PROBLEM
Nie wiadomo, co atakujący zobaczy pierwszy: panel, konto, usługa albo ścieżka, której audyt konfiguracji nie rusza.
PODEJŚCIE
Jawny zakres i pisemna zgoda, potem test ze specjalistą dobranym do środowiska. Raport mówi, co dało się pokazać i co naprawić.
ZAKRES
- test aplikacji web w uzgodnionym zakresie
- test sieci i usług wystawionych do internetu
- ścieżki dostępu (VPN, konta, Active Directory), gdy są w zakresie
- retest po poprawkach, jeśli jest w umowie
REZULTAT
- zapis autoryzacji, zakresu i tego, czego nie ruszamy
- podatności z dowodem, wpływem i priorytetem
- rekomendacje naprawy do wdrożenia
PROCES
- autoryzacja i reguły testu
- rekonesans tylko w zakresie
- weryfikacja podatności
- raport i omówienie
Pentesting ma sens, gdy właściciel wie, co wolno ruszyć. Ustalamy hosty, aplikacje, konta, okno czasowe i metody. Poza tym oknem nie skanuję „na wszelki wypadek” i nie testuję cudzej infrastruktury.
Test prowadzę ze specjalistą z top 1% pentesterów na TryHackMe oraz z innymi specjalistami — skład zależy od zakresu (aplikacja, sieć, tożsamość, chmura). Ja ustalam granice, komunikację i to, co z raportu ma być decyzją, a nie listą narzędzi.
Wynik rozdzielam na fakt (co udało się pokazać), wpływ i co naprawić. Bez oceny „9/10” i bez obietnicy, że po teście nic już nie wejdzie. Jeśli potrzebujesz najpierw obrazu konfiguracji, a nie ataku kontrolowanego, zacznij od audytu bezpieczeństwa.
Poza zakresem: test bez pisemnej zgody właściciela, social engineering wobec osób spoza uzgodnionej listy, DoS, eksploatacja produkcyjna dalej niż trzeba, żeby potwierdzić wpływ.