მთავარი დასკვნა
შეღწევადობის ტესტი თავდამსხმელის მოქმედებებს შეთანხმებულ საზღვრებში ცდის; ის ყველა სისტემის უსაფრთხოების გარანტიას არ იძლევა.
ნებართვა და ფარგლები წერილობით შეათანხმეთ
ტესტირებამდე განსაზღვრეთ აქტივები, დომენები, IP‑დიაპაზონები, აპლიკაციები და API‑ები, სატესტო ანგარიშები, დროის ფანჯრები და კონტაქტები. საწარმოო დატვირთვის ტესტებს, სოციალურ ინჟინერიას, სერვისის შეფერხებასა და მესამე მხარის ინფრასტრუქტურას შეიძლება ცალკე წერილობითი ნებართვა დასჭირდეს. შეათანხმეთ საგანგებო შეჩერება, მონაცემების შენახვის ვადა და მიგნებების უსაფრთხო არხი.
მიჰყევით გზას დაზვერვიდან ანგარიშამდე
ტიპური პროცესი იწყება პასიური დაზვერვით, შემდეგ გადადის ავტორიზებულ აქტიურ სკანირებასა და სერვისების შემოწმებებზე. სისუსტის დადასტურებისას წვდომის გავლენა მხოლოდ შეთანხმებული ფორმით აჩვენეთ; მდგრად დამკვიდრებასა და მონაცემების ამოღებას ფარგლების ცალკე გადაწყვეტილება სჭირდება. აღრიცხეთ მტკიცებულებები, საზღვრები, შეზღუდვები და გამოსწორების ნაბიჯები. თუ ტესტირება კრიტიკულ ზემოქმედებას იწვევს ან ფარგლებს გარეთ აქტივს გამოავლენს, შეჩერდით და მფლობელს აცნობეთ.
ტესტის ტიპი კითხვისთვის აირჩიეთ
შავი ყუთის ტესტში შემმოწმებელს შიდა ინფორმაცია არ ეძლევა და გარემოს წინასწარი შიდა ცოდნის გარეშე იკვლევს. თეთრი ყუთის ტესტი დოკუმენტაციით, კოდითა და ანგარიშებით უფრო ფართო განხილვას იძლევა; ნაცრისფერი ყუთის ტესტი მათ შორისაა. გარე, შიდა, აპლიკაციისა და უსადენო ტესტებს სხვადასხვა ფარგლები აქვს. MITRE ATT&CK‑ის ტაქტიკასა და ტექნიკას შეუძლია სცენარების ჩამოყალიბება, საჭირო ჟურნალის წყაროების გამოვლენა და აღმოჩენის ხარვეზების შემოწმება; მხოლოდ ჩარჩო ცოცხალ გარემოს არ ტესტავს.
გამოასწორეთ მიგნებები და კონტროლი ხელახლა გამოცადეთ
თითოეული მიგნებისთვის წარმოადგინეთ დაზარალებული აქტივი, გამეორების პირობები, მტკიცებულება, ბიზნესზე გავლენა, პრიორიტეტი და შესაძლო გამოსწორება. ავტომატურმა სკანირებამ შეიძლება ცრუ დადებითი შედეგები შექმნას ან სისუსტეები გამოტოვოს; კრიტიკული მიგნებები ხელით გადაამოწმეთ. დანიშნეთ პასუხისმგებელი და თარიღი, გამოსწორების შემდეგ ხელახლა გამოცადეთ სცენარი და აღრიცხეთ დარჩენილი რისკის გადაწყვეტილებები. სკანირება და შეღწევადობის ტესტირება სხვადასხვა მეთოდს იყენებს; არცერთი ანაცვლებს უწყვეტ ინვენტარიზაციასა და შესწორებების დაყენებას.