke sedasama. Iga leid peaks sisaldama reprodutseerimise samme, mõjutatud komponenti, tõsidusastet koos nimetatud meetodiga, et saaksite selle ise üle kontrollida, ning konkreetset parandusettepanekut. Lisage hinnapakkumisele parandatud leidude kordustest ning leppige kokku, kes aruande ja millal vastu võtab.
Kui ostate teenust pakkujalt, näiteks meie penetratsioonitesti teenusena, kirjutage need punktid töö kirjeldusse (statement of work), mitte ainult alustuskõnesse.
Kust alustada
- Kirjutage eesmärk üles ühe lausena ja laske äriomanikul sellega nõustuda.
- Loetlege ulatusse kuuluvad rakendused, keskkonnad ja rollid ning nimetage selgesõnaliselt, mis jääb ulatusest välja.
- Valige võrdlusalus: ulatusse kuuluvad ASVS-i peatükid ja jaotised ning Web Security Testing Guide'i versioon, kõik kirjutatud koos versiooninumbritega.
- Täitke testimise reeglite tabel, sealhulgas kontaktid, ajaaken ja lähteaadressid.
- Looge ja kontrollige testkontod, sealhulgas kaks sama rolliga kontot erinevatele üürnikele, ning kehtestage andmete käsitlemise reeglid.
- Kirjutage edukriteeriumid lepingusse: leiu vorming, tõsiduse hindamise meetod, vastendamine nõuete identifikaatoritega ja kordustest.
