Läbistustesti eest makstakse päevade kaupa. Iga päev, mille testijad veedavad kontot oodates, oletades, kuidas mõni funktsioon peaks töötama, või teie enda tulemüüri taha jäänuna, on päev, mil turvanõrkusi ei otsita. Suurema osa sellest ootamisest saab kõrvaldada enne algust.
Otsustage
Mis on küsimus? „Kas uue maksevoo võib turvaliselt kasutusele võtta“ ja „mida saab keegi internetist meile teha“ viivad erinevate testideni. Kirjutage küsimus üles ühe lausega; ulatus tuleneb sellest.
Mis kuulub ulatusse ja mis mitte? Loetlege rakendused, aadressid, keskkonnad. Loetlege ka välistused: makseteenuse pakkuja, emaettevõtte süsteemid, vana teenus, mis kukub kokku juba siis, kui seda vaadata.
Milline keskkond? Kõige parem on testkeskkond, mis vastab toodangukeskkonnale: testijad saavad töötada põhjalikult ja midagi päris ei ole kaalul. Kui on olemas ainult toodangukeskkond, leppige kokku kellaajad ja tehnikad, mida kasutada ei tohi.
Kui palju testijad teavad? Kontode ja dokumentatsiooniga testimine leiab päevas rohkem kui pimesi testimine. Pimesi testimine vastab ühele kitsale küsimusele: mida saavutab kõrvaline isik ilma igasuguse teabeta. Otsustage, kumma eest te maksate.
Valmistage ette
Kontod. Üks iga rolli jaoks ja kahes eraldi kliendikeskkonnas, kui tootel on kliendikeskkonnad: klientidevahelist juurdepääsukontrolli ei saa ühe kliendiga testida. Looge kontod enne algust, logige igaühega korra sisse ja kontrollige, et neis oleks realistlikud andmed.
Dokumentatsioon. API-spetsifikatsioonid, arhitektuuri diagramm, rollide ja peamiste töövoogude kirjeldus. Ebatäiuslikud dokumendid on paremad kui mitte midagi.
Juurdepääs. Kui testkeskkond on VPN-i või lubatud aadresside loendi taga, korraldage juurdepääs aegsasti ja kontrollige, et see töötab. Otsustage, kas veebirakenduse tulemüür jääb sisse. Kui testitakse rakendust, laske testijad tulemüürist läbi; kui testitakse tulemüüri, jätke see sisse ja öelge seda.
Andmed. Täitke testkeskkond andmetega, mis sarnanevad päris andmetega ülesehituselt, mitte sisult. Päris isikuandmed testkeskkonnas on leid juba enne testi algust.
Varukoopiad. Veenduge, et testitavat keskkonda saab taastada. Testijad on ettevaatlikud; varukoopiad on selleks juhuks, kui ettevaatlikkusest ei piisanud.
Teavitage
Käidumeeskonda ja seiremeeskonda, kui test ei ole mõeldud just nende kontrollimiseks. Andke neile testijate lähteaadressid ja kuupäevad. Muidu lõpeb esimene päev sellega, et testijad on blokeeritud ja avatud on intsident.
Majutusteenuse või pilveteenuse pakkujat, kui pakkuja reeglid seda nõuavad. Suured pilveteenuse pakkujad ei nõua teavitamist, kui testite oma ressursse nende avaldatud reeglite piires; väiksemad majutusettevõtted nõuavad seda sageli.
Tarnijaid, kelle süsteeme test puudutab. Nende nõusolek peab olema kirjalik.
Üks kontaktisik, kes on testimise ajal kättesaadav ja kellel on õigus otsustada: pikendada konto kehtivust, taaskäivitada teenus, peatada test.
Allkirjastage
- konfidentsiaalsusleping (NDA), enne kui midagi eelnevast üle antakse;
- leping;
- kirjalik luba ja testimise reeglid.
Milleks igaüks neist on vajalik, kirjeldab artikkel „Mis teeb läbistustesti seaduslikuks“.
Testi ajal
- Ärge juurutage testitavasse keskkonda midagi testijatele ütlemata. Leid, mis üleöö kaob, maksab päeva segadust.
- Ärge parandage leide testi keskel, välja arvatud kriitilisi. Kui mõne parandate, öelge seda.
- Vastake küsimustele kiiresti. Testija, kes küsib, kuidas mõni funktsioon peaks töötama, on tavaliselt midagi leidnud.
- Arvestage, et kiireloomulised leiud tulevad kohe. Kriitilisest turvanõrkusest teatatakse siis, kui see on kinnitatud, mitte lõpparuandes.
Pärast testi
- Lugege kokkuvõtet koos juhtkonnaga, leide koos arendajatega. Need on kirjutatud erinevatele lugejatele.
- Osalege tulemuste arutelul. See on projekti kõige odavam tund.
- Kavandage parandused prioriteedi järgi ja andke testijatele teada, kui need on juurutatud.
- Kasutage kordustesti. Parandus, mida ei ole kontrollitud, on oletus.
- Hoidke aruanne konfidentsiaalsena. Seni, kuni parandused ei ole tehtud, on see juhend teie ründamiseks. Klientide ja audiitorite jaoks on kinnituskiri.
Kontroll-loend
| Enne algust | Tehtud |
|---|---|
| Küsimus ja ulatus kirja pandud, koos välistustega | |
| Keskkond valitud, testimisaknad kokku lepitud | |
| Kontod loodud iga rolli jaoks, kahes kliendikeskkonnas, kui tootel on kliendikeskkonnad | |
| Dokumentatsioon üle antud | |
| Võrgujuurdepääs korraldatud ja kontrollitud | |
| Testandmed olemas, päris isikuandmeid ei ole | |
| Varukoopiad kontrollitud | |
| Käidu- ja seiremeeskond ning teenusepakkujad teavitatud | |
| Kontaktisik määratud | |
| NDA, leping, kirjalik luba ja testimise reeglid allkirjastatud |
Iga teenuse lehel on kirjas, mida just see test teilt vajab.