Problem
Ocena bezpieczeństwa ma sens tylko z jawnym zakresem. Bez niego powstaje lista narzędzi, nie obraz ryzyka.
Zakres
- konfiguracja hostów i usług w uzgodnionym zestawie
- co nasłuchuje, co jest zbędne, co nie ma ownera
- konta i uprawnienia, które da się sprawdzić bez obchodzenia prawa i bez ataku na produkcję poza zgodą
- to nie jest gwarantowany pentest, CERT-owy audyt ani ocena zgodności ISO — chyba że zakres zostanie dopisany osobno i uczciwie nazwany
Rezultat
Raport: co zobaczyłem, czego nie sprawdzałem, co warto ruszyć najpierw.