Anforderungen an NESA-Penetrationstests
Die Information Assurance Standards der NESA sind unter den Compliance-Rahmenwerken ungewöhnlich, weil sie bei zwei Punkten konkret sind, bei denen die meisten vage bleiben: Die Behebung kritischer Befunde läuft gegen eine Uhr, und die Qualifikation des Testers wird geprüft. Beides verändert, wie Sie den Test einkaufen sollten.
Was der Standard verlangt
Im Rahmen des technischen Schwachstellenmanagements verlangen die UAE Information Assurance Standards, dass Schwachstellenbewertungen und Penetrationstests durchgeführt und nachverfolgt werden. Für erfasste Stellen landet das praktisch bei jährlichen Tests - aber die Pflicht ist ein Zyklus und kein Ereignis, und geprüft werden drei Teile:
- Der Test - durchgeführt, unabhängig, mit einem für die Stelle angemessenen Umfang.
- Die Behebung - kritische und hohe Befunde dokumentiert und behoben, mit festgehaltenen Entscheidungen, wo stattdessen ein Risiko akzeptiert wurde.
- Der Nachtest - der Nachweis, dass die Korrekturen gewirkt haben, innerhalb einer festgelegten Frist, typischerweise 90 Tage.
Stellen, die bei NESA an Penetrationstests scheitern, haben fast immer den ersten Teil erledigt und die beiden anderen nicht.
Zwei Anforderungen, die den Einkauf verändern
Die 90-Tage-Uhr heißt: Sie können nicht spät testen
Wenn kritische und hohe Befunde binnen 90 Tagen behoben und nachgetestet sein müssen, ist die Planungsfolge unausweichlich: Ein Test im letzten Monat Ihres Compliance-Jahres lässt keinen Raum, irgendetwas zu reparieren und zu belegen. Bis der Bericht vorliegt, haben Sie Wochen, kein Quartal.
Testen Sie mit mindestens einem Quartal Vorlauf. Bei großer Umgebung oder lange zurückliegendem letzten Test mehr - denn der Behebungsaufwand ist unbekannt, bis der Bericht existiert, und eine schwerere Befundliste als erwartet ist genau das Szenario, für dessen Belastung die Frist gedacht ist. Diese eine Planungsentscheidung verursacht mehr NESA-Fehlschläge als jedes technische Problem.
Prüfer sehen sich an, wer getestet hat
NESA-Prüfer untersuchen die Qualifikation des Penetrationstest-Anbieters, und OSCP oder Gleichwertiges ist die erklärte Erwartung. Das ist ungewöhnlich konkret - die meisten Rahmenwerke sagen "angemessen qualifiziert" und belassen es dabei - und hat eine unmittelbare kommerzielle Folge: Ein günstigerer Test von jemandem ohne anerkannte offensive Zertifizierung kann bei der Prüfung zurückgewiesen werden, was Sie Honorar, Behebungsfenster und Nachtest kostet.
Die Frage an jeden Anbieter vor der Beauftragung lautet daher schlicht: Wer führt die Tests durch, was hält diese Person, und kann ich das prüfen? Für diesen Auftrag ist die Antwort OSCP+ - die aktuelle, erneuerte Form der Zertifizierung - dazu eCPPT, eWPT und eCIR sowie AZ-500, SC-200 und SC-300 auf der Microsoft-Sicherheitsseite. Alle unabhängig über die OffSec-Credential-Wallet überprüfbar, und dieser Link gehört neben den Bericht in Ihr Nachweispaket.
Umfang
Was ein NESA-konformer Auftrag abdeckt:
- Externes Netz - der gesamte aus dem Internet erreichbare Bestand, einschließlich veröffentlichter und vergessener Dienste.
- Webanwendungen und APIs - Authentifizierung, Autorisierung, Geschäftslogik, Injection und die APIs hinter mobilen Apps.
- Internes Netz - was ein Fuß in der Tür erreicht; ob Segmentierung hält.
- Active Directory - Missbrauch von ADCS-Zertifikatsvorlagen, Kerberoasting, Delegation, ACL-Pfade zu Domain Admin. Für eine Behörde oder einen Versorger in den VAE wird genau dort aus einem kleinen externen Fuß in der Tür eine vollständige Kompromittierung.
- Cloud - Eskalation in Entra ID und Azure RBAC, offener Speicher, Identitäts-Fehlkonfiguration.
Speziell für kritische Informationsinfrastruktur lohnt es, nicht nur zu fragen, ob der Perimeter hält, sondern wie weit jemand kommt, wenn er es nicht tut - das misst eine Assumed-Breach-Prüfung, und das will ein Vorstand oder eine Aufsichtsbehörde wirklich wissen.
NESA und Dubai ISR gemeinsam
Viele Organisationen tragen beides: NESA föderal und die Information Security Regulation des DESC, weil sie eine Dubaier Behörde sind oder eine beliefern. Die beiden laufen parallel, statt dass eines das andere verdrängt, und ihre technischen Testanforderungen überschneiden sich fast vollständig.
Bewusst von Anfang an auf beide zugeschnitten, erzeugt ein Auftrag Nachweise für beide - das Testen ist dasselbe, die Zuordnung unterscheidet sich. Auf eines zugeschnitten und später nachgerüstet, bedeutet es meist, zweimal zu testen. Es kostet nichts, beim Scoping zu sagen, welche Regime für Sie gelten, und es ist das Nützlichste, was Sie mir im ersten Gespräch mitteilen können.
Das Ergebnis
Eine Zusammenfassung für Leitung und Prüfer, ein technischer Teil mit Reproduktionsschritten, Belegen und CVSS-Bewertungen, und die Zuordnung jedes Befunds zur einschlägigen Kontrolle, damit Ihr Compliance-Team diese Tabelle nicht selbst baut. Dann Unterstützung während der Behebung, ein Nachtest der geschlossenen Befunde - eine NESA-Anforderung, kein Zusatzverkauf - und ein Attestierungsschreiben mit Prüfer, Umfang und Daten.
Kritisches wird im Moment des Fundes gemeldet statt für den Bericht aufgehoben. Es gibt einen Musterbericht, falls Sie das Format vor der Beauftragung sehen möchten.
Praktisches
Die Arbeit erfolgt remote. Externe Tests, Webanwendungen und Cloud brauchen von Ihnen nur Umfang und Autorisierung; interne und Active-Directory-Tests laufen über VPN oder einen Jump-Host in Ihrer Umgebung. Wo Ihre Aufsicht oder Ihre eigene Richtlinie einschränkt, wo Nachweise verarbeitet oder gespeichert werden, geht das vor Beginn schriftlich in die Rules of Engagement.
Ich bin in Amman, eine Stunde hinter Dubai, arbeite in derselben Woche wie die Region, auf Arabisch oder Englisch. Kein Büro in den VAE und keine Behauptung eines solchen - was Sie bekommen, ist die Person, die testet, mit in unter einer Minute überprüfbaren Qualifikationen.
Nächste Schritte
Sagen Sie mir, ob Sie als Bundesbehörde, als CII oder über einen Vertrag mit einer solchen Stelle erfasst sind, was im Umfang liegt und wann Ihre Prüfung ansteht. Festpreis und Starttermin kommen zurück. Angesichts des 90-Tage-Nachtestfensters ist die nützlichste Frage zuerst, wie viel Vorlauf Sie haben - liegt er unter einem Quartal, ändert das die Reihenfolge, und wir sollten eher früher sprechen.
Verwandt: Penetrationstests in den VAE zum Zusammenspiel der Regime, CBUAE, DFSA, ADGM und VARA für Finanzdienstleistungen und die Compliance-Übersicht für alles Weitere. Kontakt aufnehmen - Arabisch willkommen.
Fragen zu NESA
Bundesbehörden und als kritische Informationsinfrastruktur eingestufte Organisationen - das umfasst Energie, Wasser, Verkehr, Telekommunikation, Finanzdienstleistungen und Gesundheitswesen. Wie beim saudischen ECC reicht die praktische Wirkung weiter als der formale Geltungsbereich, weil erfasste Stellen gleichwertige Anforderungen vertraglich an ihre Lieferanten weitergeben. Wenn eine Behörde der VAE oder ein Versorger Nachweise über Penetrationstests verlangt, ist NESA üblicherweise der Grund.
Schwachstellenbewertungen und Penetrationstests müssen im Rahmen des technischen Schwachstellenmanagements durchgeführt und nachverfolgt werden, praktisch also mindestens jährlich für erfasste Stellen. Das Wort nachverfolgt zählt dabei ebenso viel wie durchgeführt: NESA sucht einen gesteuerten, belegten Zyklus - Umfang, Test, Behebung, Nachtest, Protokoll - und nicht einen Bericht, der einmal im Jahr auftaucht und in einem Ordner verschwindet.
Kritische und hohe Befunde brauchen dokumentierte Behebung mit Nachweis eines Nachtests innerhalb einer festgelegten Frist, typischerweise 90 Tage. Die praktische Folge betrifft das Timing: Wenn Sie Ihren Jahrestest im letzten Monat des Compliance-Jahres durchführen, bleibt kein Raum, etwas zu beheben und das innerhalb der Frist zu belegen. Testen Sie mit mindestens einem Quartal Vorlauf. Das ist der häufigste Planungsfehler in NESA-Programmen und vollständig vermeidbar.
Ja - mehr als in den meisten Rahmenwerken. NESA-Prüfer sehen sich die Qualifikation des Anbieters an, wobei OSCP oder Gleichwertiges erwartet wird. Tests von jemandem ohne anerkannte offensive Sicherheitszertifizierung werden hinterfragt und bei der Prüfung mitunter zurückgewiesen, womit das günstigste Angebot zum teuersten Ergebnis werden kann. Fragen Sie vor der Beauftragung nach Zertifizierung und Prüflink und legen Sie beides ins Nachweispaket.
Meistens ja. Die beiden Regime laufen parallel - NESA föderal, die ISR des DESC für Dubaier Behörden und deren Lieferanten - und der technische Umfang, den sie verlangen, überschneidet sich fast vollständig. Es unterscheiden sich Zuordnung und Berichtsform. Schneiden Sie den Auftrag von Anfang an auf beide zu, und Sie erhalten einen Test und zwei Nachweispakete; schneiden Sie ihn auf eines zu und rüsten das andere nach, bedeutet das meist erneutes Testen.
NESA-Prüfung steht an?
OSCP+ zertifiziert, auf IAS zugeschnitten, mit dem Nachtest-Nachweis, den die 90-Tage-Frist verlangt.