Уточнение объёма перед тестированием на проникновение
Объём чётко разделяет типы тестов — внешний периметр, внутренняя сеть, веб, API, мобильные приложения, беспроводная сеть или социальная инженерия — и среду. Влияние на рабочую среду, активы третьих сторон, конфиденциальные данные и запрещённые техники оцениваются вместе с перечнем активов.
Перечень активов и процесс авторизации
IP-адреса, домены, URL и API, роли приложений, сетевые диапазоны, владельцы, среды и разрешения третьих сторон ведутся в одной таблице объёма. Разрешение на тест, период и команда тестирования утверждаются письменно; указываются границы, не позволяющие выходить на активы вне объёма.
ROE, сроки и план коммуникации
Rules of Engagement включают метод тестирования, доступ с учётными данными и без них, ограничение нагрузки, запрет DoS или выгрузки данных, окно тестирования, исходные IP-адреса, экстренную остановку и дерево коммуникации. Чтобы отличать тестовый трафик от инцидентов в рабочей среде, стороны обмениваются временными метками.
Чек-лист закрытия после теста
Короткая контрольная таблица ниже — практический ориентир для проектов подготовки к тестированию на проникновение:
| Область контроля | Ожидаемый результат |
|---|---|
| Объём | Актив, среда, тип теста и владелец |
| Разрешение | Письменное согласие, третьи стороны и даты |
| ROE | Границы, запреты, экстренная остановка и коммуникация |
| Данные | Учётные записи, передача доказательств, хранение и удаление |