Bir saldırgan ne kadar ileri gidebilir?

İnternet üzerinden yapılan bir test, normal bir dahili hesapla yapılan bir kontrolden farklı sorulara yanıt verir. Hangi senaryonun ele alınacağını ve başlangıçta hangi yetkilerin bulunduğunu birlikte belirleriz. İzin verilen kapsam bu başlangıç durumundan türetilir. Sistemler, adresler ve kimlikler belgelenir; ortak kullanılan hizmetler ve üçüncü taraf sistemler özel dikkat gerektirir. Böylece planlama, belirsiz sorumluluklar nedeniyle incelemenin verilen onayın ötesine istemeden geçmesini engeller.

İşletim koşulları da hazırlığın bir parçasıdır. İrtibat kişileri, zaman pencereleri ve durdurma kriterleri belirlenir. Sistemlerde yapılan değişiklikler, yük testleri veya daha ileri önlemler her sızma testinin sessizce bir parçası değildir. Bunların üzerinde anlaşılan yönteme açıkça uygun olması gerekir. Sonuçlar daha sonra fiili başlangıç konumunu ve test edilen sürümü belirtir. Bu, değerlendirmeyi kolaylaştırır: Halihazırda sahip olunan yönetici haklarıyla gözlemlenen bir güvenlik açığı, ayrıcalıksız bir başlangıç noktasından elde edilen bir kanıttan farklı bir anlam taşır.

Ağ segmentasyonu tek başına tüm erişim olanaklarını tanımlamaz. Kullanıcı hesapları, hizmet hesapları ve yönetim yolları sistemler arasında başka bağlantılar kurabilir. Bu nedenle kontrol, onaylanan çerçevede teknik sınırların ve rollerin amaçlanan modeli fiilen uygulayıp uygulamadığını inceler. Tek tek yapılandırma hataları, etkileriyle bağlantılı olarak değerlendirilir. Bir bulgu, ortamınız için neden önemli olduğunu ve kanıtlanan erişim için hangi ön koşulların bulunduğunu göstermelidir.

IaaS ortamlarında buna sağlayıcıyla olan sınır ayrımı da eklenir. Müşterinin sorumlu olduğu kaynaklar ve yapılandırma incelemenin konusu olabilir; bu, ortak kullanılan platform hizmetlerini otomatik olarak onaylanmış hale getirmez. Kontrolden önce gerekli haklar ve gereklilikler netleştirilir. Bağlı lokasyonlar ve uygulamalar da etkilenebilir. Bu nedenle planlama, bulut ve altyapıdan sorumlu kişileri bir araya getirir; böylece test şeffaf kalır ve etkileri üzerinde anlaşılan çerçeve içinde kontrol altında tutulabilir.

Sonuç; doğrulanmış bulguları, notları ve test edilmemiş alanları birbirinden ayırır. Kanıtlar, gerekli ön koşulları ve gözlemlenen etkiyi tanımlar. Bunlar, gereksiz yere hassas veri toplamadan değerlendirmeyi mümkün kılmayı amaçlar. Yönetim ve teknik ekipler kendilerine uygun bir sunum alır; özellikle önemli gözlemler üzerinde anlaşılan bildirim yollarıyla iletilir. Böylece bir sızma testi, teknik bildirimlerin bir dökümünden daha fazlası haline gelir: Sorumlular, hangi önlemlerin önce hayata geçirileceğine karar verebilir.

Giderim sürecinde kimlik yönetimi, ağ işletimi ve uygulama desteği gibi birden fazla ekip yer alabilir. Bu nedenle öneriler, bağımlılıklarıyla birlikte görüşülür. Yeniden test, üzerinde anlaşılan değiştirilmiş sürüme odaklanır ve somut kanıtın hâlâ mümkün olup olmadığını belgeler. Uygun, net şekilde tanımlanmış bir hedef için Result as a Service üzerinden başarıya bağlı bir ücretlendirme düzenlenebilir. İzin verilen test kapsamı bu durumda da bağlayıcı kalır ve ekonomik bir teşvikle genişletilmez.