Əsas fikir
Penetrasiya testi razılaşdırılmış sərhədlər daxilində real hücum addımlarını yoxlayır; bütün sistemlərin təhlükəsiz olduğuna zəmanət vermir.
İcazəni və əhatəni yazılı razılaşdırın
Testdən əvvəl aktivləri, domenləri, IP diapazonlarını, tətbiq və API-ləri, test hesablarını, vaxt pəncərəsini və əlaqələndirici şəxsləri müəyyən edin. İşlək sistemdə yük testi, sosial mühəndislik, xidmətin dayandırılması və üçüncü tərəf infrastrukturu ayrıca yazılı razılıq tələb edə bilər. Təcili dayandırma qaydasını, məlumatın saxlanma müddətini və tapıntıların təhlükəsiz çatdırılmasını da razılaşdırın.
Kəşfiyyatdan hesabatadək mərhələləri izləyin
Tipik iş axını passiv kəşfiyyatla başlayır, sonra icazə verilən aktiv skan və xidmət yoxlamalarına keçir. Təsdiqlənmiş zəiflik olduqda, yalnız razılaşdırılmış qaydada istismarı göstərərək girişə təsiri qiymətləndirin; sistemdə davamlı giriş yaratmaq və məlumat çıxarmaq testin razılaşdırılmış əhatəsinə ayrıca daxil edilməlidir. Sonda sübutu, əhatəni, məhdudiyyətləri və bərpa addımlarını sənədləşdirin. Test zamanı kritik təsir və ya əhatədən kənar aktiv aşkarlanarsa, işi dayandırıb sahibə bildirin.
Test növünü məqsədə uyğun seçin
Qara qutu yanaşması test edənə daxili məlumat vermir; test edən mühiti əvvəlcədən verilmiş daxili məlumat olmadan araşdırır. Ağ qutu sənədlər, kod və hesablarla daha geniş yoxlama imkanı verir; boz qutu məhdud daxili məlumatla bu iki yanaşmanın arasındadır. Xarici, daxili, tətbiq və simsiz testlərin əhatəsi fərqlidir. MITRE ATT&CK taktikaları və texnikaları ssenari qurmağa, tələb olunan log mənbələrini və aşkarlama boşluqlarını yoxlamağa kömək edə bilər; çərçivə təkbaşına real mühiti test etmir.
Tapıntını düzəldin və nəzarəti yenidən yoxlayın
Hesabatda təsirlənən aktiv, təkrarlama şərti, sübut, biznes təsiri, risk prioriteti və mümkün düzəliş göstərilsin. Avtomatlaşdırılmış skan yanlış müsbət və ya buraxılmış zəiflik verə bilər; kritik tapıntını əl ilə təsdiqləyin. Sahib və tarix təyin edin, düzəlişdən sonra həmin ssenarini təkrar test edin və qalıq risklə bağlı qərarı sənədləşdirin. Skan və penetrasiya testi fərqli üsullardır; heç biri davamlı inventar və yeniləmə prosesini əvəz etmir.