Ielaušanās testā maksājat par dienām. Katra diena, ko testētāji pavada, gaidot kontu, minot, kā funkcijai būtu jādarbojas, vai atduroties pret jūsu pašu ugunsmūri, ir diena, kas nav veltīta ievainojamību meklēšanai. Lielāko daļu šīs gaidīšanas var novērst pirms sākuma.
Izlemiet
Kāds ir jautājums? „Vai jauno maksājumu plūsmu ir droši laist darbā” un „ko ar mums var izdarīt kāds no interneta” noved pie dažādiem testiem. Pierakstiet jautājumu vienā teikumā: no tā izriet tvērums.
Kas ietilpst tvērumā un kas ne? Uzskaitiet lietotnes, adreses, vides. Uzskaitiet arī izņēmumus: maksājumu pakalpojumu sniedzēju, mātesuzņēmuma sistēmas, veco pakalpojumu, kas nokrīt, tiklīdz uz to paskatās.
Kura vide? Vislabāk der testa vide, kas atbilst produkcijas videi: testētāji var strādāt rūpīgi, un nekas īsts nav apdraudēts. Ja ir tikai produkcijas vide, saskaņojiet testēšanas stundas un paņēmienus, kurus izmantot nedrīkst.
Cik daudz testētāji zina? Testēšana ar kontiem un dokumentāciju vienā dienā atrod vairāk nekā akla testēšana. Akla testēšana atbild uz vienu šauru jautājumu: ko panāk nepiederīga persona bez jebkādas informācijas. Izlemiet, par kuru no tām maksājat.
Sagatavojiet
Konti. Pa vienam katrai lomai un divos atsevišķos nomniekos, ja produktā ir nomnieki: piekļuves kontroli starp klientiem nevar pārbaudīt ar vienu klientu. Izveidojiet kontus pirms sākuma, vienreiz piesakieties ar katru no tiem un pārbaudiet, vai tajos ir reālistiski dati.
Dokumentācija. API specifikācijas, arhitektūras diagramma, lomu un galveno darbplūsmu apraksts. Nepilnīgi dokumenti ir labāki nekā nekādi.
Piekļuve. Ja testa vide atrodas aiz VPN vai atļauto adrešu saraksta, nodrošiniet piekļuvi iepriekš un pārbaudiet to. Izlemiet, vai tīmekļa lietotņu ugunsmūris (WAF) paliek ieslēgts. Ja testa objekts ir lietotne, ielaidiet testētājus caur ugunsmūri; ja testa objekts ir ugunsmūris, atstājiet to ieslēgtu un pasakiet to.
Dati. Aizpildiet testa vidi ar datiem, kas līdzinās īstajiem pēc struktūras, nevis pēc satura. Reāli personas dati testa vidē ir konstatējums jau pirms testa sākuma.
Rezerves kopijas. Pārliecinieties, ka testējamo vidi var atjaunot. Testētāji ir uzmanīgi; rezerves kopijas ir paredzētas gadījumam, kad ar uzmanību nav pieticis.
Informējiet
Ekspluatācijas komandu un monitoringa komandu, ja vien tests nav paredzēts tieši to pārbaudei. Paziņojiet tām testētāju avota adreses un datumus. Citādi pirmā diena beigsies ar to, ka testētāji ir bloķēti un ir atvērts incidents.
Mitināšanas vai mākoņpakalpojumu sniedzēju, ja to prasa tā noteikumi. Lielie mākoņpakalpojumu sniedzēji neprasa paziņot par jūsu pašu resursu testēšanu to publicēto noteikumu robežās; mazāki mitināšanas uzņēmumi bieži prasa.
Piegādātājus, kuru sistēmas tiek skartas. Viņu piekrišana ir vajadzīga rakstiski.
Vienu kontaktpersonu, kas ir sasniedzama testēšanas stundās un kurai ir tiesības pieņemt lēmumus: pagarināt konta derīgumu, restartēt pakalpojumu, apturēt testu.
Parakstiet
- konfidencialitātes līgumu (NDA), pirms tiek nodots kaut kas no iepriekš minētā;
- līgumu;
- atļaujas vēstuli un testēšanas noteikumus.
Kam katrs no tiem ir vajadzīgs, aprakstīts rakstā „Kas padara ielaušanās testu likumīgu”.
Testa laikā
- Neieviesiet izmaiņas testējamajā vidē, nebrīdinot testētājus. Konstatējums, kas pa nakti pazūd, izmaksā dienu neskaidrību.
- Nenovērsiet konstatējumus testa vidū, izņemot kritiskos. Ja kādu novēršat, pasakiet to.
- Atbildiet uz jautājumiem ātri. Testētājs, kurš jautā, kā funkcijai būtu jādarbojas, parasti ir kaut ko atradis.
- Steidzamus konstatējumus gaidiet uzreiz. Par kritisku ievainojamību ziņo, tiklīdz tā ir apstiprināta, nevis noslēguma ziņojumā.
Pēc testa
- Kopsavilkumu lasiet kopā ar vadību, konstatējumus – ar inženieriem. Tie ir rakstīti dažādiem lasītājiem.
- Piedalieties noslēguma pārrunās. Tā ir projekta lētākā stunda.
- Plānojiet labojumus pēc prioritātes un paziņojiet testētājiem, kad tie ir ieviesti.
- Izmantojiet atkārtotu pārbaudi. Labojums, kas nav pārbaudīts, ir pieņēmums.
- Glabājiet ziņojumu konfidenciāli. Kamēr labojumi nav ieviesti, tas ir rokasgrāmata, kā jums uzbrukt. Klientiem un auditoriem ir paredzēta apliecinājuma vēstule.
Kontrolsaraksts
| Pirms sākuma | Izpildīts |
|---|---|
| Jautājums un tvērums pierakstīti, arī izņēmumi | |
| Vide izvēlēta, testēšanas logi saskaņoti | |
| Konti izveidoti katrai lomai, divos nomniekos, ja produktā ir nomnieki | |
| Dokumentācija nodota | |
| Tīkla piekļuve nodrošināta un pārbaudīta | |
| Testa dati sagatavoti, bez reāliem personas datiem | |
| Rezerves kopijas pārbaudītas | |
| Ekspluatācijas un monitoringa komandas un pakalpojumu sniedzēji informēti | |
| Kontaktpersona norādīta | |
| NDA, līgums, atļaujas vēstule un testēšanas noteikumi parakstīti |
Katra pakalpojuma lapā ir uzskaitīts, kas tieši šim testam vajadzīgs no jums.